AI文字浮水印怎麼運作｜歐盟AI法第50條與各家業者的現況

大家好，我是株式會社TIMEWELL的濱本。

最近常聽到「Claude開始加squash了」。用語音輸入的話，「浮水印」很容易被聽成別的詞。他們說的其實是電子浮水印。螢幕上什麼都沒有。把回覆複製到別的地方，機器卻還讀得到一條訊號。2026年8月起，Claude的新模型開始做這件事¹。

老實說，我一開始也以為只是把圖片那種淡淡的標誌，疊到文章上。不是。文字浮水印不是蓋章。它是在模型選下一個詞的時候，讓骰子帶一點看不見的偏差。今天想講的是：這個偏差怎麼做出來、為什麼現在突然被做成產品，以及ChatGPT、Grok為什麼慢了一步。

自8月13日初版以來的變化

我在2026年11月6日重讀並更新了這篇文章，主要有三點。第一是OpenAI。2026年10月5日，OpenAI宣布要在歐盟的ChatGPT與Codex加入文字浮水印。8月時ChatGPT尚未導入文字浮水印，現在已經是「歐盟先行，陸續導入」。不過是否已實際送到每位使用者手上，本文無法確認。

第二是Claude的偵測器，目前仍是非公開預覽，還不是公開工具。第三是歐盟執委會的簽署者頁面在9月24日更新，行為守則的工作小組也從9月開始運作。已上市系統的過渡期限（2026年12月2日）沒有變動，距今不到一個月。

本文整理的是技術與公開資訊，並非法律意見。貴公司自身的義務，請向法務或專業人士確認。

新聞是Claude，日曆是布魯塞爾

Anthropic的說明寫得很直白。2026年8月2日以後在歐盟推出的Claude新模型，上線當天就要做機器可讀標記。生成文字帶嵌入式浮水印，支援的檔案帶數位簽署的來源中繼資料。範圍不只Claude網頁，還包括API、Claude Code、Claude Cowork、Claude Tag，以及AWS、Google Cloud、Microsoft Foundry。也不是只對歐洲使用者開。Claude有提供的地方都算¹。同一頁的註記還提到，Amazon Bedrock的導入預計在11月10日前完成；另外Sonnet 4.6若把溫度等取樣設定改離預設值，文字浮水印可能無法穩定出現。

舊模型有過渡期。2026年8月2日之前就已上市的生成式AI，機器可讀標記可以做到2026年12月2日。Anthropic也寫了，舊模型的補做正在進行¹。這段過渡期，一般解讀是來自簡化AI法的修正案（Digital Omnibus）。這次我無法開啟官方公報的原文，所以期限是依業者的說明與幾份二手整理讀出來的。

為什麼是這個日期？歐盟AI法（規則2024/1689）第50條。第50條第2項要求，會合成語音、圖像、影片或文字的AI系統提供者，必須用機器可讀的形式標記輸出，讓人能偵測它是人工生成或遭到改動。2026年8月2日開始適用²。

重點是：條文沒有寫「一定要加浮水印」。它是技術中立的。前言第133點舉的例子包括浮水印、中繼資料識別碼、用來證明來源的密碼技術、日誌、指紋。法律要的是「在技術上可行的限度內，有效、可互通、穩健、可靠」²。不是要你做出攻不破的鎖。

2026年6月10日，歐盟執委會與AI辦公室公布「AI生成內容透明度行為守則」最終版。7月底大約190個組織簽署。第1部（提供者）點名的例子有Aleph Alpha、Anthropic、Black Forest Labs、Cohere、Google、Meta、Microsoft、Mistral、OpenAI、Synthesia。xAI的名字在2026年9月24日更新的同一頁面上也看不到³。簽署者可以參加9月起運作的兩個工作小組，分享實務做法。簽署是自願的。不簽，第50條還是在。

罰則也要分開看。整部AI法的上限是3,500萬歐元或全球年營業額的7%。第50條這類義務落在第99條的中段：1,500萬歐元或3%，取較高者⁴。不管怎樣，原本還停在論文裡的浮水印，在2026年夏天被抬成出貨項目。原因就在這裡。

看不見的印記，藏在下一個詞的選法裡

要分辨AI文字，認真算大概只有三條路。Google DeepMind的SynthID-Text論文把這件事寫得很清楚⁵。

第一條是檢索。服務端把生成過的文字全存下來，之後拿來比對。原理上很穩，但前提是留下所有使用者的對話，隱私成本很高。第二條是事後偵測。用統計或分類器猜「這有多像AI」。DetectGPT這一路就是。生成端不用改，代價是不穩定，而且多次被指出會把非英語母語者的文章誤判成AI。模型愈強，跟人類的差距愈小，這條路就愈辛苦。

