~/carrero.es
carrero.es
# Marketing y posicionamiento

Marcas de agua para la IA: quizá estamos intentando identificar lo equivocado

· David Carrero Fdez-Baillo · 18 min de lectura

Durante años hemos dedicado bastante tecnología a borrar rastros de los archivos que circulan por Internet. Quitamos metadatos de las fotografías para proteger la privacidad, limpiamos documentos antes de enviarlos, recomprimimos imágenes, eliminamos información EXIF y hemos desarrollado herramientas capaces de reconstruir contenido digital hasta hacer desaparecer señales que parecían difíciles de borrar. Ahora llega la inteligencia artificial generativa y queremos hacer justo lo contrario: llenar sus contenidos de marcas invisibles para poder reconocerlos después. La intención tiene sentido. Lo que no tengo tan claro es que estemos haciendo la pregunta correcta.

Las claves de las marcas de agua de la IA en 30 segundos

  • Anthropic ha empezado a incorporar marcas legibles por máquina en los nuevos modelos Claude para adaptarse, entre otras razones, a las obligaciones europeas de transparencia.
  • La propia compañía reconoce que detectar una marca no demuestra que Claude sea el autor original del contenido.
  • Una edición profunda, traducción o paráfrasis puede hacer desaparecer la señal.
  • Estudios académicos ya han demostrado que algunas marcas invisibles en imágenes pueden neutralizarse regenerando parte del contenido con otra IA.
  • A largo plazo puede resultar más útil acreditar procedencia y responsabilidad humana que intentar detectar todo lo artificial.

La paradoja me parece interesante porque resume bastante bien el momento tecnológico en el que estamos.

Queremos saber qué ha hecho una inteligencia artificial justo cuando las máquinas están adquiriendo la capacidad de transformar casi cualquier objeto digital conservando aquello que realmente nos importa de él.

Una fotografía puede regenerarse. Un texto puede reescribirse. Una voz puede sintetizarse de nuevo. Un vídeo puede editarse o recrearse. Un documento puede pasar por varios modelos antes de llegar a su destinatario.

La pregunta es cuánto puede sobrevivir una marca cuando el contenido que la transporta deja de ser algo estático.

Claude empieza a marcar sus textos, pero Anthropic reconoce los límites

El caso que ha vuelto a poner este debate encima de la mesa es Claude.

Anthropic ha firmado el Código de Prácticas de la Unión Europea relacionado con el artículo 50(2) del Reglamento de Inteligencia Artificial (AI Act) y ha explicado cómo pretende aplicar las obligaciones de transparencia a sus modelos.

Los modelos Claude lanzados en la Unión Europea desde el 2 de agosto de 2026 incorporan marcado legible por máquina desde su lanzamiento. La compañía también trabaja para extenderlo a modelos anteriores durante el periodo transitorio.

Hay dos tecnologías diferentes.

Para el texto, Claude introduce una marca invisible dentro de la propia generación. Anthropic asegura que no modifica el significado, la calidad ni la legibilidad y que puede acompañar al contenido cuando se copia y pega.

En determinados archivos, como PNG, JPG o SVG, utiliza además metadatos de procedencia firmados siguiendo C2PA, el estándar abierto de la Coalition for Content Provenance and Authenticity.

Hasta aquí todo parece razonable.

El problema aparece unas líneas más abajo en la propia documentación de Anthropic.

La compañía advierte de que encontrar una marca de Claude no confirma por sí mismo la procedencia completa del contenido. Claude puede haberse limitado a corregir, traducir, resumir o convertir un documento cuyo contenido original procedía de una persona.

Y también reconoce el problema contrario: no encontrar la marca tampoco demuestra que Claude no haya intervenido.

Una edición intensa, una paráfrasis, una traducción, la mezcla con otros textos o incluso disponer de un fragmento demasiado corto pueden hacer que la señal deje de ser detectable. En los archivos, convertir el formato, volver a guardarlos o realizar una captura de pantalla puede eliminar determinados metadatos.

Es decir:

marca detectada ≠ contenido creado por Inteligencia Artificial.

Y:

marca no detectada ≠ contenido creado por un humano.

No lo digo como crítica a Anthropic. De hecho, me parece positivo que sea la propia empresa quien explique claramente estas limitaciones.

El problema aparece cuando fuera del laboratorio convertimos una señal técnica en una respuesta absoluta.

