Supongamos que escribo este artículo de principio a fin. Es mío. Después se lo envío a Claude y le digo:

«Revísame las erratas, mejora la puntuación y dime si encuentras alguna frase confusa».

Claude devuelve el texto corregido.

¿Quién ha escrito el artículo?

La respuesta parece bastante sencilla: yo. Vale. Ahora añadamos una nueva variable.

A partir de agosto de 2026, Anthropic ha comenzado a introducir mecanismos de marcado legibles por máquina en el contenido producido por determinados modelos Claude. En el caso del texto, la compañía habla expresamente de un watermark imperceptible integrado en el propio texto. Para determinados ficheros utiliza, en cambio, metadatos de procedencia firmados digitalmente siguiendo C2PA. La medida se enmarca en las nuevas obligaciones de transparencia del artículo 50 del Reglamento europeo de Inteligencia Artificial.

Por tanto, mi artículo, que escribí yo, podría regresar de una simple corrección ortográfica con una señal detectable asociada a Claude. Y entonces aparece la pregunta que me interesa mucho más que el propio watermark:

¿qué estamos demostrando exactamente cuando detectamos esa marca?

Porque una cosa es poder afirmar que Claude intervino en un documento. Otra bastante distinta es afirmar que Claude lo generó. Y otra, jurídicamente mucho más delicada, es utilizar aquella intervención como indicio de quién es (o deja de ser) su autor.

Bienvenidos a una nueva confusión semántica de la era de la inteligencia artificial. Y esta puede tener consecuencias bastante más serias que una discusión en LinkedIn.

Qué ha anunciado realmente Anthropic

Vamos a tratar de difuminar un poco el ruido:

Anthropic ha firmado el Código de Prácticas de Transparencia sobre contenido generado mediante IA asociado al artículo 50 del AI Act. La compañía afirma que los modelos Claude lanzados en la Unión Europea desde el 2 de agosto de 2026 incorporarán mecanismos de marcado desde su lanzamiento y que esas marcas se aplicarán además globalmente allí donde se utilicen esos modelos: Claude, la API, Claude Code, Claude Cowork, Claude Tag y determinados proveedores cloud.

Para el texto, Anthropic habla de un watermark imperceptible integrado directamente en el texto.

Para los ficheros compatibles, como determinados SVG, PNG o JPG, utiliza otro mecanismo: metadatos de procedencia firmados digitalmente mediante C2PA.

No son lo mismo.

Y aquí conviene hacer una corrección respecto de algunas explicaciones (incluida una aproximación que hice inicialmente al comentar la noticia, en LinkedIN) que están circulando estos días.

Anthropic no ha publicado todavía el algoritmo de watermarking textual de Claude.

La propia compañía anuncia que publicará posteriormente documentación técnica sobre los mecanismos de detección. Por tanto, hoy no podemos afirmar con rigor que Claude utilice exactamente el conocido mecanismo de listas verdes y rojas desarrollado por Kirchenbauer et al. Podemos emplearlo para explicar cómo funciona una familia perfectamente plausible de watermarks estadísticos, pero no debemos convertir una hipótesis razonable en documentación técnica de Anthropic.

Lo que comenté ayer en LinkedIN fue el modelo estadístico (uno) que sirve para entender cómo podría hacerlo Claude.

Si precisamente estamos hablando de trazabilidad, confianza y prueba, sería curioso comenzar atribuyendo a Anthropic un algoritmo cuya utilización Anthropic no ha confirmado.

No, no hay caracteres secretos escondidos entre las letras

Cuando se habla de «marca de agua invisible» en un texto, mucha gente imagina alguna especie de carácter Unicode escondido, un espacio especial o información incrustada en el portapapeles.

Una de las técnicas académicas más conocidas de watermarking para grandes modelos de lenguaje fue propuesta por John Kirchenbauer et al en 2023.

La idea, simplificada muchísimo, es brillante. Cuando un LLM va a generar el siguiente token dispone de muchas alternativas posibles:

El sistema podría [detectar] 
                  [identificar]
                  [advertir]
                  [señalar]
                  [...]

Normalmente el modelo asigna una probabilidad a cada una. El watermark modifica ligeramente ese proceso. A partir del contexto anterior se genera de forma pseudoaleatoria una partición del vocabulario. Determinados tokens forman una lista que podríamos llamar verde y otros una lista roja. El modelo sigue pudiendo escribir normalmente, pero se introduce un pequeño sesgo estadístico favorable hacia determinados tokens verdes.