第三條是浮水印。在生成的當下把訊號嵌進去。你得改生成過程，但偵測可以用統計講清楚。有些設計甚至不用交出模型本體，只要有密鑰和斷詞器，第三方就能驗證。

2023年Kirchenbauer等人的論文，幾乎定下後來大家都在用的詞彙。LLM選下一個權杖（token，詞的碎片）時，會給整個詞彙打分數。用前一個權杖和密鑰的雜湊當亂數種子，把詞彙隨機切成綠名單和紅名單。綠名單那邊的分數稍微墊高，再擲骰子。偵測端用同一把鑰匙重現名單，數綠的有幾個。沒有浮水印，綠色大概一半。有浮水印，綠色會明顯變多。這個差可以寫成z統計量。你拿到的不是「80%像AI」，而是「這是巧合的機率低於百萬分之一」⁶。

換個比喻。文字浮水印不是在信紙上印淡淡的商標。它比較像賭場的骰子被做了一點手腳。擲一次看不出來。擲幾十次，六點就多得不對勁。偵測器只是在數那一點偏差。

也因為這樣，下一個詞幾乎已定的位置，埋不進去。「Barack」後面幾乎一定是「Obama」。硬改成別的，句子就壞了。浮水印靠的是模型的「猶豫」。猶豫愈少，訊號愈弱。論文把這個限制寫成spike entropy（尖峰熵）⁶。程式碼、一串專有名詞、很短的招呼語之所以弱，就是這個原因。

Google DeepMind的SynthID-Text用差不多的亂數來源，改的是抽樣方式。錦標賽。從詞彙裡一再抽出候選人，用秘密的計分函數比下去，留下贏家，再比下一層。活到最後的詞，秘密分數往往比較高。偵測端看的是平均。預設30層。Gemini線上流量大約2,000萬則回應，按讚率只差0.01%，延遲增加0.57%。這篇論文真正要證明的，是可以大規模上線、又不怎麼傷品質⁵。

柏克萊的Mark My Words則用三個軸打所有方法：品質、要多少權杖才偵測得到、改寫之後還在不在。實務常用的溫度範圍裡，Kirchenbauer這型最硬，大約50到60個權杖、英文約40個詞就能偵測。換成程式碼，正確率下降，偵測也不穩。用GPT-3.5改寫，即使是他們測過最好的方法，也有六成以上機率把浮水印拿掉⁷。

Anthropic實際用哪套演算法，寫這篇的時候還沒公開。綠名單、錦標賽，還是別的，說明頁只說「織進文字本身」「不改意思和品質」「複製後可能還在」¹。2023年以後研究共用的骨架是一樣的。不是把特殊字元藏起來，而是讓選詞的統計帶訊號。

檔案是另一層。Claude輸出的SVG、PNG、JPG可以帶C2PA這種產業標準的簽署中繼資料¹。那不是文字浮水印，是在檔案信封上寫來源。截圖常常就掉了。歐洲行為守則會推「嵌入浮水印加簽署中繼資料」兩層，就是因為兩邊各自會在不同地方壞掉。

ChatGPT和Grok為什麼慢了一步

8月時很容易讀成道德劇：Claude做對了，別人偷懶。我不這麼看。公開資料裡看到的是不同的約束，不是不同的品格。

OpenAI在2024年5月的官方部落格就寫了，文字浮水印方法已經有了。8月的補充很直。局部改寫擋得住。翻譯、用另一個生成模型重寫、在每個詞中間插入特殊字元再刪掉，這類整體改動就弱。對有心的人來說太好拆。同一段也寫了另一個風險：以英語為第二語言、把AI當寫作輔助的人，可能被這枚印記汙名化⁸。當時他們先做圖像和音訊。那些比較容易拿去騙人。

2026年8月時，OpenAI的說明頁寫的是：圖像是C2PA中繼資料加SynthID浮水印，音訊是SynthID，文字只寫「目標是擴到所有模態，包括文字」，沒有已出貨的描述⁹。這是本文初版的內容。

之後情況動了。OpenAI在2026年10月5日宣布，將在歐盟的ChatGPT與Codex生成的文字中加入看不見的浮水印。方式叫textGrain，讓模型選詞的統計帶上訊號。ChatGPT與Codex會在未來數週內，對各方案的符合資格使用者陸續推出，僅限歐盟。API則是針對部分模型，全球開發者都能自行選擇啟用，預設為關閉，OpenAI表示上線時不會成為全球預設¹⁰。