Europa obliga a marcar, pero tampoco dice que la marca sea una máquina de la verdad

Hay otro matiz importante.

Anthropic no se ha levantado una mañana pensando que sería divertido dejar una firma invisible en cada respuesta de Claude. Existe detrás una nueva obligación regulatoria europea.

El artículo 50 del AI Act establece que los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto deben procurar que sus resultados estén marcados en un formato legible por máquina y puedan detectarse como generados o manipulados artificialmente.

Pero la propia norma introduce algo bastante sensato: exige que esas soluciones sean efectivas, interoperables, robustas y fiables hasta donde sea técnicamente posible, teniendo en cuenta las características del contenido y el estado de la técnica. Además, el artículo contempla una excepción cuando la Inteligencia Artificial desempeña una función auxiliar de edición estándar o no altera sustancialmente los datos introducidos o su significado.

La Comisión Europea también ha aclarado recientemente que la obligación de marcado del proveedor y la obligación de informar al público no son exactamente lo mismo. En determinados casos no basta con esconder una señal técnica dentro del contenido: la información debe resultar comprensible para la persona que lo recibe.

Esto es importante porque ayuda a colocar las marcas de agua donde probablemente deben estar.

Son una herramienta de transparencia y procedencia.

No necesariamente un detector universal de inteligencia artificial.

Google lleva tiempo demostrando que marcar texto sí es técnicamente posible

Tampoco sería correcto concluir que las marcas no sirven para nada.

Google DeepMind lleva años trabajando con SynthID y en 2024 publicó en Nature los resultados de SynthID-Text, una técnica que introduce la señal modificando el propio proceso de selección de tokens del modelo.

En lugar de añadir un texto oculto al final del documento, la señal queda distribuida estadísticamente entre las decisiones que toma el modelo mientras escribe.

El experimento es relevante por su escala.

Google evaluó SynthID-Text en producción sobre casi 20 millones de respuestas de Gemini y los investigadores afirmaron que las pruebas no mostraron una pérdida apreciable de calidad. El sistema permitió detectar el marcado sin necesidad de ejecutar nuevamente el modelo que había generado el contenido.

Así que sí: técnicamente podemos marcar texto generado por una Inteligencia Artificial.

La cuestión interesante viene después.

¿Durante cuánto tiempo podemos seguir detectándolo?

Porque Internet no funciona como una vitrina en la que colocamos un documento y nadie vuelve a tocarlo.

Los contenidos viajan.

El problema es que ahora tenemos máquinas extraordinariamente buenas transformando contenido

Aquí es donde creo que cambia completamente el juego.

Hasta hace relativamente poco eliminar una marca resistente podía requerir conocer cómo estaba construida, degradar considerablemente el archivo o desarrollar un ataque específicamente diseñado contra ella.

La IA generativa introduce otra posibilidad: no hace falta borrar exactamente la marca si podemos volver a generar el contenido.

Un texto de 2.000 palabras puede convertirse en otro texto de 2.000 palabras que diga prácticamente lo mismo utilizando otras palabras, estructuras y construcciones.

Una imagen puede mantener a la persona, el objeto o la escena principal mientras cambia partes del fondo.

Una grabación puede transcribirse y sintetizarse nuevamente.

Ya no siempre atacamos la marca. A veces simplemente fabricamos otra representación del mismo contenido.

Y eso es bastante más difícil de resolver.

Un trabajo teórico publicado por investigadores de Harvard, MIT, Georgetown y otras instituciones analizó precisamente la posibilidad de construir marcas realmente resistentes para modelos generativos. Su conclusión es incómoda: bajo determinadas hipótesis razonables, una marca fuerte que no pueda eliminarse sin degradar sustancialmente la calidad resulta imposible. Los investigadores demostraron además ataques contra tres esquemas de marcas de agua para grandes modelos de lenguaje.

No significa que cualquier marca pueda eliminarse trivialmente ni que todos los sistemas actuales estén derrotados.

Significa que existe un problema de fondo.

Cuanto mejor sea una máquina reinterpretando un contenido sin destruir su utilidad, más complicado será obligar a que una determinada señal permanezca pegada a él para siempre.

Y con las imágenes ya sabemos que no es solamente teoría

La investigación con imágenes ofrece ejemplos todavía más fáciles de visualizar.

En 2023 un grupo de investigadores demostró que determinadas marcas invisibles a nivel de píxel podían atacarse mediante modelos generativos. El método introducía ruido para alterar la señal y posteriormente reconstruía la imagen utilizando modelos generativos. Los experimentos mostraron vulnerabilidades en cuatro esquemas diferentes.

