Hoe werken tekstwatermerken van Claude?

Wat Claude tekstwatermerken zijn

Claude tekstwatermerken zijn een bias die wordt toegepast terwijl het model woorden kiest. Het is geen label dat aan het bestand is bevestigd, en het is geen reeks onzichtbare Unicode-tekens die u met een reguliere expressie kunt verwijderen. Anthropic beschrijft dit in Hoe de tekstwatermerken van Claude werken, gedateerd 14 augustus 2026: het schema "verandert alleen de bron van de willekeur die wordt gebruikt om uit woorden te kiezen", met behulp van een geheime sleutel plus de paar woorden die eraan voorafgingen. Omdat het merkteken in de gekozen woorden zelf zit, overleeft het kopiëren en plakken, en verdwijnt het wanneer de woorden veranderen.

Hieruit volgen twee zaken, en dit is waarom mensen naar dit onderwerp zoeken. Detectie is een statistische test die veel woorden nodig heeft voordat deze betekenisvol is; daarom kan het niets zinnigs zeggen over een enkele zin. En een negatief resultaat bewijst niets: het helpcentrum van Anthropic stelt dat een "gebrek aan een gedetecteerd merkteken niet betekent dat de inhoud niet door AI is gegenereerd of verwerkt".

De hulppagina Hoe Claude door AI gegenereerde inhoud markeert, gelezen op 18 augustus 2026, somt de oppervlakken op die het dekt: "Claude Platform (API), Claude, Claude Code, Claude Cowork en Claude Tag", inclusief toegang via AWS, Google Cloud en Microsoft Foundry. Modellen die op of na 2 augustus 2026 zijn gelanceerd, ondersteunen bij de lancering machinaal leesbare markering, en voor eerdere modellen wordt beschreven dat dit in ontwikkeling is. Die datum is geen toeval. Artikel 50 van de EU AI Act is van toepassing vanaf 2 augustus 2026 en vereist dat aanbieders van systemen die synthetische tekst genereren, de output markeren "in een machinaal leesbaar formaat en detecteerbaar als kunstmatig gegenereerd of gemanipuleerd". Anthropic stelt dat het de markering wereldwijd toepast in plaats van alleen op EU-verkeer.

Bestanden werken anders. De hulppagina stelt dat ondersteunde gegenereerde bestanden (".svg, .png of .jpg") cryptografisch ondertekende herkomstmetadata bevatten volgens de C2PA (Coalition for Content Provenance and Authenticity) standaard. Dat is metadata die naast de bestandsinhoud is bevestigd, geen wijziging van de inhoud zelf, en daarom is deze zo eenvoudig te verwijderen.

Hoe het watermerk de tokenkeuze beïnvloedt

Bij elke stap genereert een taalmodel een waarschijnlijkheid voor elk token (een token is een woord of een deel daarvan) dat het als volgende kan schrijven. Een sampler kiest er één, en normaal gesproken is de willekeur voor die keuze afkomstig van een gewone bron van willekeurige getallen. Een watermerk-sampler vervangt die bron door een pseudowillekeurige functie met een sleutel. De invoer hiervan bestaat uit de geheime sleutel en de voorgaande tokens, waardoor de keuze reproduceerbaar is voor iedereen die de sleutel bezit, terwijl het voor anderen op normale variatie lijkt.

De eerste breed geciteerde publieke versie is A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023). Vóór elk token selecteren de sleutel en de voorgaande tokens een pseudowillekeurige "groene" subset van het vocabulaire, en de sampler voegt een kleine bonus toe aan de score van die tokens. Niets is verboden, dus de tekst blijft vloeiend, maar groene tokens verschijnen iets vaker dan op basis van toeval verwacht mag worden.

De post van Anthropic stelt dat de implementatie gebaseerd is op SynthID-Text, in oktober 2024 door Google DeepMind gepubliceerd in Nature als Scalable watermarking for identifying large language model outputs, en dat deze familie van ideeën teruggaat op een voorstel uit 2022 van Scott Aaronson. SynthID-Text trekt verschillende kandidaat-tokens uit de eigen distributie van het model en voert een knock-outtoernooi tussen deze tokens uit, gescoord door de functie met sleutel, waardoor het overblijvende token er meestal een is die door de sleutel wordt bevoordeeld. De kandidaten zijn afkomstig uit de eigen distributie van het model, wat de reden is dat de gepubliceerde evaluatie geen meetbaar kwaliteitsverlies rapporteert.