限制也是OpenAI自己先寫出來的。這個浮水印能顯示的，是「OpenAI的系統生成或處理過這段文字的一部分」。它無法辨識使用者、衡量人的貢獻程度、確立著作權歸屬或驗證內容正確性；沒有浮水印，也不能證明是人寫的。短文與事後編輯會讓偵測變得不穩。偵測器一開始只提供給經核准的研究者與專業機構¹⁰。報導指出，在OpenAI的測試中，把一成單字換成同義詞，偵測率就從約92%降到約66%¹¹。

我覺得這讓和Anthropic的差異變得很清楚。Claude是全球都加。OpenAI只在歐盟的ChatGPT與Codex加，API則是自行選擇。這不是誰對誰錯，而是怎麼解讀法規要求的範圍、怎麼向非歐盟使用者說明的設計差異。OpenAI如何面對自己在2024年擔心的「讓英語非母語者被汙名化」，由於無法取得公告全文，本文不下判斷。

簽署行為守則，跟實際把標記送出去，是兩件事。OpenAI也是簽署者³。第50條是技術中立的，浮水印以外的機器可讀方式也被允許。我不會寫成「沒做文字浮水印就違法」，也不會寫成「有加就等於符合規定」。

Google在2024年就把SynthID-Text放進Gemini，還發了論文⁵。這套實作是開源的，Hugging Face Transformers v4.46.0以後就能用，偵測器會回傳「有浮水印、沒有浮水印、不確定」三種結果。Google的開發者文件也明講，對事實型回答效果較差、大幅改寫或翻譯後偵測信心會明顯下降，且並非設計來直接阻止有心的攻擊者¹²。文字浮水印的正式上線，並不是Claude世界第一。大規模上線又把數字公開的，Google比較早。2026年8月會吵起來，比較像是：日本知識工作者也天天開著的對話介面，開始在回覆本文裡蓋印了。體感不一樣。

Grok這邊，公開說明還薄。歐盟執委會的簽署者頁面（2026年9月24日更新）上，看不到xAI的名字³。也還沒看到像Anthropic那樣、清楚說「文字裡有嵌入浮水印」的官方說明。後面我就不猜了。沒簽約，不代表沒有義務。只要在歐盟提供生成式AI，第50條就還在。守則是比較好示範符合的路，不是免責。xAI是用別的方式標記、是在用舊模型的過渡期，還是之後才會出，公開資料切不開。

我自己的判斷是：OpenAI在2024年暫緩的主因不是「科學還沒做完」，而是「文字比像素更難說謊」。圖像浮水印可以散在很多像素裡。文字能選的下一個詞本來就少，改寫一次統計就垮。OpenAI在2024年寫下的擔心，跟後來的論文方向一致。Jovanović、Staab、Vechev證明，對公開API查有限次數就能逼近秘密的浮水印規則，成本不到50美元，清除成功率可以拉到八成以上¹³。Zhang等人則證明，在自然的假設下，強意義的浮水印根本做不到¹⁴。

所以我不會選英雄。先出貨的那家，對上了法規日曆，也把限制寫在功能旁邊。後來跟上的那家，看過它怎麼壞，選了範圍比較窄的做法。兩種說法，以目前的公開證據都站得住。

浮水印會消失的地方

Anthropic自己先把限制寫出來，這點我欣賞。偵測到，不代表Claude是原文作者。校對、翻譯、摘要、轉檔，都可能留下印。沒偵測到，也不代表不是AI。舊模型、大幅編輯、翻譯、跟別的文字混在一起、太短、檔案中繼資料被剝掉。這些都會變成「沒印」¹。

跟研究對過之後，現場會失效的地方其實很具體。短文。程式碼。一串專有名詞。結構化的JSON。下定決心的改寫。在本機跑開源權重模型的輸出。後面這一種，原則上沒有辦法強迫加上提供者的浮水印。SynthID-Text論文自己也承認⁵。

反過來說，有用的地方也有。讓隨手複製貼上貴一點。平台端做大規模自動分流。業者事後找回自己模型的輸出。還有，這是落實「機器可讀標記」的具體作法之一。Mark My Words對威脅模型很老實：想少寫作業的學生，通常沒動機再翻譯、換模型重寫、再夾特殊字元⁷。不是保險庫。是減速丘。

浮水印竊取論文麻煩的地方，是清除和假冒會一起到來。攻擊者若把仇恨言論貼上「那家公司的浮水印」再放出去，責任會被錯扣到提供者頭上¹³。浮水印不是身分核對。我比較常把它想成安全帶。它阻止不了車禍。沒有它，傷一定更重。

