KI-Texte tragen ab Dezember ein unsichtbares Zeichen. Was es verrät und was nicht

TL;DR. Anthropic hat seinen API-Kunden Ende Oktober geschrieben, dass jetzt auch die älteren Claude-Modelle ein unsichtbares Wasserzeichen in ihre Texte schreiben. Der Grund ist die KI-Verordnung der EU: Bis zum 2. Dezember müssen alle Anbieter ihre Texte maschinenlesbar kennzeichnen. OpenAI markiert ChatGPT in der EU, Google seine Gemini-App schon seit 2024. Prüfen können Sie das Zeichen selbst nicht. Wir haben das offene Verfahren, auf dem Claudes Zeichen beruht, mit 80 deutschen Geschäftstexten nachgestellt: Unverändert wurde jeder markierte Text erkannt, nach dem Tausch jedes vierten Wortes nur noch gut jeder dritte. Das Zeichen ist ein Werkzeug für Prüfer, kein Beweis und keine Entlastung. Ihre eigene Pflicht zur Kennzeichnung bleibt.

Was Ende Oktober passiert ist

Laut einer Mail an API-Kunden, über die The Decoder am 31. Oktober berichtet hat, bekommen vier weitere Modelle das Wasserzeichen: Claude Mythos 5, Opus 4.7, Opus 4.6 und Sonnet 4.6. Modelle, die seit dem 2. August erschienen sind, etwa Opus 5.5, schreiben es von Anfang an. Abschalten lässt es sich nicht, auch nicht bei AWS, Google Cloud oder Microsoft.

Der Grund steht in Artikel 50 der KI-Verordnung. Wer ein KI-System anbietet, das Texte, Bilder oder Töne erzeugt, muss die Ausgaben seit dem 2. August maschinenlesbar kennzeichnen. Für Systeme, die schon vorher am Markt waren, gibt die Änderungsverordnung 2026/1744 Zeit bis zum 2. Dezember. Rund 190 Organisationen haben im Juli den Verhaltenskodex der EU-Kommission dazu unterzeichnet, darunter Anthropic, Google, Meta, Microsoft, Mistral und OpenAI.

• Anthropic markiert weltweit und ohne Schalter. Dateien bekommen zusätzlich einen signierten Herkunftsvermerk (C2PA).
• OpenAI hat am 5. Oktober sein Verfahren textGrain vorgestellt. Für ChatGPT und Codex ist es in der EU an, in der API weltweit aus und einschaltbar.
• Google nutzt SynthID Text seit 2024 in der Gemini-App, das Verfahren ist offen.

Wie das Zeichen in den Text kommt

Ein Sprachmodell schreibt Wort für Wort. Nach „Das Wetter war kalt und …“ passen „grau“ und „trüb“ gleich gut, normalerweise entscheidet der Zufall. Mit Wasserzeichen entscheidet ein geheimer Schlüssel zusammen mit den Wörtern davor. Der Text liest sich gleich, aber wer den Schlüssel hat, kann nachrechnen, ob die Wortwahl auffällig oft dazu passt. So beschreibt es Anthropic in seiner Erklärung vom 14. August: keine versteckten Zeichen, keine Mehrkosten, keine Angaben über Nutzer oder Firma.

Daraus folgt der wichtigste Punkt: Prüfen kann nur, wer den Schlüssel hat. Anthropic gibt seine Prüf-Schnittstelle bisher nur an Behörden, Medien, Forschende und Unternehmen, die selbst prüfen müssen. Bei OpenAI ist es ähnlich. Online-Dienste, die Claude-Texte zu erkennen versprechen, haben ihn nicht und raten anhand typischer Formulierungen.

Der Haken

• Kurze Texte tragen wenig. OpenAI erkennt nach eigenen Angaben bei 400 Token rund 94 % der markierten Texte, bei 200 Token rund 80 %. Bei Mathematik sind es auch bei 400 Token nur rund 60 %.
• Bearbeiten löscht das Zeichen. Ersetzt man 10 % der Wörter durch Synonyme, sinkt die Erkennung bei OpenAI auf 66 %, bei 25 % auf rund 17 %.
• Ein Treffer beweist wenig. Ein Text, den Claude nur übersetzt hat, trägt das Zeichen ebenfalls. Anthropic schreibt selbst, ein Treffer sei „nicht vollständig beweiskräftig“. Kein Treffer beweist erst recht nichts.
• Ein Schlupfloch bei zwei Modellen. Bei Opus 4.6 und Sonnet 4.6 wirkt das Zeichen laut der Mail nur, wenn drei Einstellungen für den Zufall auf Standard stehen (temperature, top_p, top_k). Wer eine davon leicht ändert, bekommt Text ohne Zeichen. Anthropic rät, die Standardwerte zu lassen, wenn man sich für die eigene Pflicht auf das Zeichen verlässt.