Otro trabajo publicado en mayo de 2025 llevó la idea bastante más lejos.

Investigadores del International Computer Science Institute, Arizona State University, Lawrence Berkeley National Laboratory y la Universidad de California en Berkeley presentaron SemanticRegen.

El concepto me parece especialmente interesante.

SemanticRegen no intenta conservar matemáticamente todos los píxeles de una imagen. Intenta conservar lo que nosotros consideramos importante de ella.

Primero un modelo de visión describe el contenido. Después otro sistema identifica y segmenta los objetos principales. Finalmente un modelo generativo reconstruye determinadas partes del fondo manteniendo los elementos relevantes.

Los autores probaron el método con más de 1.000 prompts sobre cuatro sistemas de marcas: TreeRing, StegaStamp, StableSig y DWT/DCT. SemanticRegen logró superar el criterio de eliminación establecido para TreeRing y redujo la precisión de las otras marcas mientras mantenía una elevada similitud en las zonas visualmente importantes.

Aquí aparece para mí una de las grandes ironías de todo este asunto.

Estamos utilizando inteligencia artificial para crear contenido, tecnología para marcarlo como artificial y nuevamente inteligencia artificial para reconstruirlo sin conservar necesariamente esa marca.

No parece una batalla con un final sencillo.

Ya hemos creado herramientas para borrar rastros digitales durante décadas

Además hay algo que resulta casi cómico si uno lleva suficientes años en Internet.

Durante mucho tiempo hemos recomendado exactamente lo contrario.

Eliminar EXIF de las fotografías antes de publicarlas podía proteger información privada.

Limpiar metadatos de documentos evitaba revelar autores, rutas internas, nombres de usuario o información sobre el software utilizado.

Las plataformas sociales recomprimen fotografías.

Los gestores documentales transforman formatos.

Los editores vuelven a guardar archivos.

Los CMS procesan imágenes automáticamente.

Los sistemas de mensajería crean versiones nuevas.

Muchas de estas operaciones son perfectamente legítimas y algunas incluso deseables desde el punto de vista de la privacidad y la seguridad.

Ahora queremos que determinados metadatos sobrevivan a toda esa cadena.

No es imposible, pero existe una tensión evidente.

Ya ha aparecido incluso un proyecto abierto denominado watermarks-remover que agrupa mecanismos para limpiar distintos rastros asociados a contenidos digitales, desde caracteres Unicode y metadatos hasta técnicas de reescritura destinadas a alterar señales estadísticas. Sus propios desarrolladores advierten de que estas últimas son de mejor esfuerzo y no permiten certificar que desaparezca la marca oficial de un proveedor.

No hace falta utilizar ninguna de esas herramientas para entender la dinámica.

Cada sistema de marcado crea inmediatamente un incentivo para investigar cómo eliminarlo.

Y ahora ambas partes tienen IA.

El verdadero problema empieza cuando queremos decidir qué es humano

Aquí es donde personalmente tengo más dudas.

Supongamos que escribo este artículo desde cero y después utilizo Claude para corregir cinco erratas.

¿Es contenido humano?

Yo diría que sí.

Supongamos que le pido mejorar dos párrafos porque no terminan de convencerme.

¿Sigue siendo humano?

Probablemente.

¿Y si utilizo la Inteligencia Artificial para encontrar fuentes pero las leo y compruebo personalmente?

¿Y si genero una estructura inicial?

¿Y si escribo el 70 % y la Inteligencia Artificial completa el resto?

¿Y si ocurre al revés, la Inteligencia Artificial genera un borrador y después paso dos horas haciendo cambios personalmente?

¿En qué porcentaje exacto deja algo de ser humano?

No creo que exista una respuesta técnica satisfactoria porque quizá la pregunta esté mal planteada.

Estamos intentando dividir el mundo en dos categorías:

humano / IA.

Pero el mundo hacia el que vamos probablemente se parecerá mucho más a esto:

humano + IA + humano + otra IA + software tradicional + revisión humana + publicación.

Dentro de pocos años quizá LibreOffice, Word, Gmail/Outlook/Thunderbird, Photoshop, nuestro IDE, el navegador, el móvil y el sistema operativo incorporen agentes trabajando permanentemente alrededor de nosotros. De hecho estoy seguro que tendremos agentes con inteligencias artificiales que podrás correr 100% en local, y este será un paso clave para nuestra privacidad y no se si libertad.