日文、繁體中文也不該直接套英文的權杖數字。斷詞單位不一樣。一個助詞就能把片段切開。「50到60個權杖就能偵測」是英文實驗的結果。在Claude的偵測器公開之前，現場比較誠實的粒度是：長文比較留得住，兩行的即時訊息大概留不住。

現場該有的預期是「安全帶」

若是我來寫內部規範，第一句會是：不要讓偵測器單獨決定人事、學術或法務結論。履歷、論文、新聞稿、給客戶的信。命中或沒命中都不夠。短文會漏。只是校對也可能中。這兩件事廠商自己都寫了¹。

該握住的是兩層。文字裡的統計印記，加上檔案上的簽署中繼資料（C2PA）。歐洲行為守則推的也是這種疊法。圖像或簡報要送出公司時，先問截圖或另存新檔會不會把信封撕掉。文字則把哪個模型、什麼時候、哪段提示記在公司自己的日誌。浮水印是備援。不是主紀錄。

靠「讀起來像不像AI」來判斷的時代，其實已經過了。模型愈好，跟人類的差距愈小。事後偵測器誤判、傷害非母語寫作者的歷史也已經發生過。所以提供者改成在生成時蓋印。這個方向我認為對。把印記讀太滿，下一場事故就是：把帶浮水印的文章當成「不好的文章」。OpenAI在2024年怕的，正是這件事⁸。

我個人覺得，2026年下半年的焦點不會是「誰先加浮水印」，而是「偵測結果能給誰用、用在哪裡」的共識。大學、徵才、新聞、平台。假陽性的成本每個房間都不一樣。行為守則的工作小組從2026年9月起已經在運作³。台灣和日本的公司最好帶著實務語言進去，而不是只帶一份翻譯過的FAQ。至於日本，據報導總務省與經濟產業省的「AI事業者指引」已在2026年3月改訂為第1.2版，但其中對浮水印與來源證明如何著墨，這次我沒能確認，擬定自家方針時請以原文為準。

比浮水印更先要做的，是公司怎麼對待模型輸出、哪個人類還要負責。TIMEWELL的WARP做的就是這段：模型怎麼選、提示怎麼寫，以及輸出的來源怎麼留、內部規則怎麼定、按下送出的人有沒有讀得懂。如果已經覺得「買一個偵測器就結束」這句話太薄，歡迎從個別諮詢開始談。

看不見的印記會變成普通的基礎設施。變成基礎設施之後，真正值錢的不是擁有那枚印，而是知道怎麼讀它。

參考文獻

Footnotes

1. Anthropic, How Claude marks AI-generated content（Claude Help Center） ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷

2. Regulation (EU) 2024/1689, Article 50 / Recital 133 ↩ ↩²

3. European Commission, Strong backing for the Code of Practice on Transparency of AI-generated Content（2026-07-31公布，2026-09-24更新） ↩ ↩² ↩³ ↩⁴

4. Regulation (EU) 2024/1689, Article 99 ↩

5. Dathathri, S. et al. (2024). Scalable watermarking for identifying large language model outputs. Nature 634, 818–823. DOI: 10.1038/s41586-024-08025-4 ↩ ↩² ↩³ ↩⁴

6. Kirchenbauer, J. et al. (2023). A Watermark for Large Language Models. ICML 2023. arXiv:2301.10226 ↩ ↩²

7. Piet, J. et al. (2025). Mark My Words: Analyzing and Evaluating Language Model Watermarks. IEEE SaTML 2025. arXiv:2312.00273 ↩ ↩²

8. OpenAI, Understanding the source of what we see and hear online（2024-05-07，2024-08-04更新） ↩ ↩²

9. OpenAI Help, Provenance signals (Content Credentials, SynthID) in OpenAI-generated content ↩

10. OpenAI, Our approach to EU text provenance rules（OpenAI Developer Community，Announcements，2026-10-05）。openai.com上的全文無法取得，因此以官方論壇貼文確認 ↩ ↩²

11. TechCrunch, OpenAI will start watermarking ChatGPT's text in the EU（2026-10-05）。同義詞替換的數字是報導轉述的OpenAI測試結果，未對照第一手資料 ↩

12. Google AI for Developers, SynthID Text ↩

13. Jovanović, N., Staab, R., & Vechev, M. (2024). Watermark Stealing in Large Language Models. ICML 2024. arXiv:2402.19361 ↩ ↩²

14. Zhang, H. et al. (2024). Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models. ICML 2024. arXiv:2311.04378 ↩