AIの透かしとは | 何が分かって、何が分からないのか

どういう仕組みか

AIは文章を1語ずつ書いていきます。次の語を選ぶとき、候補はたいてい複数あります。

「今日は寒くて、□□した空だった」。□□には「どんより」でも「灰色」でも入ります。どちらでも意味は変わりません。こういう場面でAIが選ぶ語は、実質的にはサイコロで決まっています。

透かしは、そのサイコロを差し替えます。でたらめな乱数の代わりに、鍵と直前の数語から次の語を決める。選ばれる語は相変わらずばらついて見えるので、読む人には何も分かりません。ところが鍵を持つ側が後から語の並びを調べると、鍵と辻褄が合うかどうかを計算できます。

Anthropicは円周率のたとえを使っていました。すごろくでサイコロの代わりに円周率の桁を使って駒を進める。プレイヤーには何の違いもないけれど、後から棋譜を見た人が円周率を知っていれば「これは円周率で遊んだゲームだ」と分かる、という説明です。

大事なのは、文字が追加されるわけではないという点です。隠し文字も入りません。トークンが増えないので料金も変わらず、速度への影響もないとされています。

なぜ2026年に広がったのか

きっかけはEUの規則です。2026年7月、約190の団体が「AI生成コンテンツの透明性に関する行動規範」に署名しました。そして8月2日から、EU市場に生成AIを提供する事業者にAI生成物への標識が求められています。

方式の代表格は、Google DeepMindが2024年に学術誌Natureで公開したSynthID-Textです。系譜は2022年のScott Aaronsonの提案までさかのぼります。Anthropicは8月14日、この方式の版を今後のClaudeに入れると説明しました(詳細: Claudeの文章に透かしが入る)。

日本にいても関係します。地域ごとに分ける手段が現時点でないため、全世界に一律で適用されると説明されているためです。

何が分からないのか

ここが実務でいちばん大事なところです。透かしには、はっきりした限界が4つあります。

1. 出なくても、人が書いた証明にはならない。透かしが答えるのは「そのAIが関与したか」だけです。他社のAIかもしれないし、文章が短すぎたのかもしれないし、書き直されたのかもしれない。疑いをかける道具にはなりますが、疑いを晴らす道具にはなりません。身の潔白を示したい人にとって、透かしは味方をしてくれない仕組みです。

2. 言い換えると消える。2026年7月17日に公開された検証(Tamim・Khan)では、3方式に計846回の言い換えをかけました。KGWとUnigramは検出済みテキストの100%で透かしを失い、SynthID-Textの実装も98.3%。攻撃を受ける前ですら見逃しは80%あり、言い換えた人間の文章の5.4%をAI生成と誤って判定しています。著者らは、米国の法廷が証拠採用に使うDaubert基準の5要素のうち2つ以下しか満たさないと結論づけました。ただしこの検証はMarkLLMというオープンな実装が対象で、各社の本番設定そのものではありません。

3. 配られたウェイトには乗らない。透かしは、語を選ぶ場面に介入して入ります。つまり生成する側の仕掛けです。モデルのウェイトを手に入れて自分の機材で動かす人は、その仕掛けを使わなければいいだけ。鍵も要らず、後から付けることもできません。

4. 濃く乗る文章と、乗らない文章がある。選ぶ余地が多い文章ほど印を打つ場所が増えます。雑談、感想、あたりさわりのない説明。逆に固有名詞と数字が詰まった文章には、ほとんど入りません。「ニュートンの主著は『プリンキピア』」の次に来る語は1つしかなく、選べないからです。コードも同じ理由でほぼ入りません(コメント部分は例外)。校正だけを頼んだ場合も、直した数語にしか残りません。

4つ目には、現場で効いてくる逆転があります。中身の詰まった文章ほど、検出をすり抜けます。学校や採用でこれを使うと、手を抜いた文章ばかりが引っかかりかねません。

画像やファイルの場合

画像や音声などのファイルには、透かしではなくC2PAという業界標準のメタデータが使われます。カメラや写真編集ソフトが出所を記録するのに使っているものと同じ仕組みです。

透かしとの違いは、ファイルの中身は変わらない点です。あくまで添え書きなので、メタデータを外せば消えます。一方、C2PA対応のツールなら誰でも読めるという利点があります。

実務でどう扱うか

3つに絞れます。

1. 社内ルールに1行足す。「AIが書いた文章には、後から検出できる印が入る」。この前提を共有しておくこと。禁止するかどうかは組織の判断ですが、隠して出すのが技術的に難しくなったという事実だけは先に伝えておくほうが安全です(AI利用ガイドラインの作り方)。

2. 単独の証拠にしない。透かしが返すのは白黒ではなく確率です。短い文章では出ませんし、事実の多い文章でも薄くなります。人事や成績の判断材料にするには弱すぎます。

3. 「印がないから人が書いた」とは絶対に言わない。限界の1つ目がそのまま効きます。この勘違いをした運用が、いちばん人を傷つけます。

どう見るか

透かしが面白いのは、技術の問題を技術で解ききれていないところです。仕組み自体はよくできています。読者には見えず、性能も落ちず、利用者の特定にも使えない。それでも、言い換え1回で98%が消えます。

EUの法文は「十分に信頼でき頑健な」標識を求めています。この要求と実測値の距離を、誰がどう埋めるのか。研究の側では複数の方式を重ねる改良も出ていますが、決着はついていません。

そしてもう1つ。この夏、AI各社が線を引いてきた場所は「誰に渡すか」でした。透かしは渡したあとの出力に印をつける試みで、線を引く場所が入口から出口へ移った例にあたります。決めたのが1社ではなくEUだった点も含めて、安全の設計が企業の選択から市場の条件へ動いた出来事として読めます。

関連する用語とレビュー

Claudeの文章に透かしが入る EU規則対応で全世界に適用 / オープンウェイトとは / デュアルユースとは / フロンティアモデルとは / AI利用ガイドラインの作り方 / AI用語解説トップ