Het gevolg dat ertoe doet is entropie. De bias heeft alleen ruimte om te werken waar het model een echte keuze had. Als het enige correcte volgende token Paris is, kan geen enkel schema dit verplaatsen zonder de tekst onjuist te maken. Anthropic stelt dit direct: watermarking "is schaarser in feitelijke passages waar er minder keuzes gemaakt kunnen worden zonder de nauwkeurigheid van de tekst te verminderen", en code "bevat over het algemeen minder watermarking dan sommige andere vormen van tekst" omdat deze meestal exact moet zijn. De signaaldichtheid volgt de mate van vrijheid die het model had, dus een lang stuk open proza draagt een sterk merkteken, terwijl een kort feitelijk antwoord er bijna geen bevat.

Eén eerlijke beperking op al het bovenstaande. Per 18 augustus 2026 heeft Anthropic de familie gepubliceerd waartoe het schema behoort, niet de parameters of de drempelwaarde van de detector. De mechanismen in deze sectie zijn afkomstig uit de geciteerde papers. Lees deze als het gepubliceerde ontwerp dat Anthropic noemt, niet als een beschrijving van de exacte configuratie van Claude.

Waarom detectie een hypothesetoets is en geen stempel

Een detector verwerkt de tekst en de sleutel. Deze loopt door de tekst heen, herberekent wat de sleutel op elke positie zou hebben geprefereerd, kent een score toe aan elk token en telt de scores bij elkaar op. De nulhypothese is dat de tekst is geschreven zonder die specifieke sampler: in dat geval gedragen de scores zich als het opgooien van een munt en ligt het totaal nabij de verwachte waarde. Watermarked tekst wijkt hiervan af naar boven. De output is een p-waarde, wat de kans is om een dergelijk hoog totaal te zien bij tekst zonder watermark, en een "gedetecteerd"-oordeel is die p-waarde vergeleken met een door iemand gekozen drempelwaarde.

Dat ontwerp heeft twee effecten die u in de praktijk merkt. Het vertrouwen groeit naarmate de lengte toeneemt, omdat elk extra token een extra stukje zwak bewijs is. Anthropic verwoordt het als volgt: "Het detecteren van een watermark werkt ook niet goed bij kleine samples, waar er minder woordkeuzes zijn en dus minder informatie om op af te gaan." De drempelwaarde is bovendien een afweging. Stelt u deze laag genoeg in om een alinea te markeren, dan zult u bij toeval ook menselijke alinea's gaan markeren.

U kunt deze test zelf nog niet uitvoeren. In de post van Anthropic staat dat zij "binnenkort een API voor watermark-detectie zullen aanbieden" en dat zij "bezig zijn met het uitwerken van de details van de implementatie". Per 18 augustus 2026 is er dus geen publieke Claude-watermarkdetector en kan niemand buiten Anthropic bevestigen of ontkennen of een bepaalde passage het kenmerk draagt.

Dat gat is van belang vanwege waar mensen in plaats daarvan naar grijpen. De commerciële "AI-detectoren" die aan scholen en redacteuren worden verkocht, zijn classifiers die getraind zijn op schrijfstijl. Zij beschikken over geen enkele sleutel en voeren geen test van dit type uit. Hun faalwijze is gedocumenteerd: GPT-detectoren zijn bevooroordeeld tegenover niet-moedertaalsprekers van het Engels (Liang et al., Patterns, 2023) stelde vast dat veelgebruikte detectoren meer dan de helft van een set TOEFL-essays van niet-moedertaalsprekers als AI-gegenereerd markeerden, terwijl samples van moedertaalsprekers correct werden geclassificeerd. Een watermark-detector en een stijl-classifier zijn verschillende machines. Laat u door niemand de tweede overhandigen terwijl men het de eerste noemt.

Wat verwijdert het watermerk

Korte output. Een antwoord van één regel bevat te weinig beslissingen om een statistiek te beïnvloeden. Er is geen oplossing, omdat dit een eigenschap van de test is en geen tekortkoming in de implementatie.

Een herschrijving. Anthropic stelt dat lichte bewerkingen het merkteken leesbaar kunnen laten, terwijl "een volledige herschrijving waarbij elk woord wordt vervangen" het verwijdert. Elk woord dat u vervangt, is een woord dat de sleutel niet langer kan verklaren.

Parafraseren via een ander model. Een tweede model kiest elk token opnieuw met zijn eigen sampler en zonder sleutel, waardoor het resultaat het merkteken van dat model draagt, indien aanwezig, en niet dat van Claude.

Vertaling, met één uitzondering. Het door een andere vertaler halen van Claude's Engelse tekst vernietigt het signaal, omdat een nieuwe sampler elk doelwoord kiest. Anthropic merkt het geval op dat de andere kant op werkt: "Een vertaling geproduceerd door Claude bevat een watermerk, omdat in dit geval elk woord door Claude wordt gekozen."