Encontrar un documento profesional en el que ninguna inteligencia artificial haya intervenido podría terminar siendo más raro que encontrar uno que haya pasado por alguna.

¿Qué valor tendrá entonces detectar que «una Inteligencia Artificial tocó este archivo»?

Quizá bastante poco.

Puede que acabemos marcando a los humanos

Por eso llevo unos días dándole vueltas a la posibilidad contraria.

Igual estamos intentando marcar el lado equivocado.

Ahora queremos conseguir esto:

«Este contenido ha sido generado por una IA».

Pero quizá dentro de unos años lo valioso sea poder demostrar:

«Este contenido procede de esta persona». Con nombre y apellidos, totalmente identificable en el mundo real.

Parece una diferencia semántica, pero tecnológicamente cambia bastante el problema.

Ya no estaríamos intentando detectar estadísticamente algo desconocido.

Estaríamos verificando una identidad y una cadena de procedencia.

Una cámara podría firmar criptográficamente una fotografía en el momento de capturarla.

Un periodista podría firmar determinadas versiones de un artículo.

Una universidad podría certificar que un examen se realizó en unas condiciones determinadas.

Un investigador podría acreditar cuándo creó un documento y cómo fue evolucionando.

Una empresa podría registrar quién generó, revisó y finalmente aprobó un informe.

No demostraríamos que cualquier contenido sin esa certificación ha sido creado por inteligencia artificial.

Eso sería otro error.

Demostraríamos algo mucho más limitado, pero también mucho más sólido:

conocemos el origen de este contenido.

C2PA puede ser más interesante por esto que por detectar IA

C2PA apunta precisamente hacia esa idea de procedencia.

El estándar no está diseñado simplemente para colocar una etiqueta de «IA» sobre una fotografía. Permite almacenar afirmaciones sobre cómo se creó un activo, qué transformaciones recibió y qué actores participaron en ellas, agrupándolas en manifiestos firmados digitalmente.

Su especificación habla explícitamente de información criptográficamente verificable y de mantener un historial de procedencia a medida que el contenido se transforma.

Esto me parece bastante más interesante que la eterna pregunta de si un detector cree que un texto tiene un 83 % de probabilidades de haber sido generado por una máquina.

No pregunta:

«¿Esto parece humano?»

Pregunta:

«¿Qué sabemos realmente sobre el origen de esto?»

La diferencia es enorme.

Por supuesto tampoco resuelve mágicamente el problema.

Una persona podría firmar un contenido generado íntegramente por una Inteligencia Artificial. Una cámara podría fotografiar una pantalla. Una identidad podría verse comprometida. Una cadena de procedencia puede romperse cuando una plataforma elimina la información asociada.

La criptografía puede demostrar que determinados datos no han sido modificados desde que fueron firmados.

No puede demostrar que la persona que pulsa el botón haya tenido una idea.

Pero al menos estamos trasladando el problema desde una inferencia estadística sobre el contenido hacia una cadena verificable de hechos.

Y eso parece un terreno bastante más sólido.

Quizá la pregunta no sea quién escribió cada palabra

Hay otro cambio que creo que terminará llegando.

Probablemente dejaremos de obsesionarnos con quién escribió literalmente cada palabra y empezaremos a preguntar quién responde por lo publicado.

Esto ya ocurre en muchos ámbitos.

Un directivo no escribe necesariamente cada línea de un informe que firma.

Un investigador trabaja con colaboradores y herramientas.

Un periodista utiliza editores, correctores, bases de datos y fuentes.

Un programador no ha escrito personalmente todas las líneas de las librerías que utiliza.

La inteligencia artificial añade una herramienta extraordinariamente capaz a esa cadena, pero no elimina necesariamente la responsabilidad humana.

En un medio de comunicación importa quién verifica una información y quién asume la responsabilidad editorial.

En una empresa importa quién aprueba una decisión.

En una universidad importa qué capacidad concreta del estudiante se está evaluando.

En software importa quién revisa y despliega el código.

Eso nos lleva a una cuestión bastante más incómoda que detectar marcas de agua.

Quizá el problema real no sea saber si hubo una Inteligencia Artificial. Quizá sea saber si hubo un humano responsable.

Y eso no se detecta analizando tokens.

Podemos acabar construyendo un Internet al revés

Hay un escenario que me parece perfectamente posible.

