Wasserzeichen für KI-Texte: Wie ein statistisches Muster nachweist, dass ein Text von einer KI stammt

Die Frage, ob ein Text von einem Menschen oder einer KI stammt, wird für Unternehmen zunehmend relevant. Nicht aus Neugier, sondern aus Gründen der Governance: Wer haftet für einen Inhalt, wer hat ihn tatsächlich verfasst, worauf kann sich eine Organisation verlassen. Ein Verfahren, das dafür in der Forschung entwickelt wurde, nennt sich statistisches Wasserzeichen.

Was viele denken

Die verbreitete Annahme lautet: KI-Texte erkennt man am Stil. Zu glatt, zu gleichförmig, bestimmte Formulierungen kommen zu oft vor. Das stimmt in der Praxis nur eingeschränkt. Menschen schreiben inzwischen ähnlich glatt, und KI-Modelle werden stilistisch immer vielfältiger. Eine zweite Annahme lautet, es müsse ein versteckter Code oder eine Art digitale Unterschrift im Text stecken, ähnlich einem Wasserzeichen auf Papier. Auch das trifft die Sache nicht ganz.

Was wirklich entscheidend ist

Ein Sprachmodell erzeugt Text Wort für Wort. An jeder Stelle stehen mehrere passende Kandidaten zur Auswahl, jeder mit einer eigenen Wahrscheinlichkeit. Beim Wasserzeichen-Verfahren wird ein geheimer Schlüssel genutzt, um diese Kandidaten an jeder Stelle in zwei Gruppen zu teilen: eine leicht bevorzugte und eine nicht bevorzugte Gruppe. Das Modell wählt dann etwas häufiger aus der bevorzugten Gruppe, ohne dass der Text dadurch unnatürlich wirkt.

Ein einzelnes Wort verrät nichts. Wer aber den Schlüssel kennt, kann bei einem längeren Text prüfen, wie oft Wörter aus der bevorzugten Gruppe tatsächlich vorkommen. Bei einem gewöhnlichen, ohne diesen Schlüssel entstandenen Text liegt dieser Anteil bei etwa der Hälfte. Bei einem Text, der mit dem Schlüssel erzeugt wurde, liegt er deutlich darüber. Das Prinzip ähnelt einer Münze, die eigentlich fair sein sollte: Bei vier Würfen fällt eine Häufung nicht auf, bei zehntausend Würfen schon.

Dieses Verfahren wurde 2023 unter dem Titel „A Watermark for Large Language Models“ von Forschern der University of Maryland veröffentlicht und wird seither in der Fachwelt unter dem Namen der Autoren referenziert. Wer sich für die technischen Details interessiert, findet die Originalarbeit frei zugänglich auf arXiv (Kirchenbauer et al., 2023).

Wichtig für das Verständnis: Es handelt sich nicht um eine Verschlüsselung, aus der sich ein Klartext wiederherstellen lässt. Der Text ist von Anfang an lesbar. Der Schlüssel dient allein dazu, bei der Erzeugung ein Muster anzulegen und bei der Prüfung dasselbe Muster wiederzufinden. Es gibt keinen separaten Signaturblock, der am Text hängt und bei jeder Änderung ungültig würde. Das Muster steckt in der gesamten statistischen Verteilung der Wortwahl.

Was das für Entscheider bedeutet

Ein Wasserzeichen dieser Art kann nur nachweisen, was mit einem passenden System bewusst erzeugt wurde. Es ist kein allgemeiner Detektor, der jeden beliebigen KI-Text erkennt, sondern ein Verfahren, das ein Anbieter aktiv in sein Modell einbauen muss. Für die eigene Governance bedeutet das: Die Frage ist nicht nur, ob sich KI-Texte erkennen lassen, sondern mit welchem System ein Text erzeugt wurde und ob dieses System ein Wasserzeichen überhaupt aktiviert hat.

Ein Text ohne Wasserzeichen ist damit nicht automatisch menschlichen Ursprungs. Er kann ebenso gut von einem Modell ohne dieses Verfahren stammen. Genau diese Unterscheidung wird in vielen internen Richtlinien zu KI-generierten Inhalten bisher nicht klar getroffen. Eine strukturierte Analyse der eigenen KI-Richtlinien zeigt, wo diese Unterscheidung heute fehlt.

Fazit

Jedes Quartal ohne eine klare Position dazu, welche Nachweisbarkeit ein Unternehmen von seinen eingesetzten KI-Systemen erwartet, ist eine Entscheidung gegen diese Klarheit.

Mit einer breiteren Nutzung solcher Verfahren lässt sich absehen, dass sich in Zukunft wahrscheinlich nachvollziehen lässt, welches KI-System einen bestimmten Text erzeugt hat, nicht nur, dass überhaupt eine KI beteiligt war.