Code, grotendeels. Correcte code biedt weinig uitwisselbare keuzes. TechCrunch rapporteerde op 15 augustus 2026 dat Anthropic "een verwaarloosbaar effect op de daadwerkelijk geproduceerde code" verwacht, waarbij merken waarschijnlijker in commentaren verschijnen. Dat is een persbericht over een bedrijfsverklaring in plaats van gepubliceerde documentatie, dus beschouw het detail over commentaren als onbevestigd. Commentaren en namen van identifiers zijn de onderdelen van een patch met werkelijke ruimte voor keuzes.

Metadata verwijderen, voor bestanden. C2PA-herkomst bevindt zich naast de afbeeldingsgegevens, dus alles wat het bestand opnieuw codeert, verwijdert dit meestal, tenzij wordt aangegeven dat het behouden moet blijven. Dit geldt ook voor de image optimizer in een normale build voor een statische site. De helppagina van Anthropic noemt het verwijderen van metadata als een van de redenen waarom een merkteken ontbreekt.

Wat een gedetecteerd kenmerk daadwerkelijk bewijst

Minder dan het woord "watermerk" suggereert. De publicatie van Anthropic is direct: "Een watermerk kan alleen vaststellen dat Claude op enig moment waarschijnlijk betrokken was bij de inhoud. Het kan geen onderscheid maken tussen 'Claude heeft dit geschreven' en 'Claude heeft dit ingrijpend bewerkt'." De helppagina voegt toe dat "Claude mogelijk niet de oorspronkelijke auteur is", omdat mensen Claude gebruiken om teksten te bewerken die zij zelf hebben geproduceerd, en omdat de inhoud kan zijn gewijzigd nadat Claude deze heeft verwerkt.

Niets in het gepubliceerde materiaal van Anthropic beschrijft een signaal per account of per gebruiker. Het kenmerk geeft, zoals gedocumenteerd, aan dat een Claude-model betrokken was. Als iemand u vertelt dat een watermerk onthult welke gebruiker of welke API key een passage heeft geproduceerd, dan is die bewering per 18 augustus 2026 niet terug te vinden in de primaire bronnen.

Verandert dit iets aan het publiceren van AI-ondersteunde code vanaf uw server?

Voor code is het technische antwoord grotendeels nee, om twee redenen die al zijn genoemd: het signaal in exacte code is zwak en er bestaat geen publieke detector. Wat bepaalt of u mag publiceren is beleid, en dat beleid is niet veranderd. Open source-projecten hebben hun eigen regels opgesteld voor AI-ondersteunde bijdragen, en die regels worden gehandhaafd door een beheerder die uw pull request leest, niet door een detector die uw tokens analyseert.

Voor teksten die uw server genereert, is het antwoord ja, op één specifieke manier. Als een API-aanroep uw release notes of productpagina's schrijft, zijn de woorden van Claude en is het kenmerk daarin aanwezig. Het renderen van markdown naar HTML, minifying, het opslaan van het resultaat in Postgres en het serveren vanaf een CDN laten de woorden ongemoeid, waardoor het kenmerk behouden blijft. Wat het kenmerk verzwakt, is een menselijke redacteur die de zinnen herschrijft.

U kunt het watermerk niet wegprompten. Het wordt toegepast in de sampling-laag, onder de tekst die het model produceert, dus een instructie als "voorzie dit niet van een watermerk" heeft geen effect. Dit is een andere situatie dan de gebruikelijke redenen waarom een agent een instructie negeert, waarbij de instructie het model wel bereikte maar verloor van iets anders. Er is per 18 augustus 2026 geen gedocumenteerde opt-out voor API-klanten.

Als u Claude gebruikt om een server te beheren in plaats van om voor u te schrijven, verandert er zeer weinig. Shell-commando's en configuratiefragmenten zijn kort en beperkt, waardoor ze vrijwel geen signaal bevatten, en niets met betrekking tot markering beïnvloedt wat er op uw machine draait. Dagelijks systeembeheer met Claude roept een andere vraag op, namelijk wat er überhaupt uw machine verlaat: zie wat een coding agent daadwerkelijk vanaf uw server verstuurt.

Wat u moet openbaar maken

Openbaarmaking is een kwestie van regels, niet van detectie. Een watermerk creëert geen plicht tot openbaarmaking, en het ontslaat u er ook niet van. Bepaal welke regel voor u geldt en volg deze op, ongeacht of u wel of niet betrapt kunt worden.

De EU AI Act splitst deze taak in tweeën. Artikel 50(2) legt de markeringsplicht bij de aanbieder, in dit geval Anthropic, en aan deze verplichting voldoet deze uitrol. Artikel 50(4) legt een plicht bij de implementeerder: wie AI-gegenereerde tekst publiceert "om het publiek te informeren over zaken van algemeen belang", moet openbaar maken dat deze kunstmatig is gegenereerd. Er geldt een vrijstelling waar de meeste redactieteams onder vallen, namelijk wanneer "de door AI gegenereerde inhoud een proces van menselijke beoordeling of redactionele controle heeft ondergaan en waarbij een natuurlijke of rechtspersoon redactionele verantwoordelijkheid draagt voor de publicatie". Beide bepalingen zijn van kracht vanaf 2 augustus 2026. Een beoordeeld bericht met een genoemde redacteur wordt anders behandeld dan een feed die publiceert zonder dat een persoon de inhoud leest. Dit is een interpretatie van de tekst van de verordening en geen juridisch advies.