Dentro de unos años la mayor parte del contenido digital tendrá algún grado de participación de inteligencia artificial.

Textos.

Fotografías.

Vídeos.

Código.

Presentaciones.

Correos electrónicos.

Traducciones.

Informes.

Entonces detectar «contenido que ha pasado por IA» será parecido a detectar hoy un documento que ha pasado por un procesador de textos.

No aportará demasiado.

Lo escaso será otra cosa.

Contenido con una procedencia verificable.

Una fotografía de la que podamos acreditar cuándo y con qué dispositivo fue capturada.

Un documento cuya cadena de modificaciones conozcamos.

Un vídeo firmado desde su origen.

Un artículo asociado a una identidad y a una responsabilidad editorial.

Puede que terminemos construyendo algo parecido a una prueba de humanidad, aunque seguramente no deberíamos llamarla así porque nunca será absoluta.

No certificaremos que algo no contiene IA.

Certificaremos que en determinados puntos del proceso hubo personas identificadas que participaron y asumieron responsabilidad.

Y curiosamente puede que eso sea bastante más sencillo que intentar perseguir todas las máquinas.

No creo que las marcas de agua sean inútiles

Después de todo esto sería fácil llegar a una conclusión demasiado simple: las marcas de agua no sirven.

No creo que sea así.

Pueden aportar señales útiles.

Pueden ayudar a los proveedores a cumplir obligaciones de transparencia.

Pueden servir en investigaciones.

Pueden permitir identificar determinados contenidos cuando la marca permanece intacta.

Pueden dificultar usos masivos poco sofisticados.

Y combinadas con sistemas de procedencia, firmas digitales y otras señales pueden formar parte de mecanismos bastante útiles.

El error sería pedirles algo que probablemente nunca podrán ofrecernos:

una frontera perfecta entre lo humano y lo artificial.

Esa frontera ya está desapareciendo.

Anthropic reconoce que una marca detectada no prueba que Claude sea el autor y que una marca ausente tampoco demuestra que Claude no haya intervenido. La investigación académica lleva años mostrando la dificultad de construir marcas resistentes a adversarios capaces de transformar el contenido. Y las propias herramientas generativas hacen que esas transformaciones sean cada vez más fáciles.

Quizá estamos dando algunos palos de ciego porque todavía intentamos resolver con etiquetas binarias un cambio mucho más profundo.

Durante años Internet nos enseñó a borrar nuestros rastros digitales.

Ahora queremos que las máquinas dejen rastros imposibles de borrar.

Y justo cuando empezamos a conseguirlo hemos inventado máquinas capaces de rehacer prácticamente cualquier contenido.

Puede que la solución no consista en perseguir eternamente lo artificial.

Puede que acabemos haciendo justo lo contrario: dar más valor a aquello cuyo origen podemos acreditar.

No «esto no lo hizo una IA».

Algo bastante más útil:

«Sabemos quién está detrás de esto».

Y, sobre todo:

«Sabemos quién responde por ello».

Preguntas frecuentes

¿Qué marca de agua está incorporando Anthropic a Claude?

Anthropic utiliza una marca invisible integrada en el texto generado por los modelos compatibles y metadatos de procedencia firmados para determinados archivos. La compañía indica que las marcas se aplican a nivel de modelo y que está preparando mecanismos para que terceros puedan detectarlas.

¿Una marca de Claude demuestra que el texto fue escrito por inteligencia artificial?

No. Anthropic explica expresamente que una marca indica que el contenido puede haber sido procesado por Claude, pero el original podría proceder de una persona y haberse utilizado el modelo únicamente para corregir, traducir, resumir o transformar el documento.

¿Pueden desaparecer las marcas de agua de la IA?

Depende del sistema. Anthropic reconoce que una edición profunda, paráfrasis, traducción o mezcla con otros textos puede impedir detectar su marca. La investigación académica también ha demostrado ataques contra diferentes esquemas de marcas de agua en texto e imágenes.

¿Tiene más sentido certificar contenido humano que detectar contenido de IA?

Es una posibilidad a medida que humanos e IA trabajen cada vez más mezclados. Los sistemas de procedencia como C2PA no certifican que un contenido sea «100 % humano», pero permiten registrar información verificable sobre su origen, transformaciones y participantes, que puede resultar más útil que una clasificación binaria entre humano e IA.

Fuentes:

en Marketing y posicionamiento, Internet y sociedad