Wir haben nachgemessen

Claudes Schlüssel hat nur Anthropic. Das Verfahren, auf dem das Zeichen beruht, ist aber offen: SynthID Text von Google DeepMind. Wir haben es am 1. November auf einem Mac mit einem kleinen offenen Modell nachgestellt (Qwen 2.5, 1,5 Mrd. Parameter). 20 Aufträge aus dem Firmenalltag, je zweimal, von der Produktbeschreibung bis zur Kundenmail: 40 Texte mit Zeichen, im Schnitt 166 Wörter lang, und 40 ohne. Wie bei OpenAI durfte höchstens einer von 100 Texten ohne Zeichen fälschlich anschlagen.

• Unverändert wurden alle 40 markierten Texte erkannt. Keiner der 40 ohne Zeichen schlug an.
• Die Länge entscheidet. Aus den ersten 50 Wörtern erkannten wir 29 von 40 Texten, aus den ersten 25 Wörtern nur 9.
• Jedes getauschte Wort kostet. Ersetzt man jedes zehnte Wort, bleiben 37 von 40 erkennbar, bei jedem vierten 14, bei jedem zweiten 3.
• Neu formulieren löscht es fast ganz. Ohne Zeichen umgeschrieben, bleiben 2 von 40.

Anthropic nutzt eine eigene Variante mit einem viel größeren Modell, die genauen Werte für Claude liegen anders. Die Richtung ist bei OpenAI und bei uns dieselbe: Ein langer, unberührter Text verrät sich zuverlässig. Wer kürzt oder neu formulieren lässt, löscht das Zeichen schnell.

Was das für den Mittelstand heißt

Das Wasserzeichen erfüllt die Pflicht des Anbieters, nicht Ihre. Als Firma, die KI nutzt, sind Sie nach Artikel 50 Absatz 4 „Betreiber“. Deepfakes, also echt wirkende erzeugte Bilder, Töne oder Videos, müssen Sie offenlegen. Texte, die veröffentlicht werden, „um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren“, ebenfalls, es sei denn, ein Mensch hat sie geprüft und trägt die redaktionelle Verantwortung. Produktbeschreibungen und Kundenmails fallen nach dem Wortlaut meist nicht darunter, Pressemitteilungen und öffentliche Stellungnahmen können darunter fallen. Verstöße kosten bis zu 15 Mio. Euro oder 3 % des Jahresumsatzes, bei kleinen und mittleren Unternehmen der niedrigere Betrag.

Wer selbst eine KI-Anwendung anbietet, etwa einen Chat auf der Website, kann Anbieter nach Absatz 2 sein. Dann zählt das Zeichen des Modells für Ihre eigene Pflicht, und mit ihm die Einstellungen.

Und: Ob ein Text mit Claude oder ChatGPT entstanden ist, können Behörden und Medien künftig prüfen. Wo Kunden KI vertraglich ausgeschlossen haben, gehört das jetzt auf den Tisch.

Was Sie jetzt tun sollten

1. Werkzeuge erfassen. Notieren Sie, womit Ihre Firma Texte erzeugt und ob das markiert: Claude immer, ChatGPT in der EU, die OpenAI-API nur, wenn eingeschaltet.
2. Eigene Anwendungen vor dem 2. Dezember prüfen. Wer Claude oder OpenAI in eigene Produkte einbaut, klärt, ob er Anbieter ist. Bei Opus 4.6 und Sonnet 4.6 die drei Zufallseinstellungen auf Standard lassen oder auf neuere Modelle wechseln. Bei OpenAI das Zeichen in der API einschalten.
3. Die eigene Kennzeichnung regeln. Für Deepfakes und öffentliche Texte festlegen, wer gegenliest und wer verantwortet, und das schriftlich festhalten. Der Name unter dem Text zählt mehr als das Zeichen darin.
4. Keinen Online-Detektor über Menschen urteilen lassen. Weder bei Bewerbungen noch bei Lieferanten. Ohne Schlüssel raten diese Dienste, und selbst ein echter Treffer zeigt nur, dass KI beteiligt war.
5. Mit Kunden offen sprechen. Wo Verträge KI ausschließen oder Kunden nicht damit rechnen, jetzt klären, wie Sie KI einsetzen.

Das Zeichen macht KI-Texte nachprüfbar, aber nur für wenige und nur, solange niemand umformuliert. Die eigentliche Frage bleibt: Wer hat den Text gelesen, bevor er rausging? Wenn Sie Ihren KI-Einsatz einmal entlang der KI-Verordnung sortieren wollen, sehen wir uns das gern gemeinsam an.