Andere regels gaan verder dan de wet. Uw arbeidsovereenkomst, uw klantovereenkomst, de bijdrager-handleiding van het project waar u patches naar verstuurt en het beleid van de uitgever waarvoor u schrijft, kunnen elk meer eisen. Dit zijn ook de regels die daadwerkelijk door iemand gecontroleerd zullen worden.

Wanneer u openbaar maakt, vermeld dan wat het model heeft gedaan en wat u heeft geverifieerd. "Concept geschreven met Claude, elk commando uitgevoerd op een schone Ubuntu 24.04 installatie vóór publicatie" vertelt een technische lezer iets concreets. Een algemeen "AI werd gebruikt"-badge doet dat niet, omdat het deel dat een model niet voor u kan doen, de controle is.

Gebruik het resultaat van een watermerk bovendien niet als beschuldiging. Een positief resultaat zegt dat een Claude-model ergens betrokken was, inclusief als redacteur van iemands eigen schrijfwerk. Een negatief resultaat zegt helemaal niets.

FAQ

Kan ik het tekstwatermerk van Claude uitschakelen?

Er is per 18 augustus 2026 geen gedocumenteerde opt-out beschikbaar. De helppagina van Anthropic beschrijft de markering voor Claude, het Claude Platform (API), Claude Code, Claude Cowork en Claude Tag, inclusief toegang via AWS, Google Cloud en Microsoft Foundry, en noemt geen instelling om dit uit te schakelen. Het model vragen om geen watermerk aan het antwoord toe te voegen heeft eveneens geen effect, omdat de markering wordt toegepast door de sampler die tokens kiest, en niet door het model dat uw instructie opvolgt.

Is het watermerk zichtbaar in code die Claude schrijft?

Nauwelijks. Watermarking werkt door te kiezen tussen opties die allemaal acceptabel zijn, en correcte code biedt zelden veel variatie. Anthropic stelt dat code "over het algemeen minder watermarking bevat dan andere vormen van tekst", omdat code meestal exact moet zijn. TechCrunch rapporteerde op 15 augustus 2026 dat Anthropic een verwaarloosbaar effect op de code zelf verwacht, waarbij markeringen waarschijnlijker zijn in commentaren; dit is een persbericht over een verklaring in plaats van gepubliceerde documentatie. De onderdelen van een patch waar ruimte is voor variatie zijn commentaren en namen van identifiers.

Bewijst het ontbreken van een watermerk in een detector dat een mens de tekst heeft geschreven?

Nee, en dit is de meest gemaakte fout bij watermerken. De eigen pagina van Anthropic stelt dat een "gebrek aan een gedetecteerde markering niet betekent dat de inhoud niet door AI is gegenereerd of verwerkt". De tekst kan te kort zijn om te testen, kan zijn bewerkt of geparafraseerd, kan afkomstig zijn van een model dat werd uitgebracht voordat de markering werd geïmplementeerd, of kan afkomstig zijn van een andere leverancier. De test is eenzijdig: het kan het vertrouwen vergroten dat Claude betrokken was, maar het kan nooit aantonen dat Claude niet betrokken was.

Verwijdert parafraseren of vertalen het watermerk?

Parafraseren via een ander model verwijdert het, omdat dat model elk woord opnieuw kiest met zijn eigen sampler en zonder sleutel. Vertalen met een externe tool verwijdert het om dezelfde reden. De uitzondering werkt in de andere richting: Anthropic stelt dat "een vertaling geproduceerd door Claude een watermerk bevat, omdat in dit geval elk woord door Claude wordt gekozen", dus het vertalen van uw eigen tekst met Claude voegt een markering toe die er voorheen niet was.

Kan ik zelf een document controleren op een Claude-watermerk?

Nog niet. Detectie vereist de sleutel, dus dit kan niet worden gedaan door de tekst te lezen of met een offline tool. Anthropic stelt dat het "binnenkort een API voor watermerkdetectie zal aanbieden" en werkt nog aan de details, dus per 18 augustus 2026 is er geen publieke detector beschikbaar. Alles wat vandaag als een Claude-detector wordt verkocht, is een stijlclassificator; dit is een ander mechanisme met een gedocumenteerd probleem van fout-positieven bij teksten van mensen wiens moedertaal niet het Engels is (Liang et al., Patterns, 2023).