Algo parecido a esto:

 Modelo sin watermark

                    contexto
                       │
                       ▼
              distribución tokens
                       │
          ┌────────────┼────────────┐
          ▼            ▼            ▼
      detectar      reconocer    identificar
        0,31           0,27          0,21


              

Modelo con watermark

                    contexto
                       │
                       ▼
            función pseudoaleatoria
                       │
          ┌────────────┴────────────┐
          ▼                         ▼
      tokens verdes             tokens rojos
          │
          └──── pequeño sesgo ─────┐
                                   ▼
                          generación del texto

Después de suficientes tokens, un detector puede preguntarse:

¿aparecen muchos más tokens pertenecientes al conjunto esperado de los que aparecerían por casualidad? Si la desviación estadística es suficientemente elevada, existe evidencia de watermark. Ese es, a grandes rasgos, el planteamiento de Kirchenbauer.

Insisto: es un modelo explicativo, no una descripción confirmada del watermark de Claude.

Anthropic solo ha confirmado hasta ahora tres propiedades relevantes: la marca está integrada en el texto, viaja con él cuando se copia y pega y puede sobrevivir a cierto grado de edición.

Eso encaja conceptualmente con sistemas estadísticos de este tipo. Pero reconozco que encajar no significa demostrar.

Ejemplo 1: este texto lo escribí yo, pero Claude «was here»

Imaginemos que escribo:

Los sistemas de inteligencia artificial generativa están modificando profundamente la forma en la que producimos información, aunque la utilización de estas herramientas no elimina necesariamente la intervención intelectual humana.

Es mío. Lo envío a Claude:

«Mejora ligeramente la redacción sin cambiar mis ideas».

Claude devuelve:

Los sistemas de inteligencia artificial generativa están transformando profundamente la manera en que producimos información, aunque el uso de estas herramientas no elimina necesariamente la intervención intelectual humana.

Supongamos ahora, solo como implementación técnica posible, que Claude utilizara un watermark estadístico basado en una clave secreta (K).

El proceso conceptual podría ser:

MI TEXTO
   │
   ▼
CLAUDE
   │
   ├── contexto previo
   │
   ├── función pseudoaleatoria + K
   │
   ├── selección estadística de tokens
   │
   ▼
TEXTO REVISADO Y MARCADO
   │
   ▼
PUBLICACIÓN
   │
   ▼
DETECTOR
   │
   ├── patrón esperado
   └── contraste estadístico
          │
          ▼
"Compatible con procesamiento por Claude"

¿Qué demuestra eso?

• No demuestra que Claude ideara el argumento.
• No demuestra que Claude redactara la primera versión.
• No demuestra que Anthropic sea titular de ningún derecho.
• Ni siquiera demuestra necesariamente que el texto completo proceda de Claude.

Demuestra, en el mejor escenario, una determinada relación técnica entre ese texto y un proceso de generación o transformación realizado mediante Claude.

Y aquí aparece una sorpresa bastante significativa. No soy yo quien introduce esta cautela.Es Anthropic.

La propia compañía advierte de que encontrar su marca no confirma la procedencia completa del contenido y explica expresamente que Claude puede haber sido utilizado para revisar, traducir o resumir material cuyo contenido original procede de otra fuente. Su formulación es especialmente prudente: detectar la marca indica que el contenido puede haber sido procesado por Claude.

Procesado. No escrito. Mucho menos «creado intelectualmente».

La diferencia es enorme.

La UE tampoco dice que corregir sea generar

El artículo 50.2 del AI Act obliga a los proveedores de sistemas que generan contenido sintético de audio, imagen, vídeo o texto a conseguir que sus outputs estén marcados en un formato legible por máquina y sean detectables como artificialmente generados o manipulados. Pero inmediatamente introduce una excepción.

La obligación no se aplica en la medida en que el sistema desempeñe una función asistencial para edición estándar o no altere sustancialmente los datos de entrada o su semántica.

Leámoslo otra vez. Edición estándar. Esto importa muchísimo.

Porque Anthropic ha anunciado que los watermarks textuales se aplicarán a todo el texto generado por los modelos compatibles y reconoce entre los escenarios de detección casos como la corrección de textos.

Por tanto, puede aparecer una zona particularmente incómoda:

contenido que Anthropic decide marcar aunque el legislador europeo haya considerado que determinados usos meramente asistenciales no necesitan necesariamente esa obligación de marcado.

Esto no significa que Anthropic esté infringiendo el AI Act.

Significa justo lo contrario: puede estar aplicando una política técnicamente más amplia que el mínimo jurídico exigido. Pero entonces la marca deja de ser simplemente «el cumplimiento de una obligación legal». Pasa a ser también una decisión de arquitectura del proveedor. Y las decisiones de arquitectura tienen consecuencias.

Propiedad intelectual: una marca no deroga la ley

En España la cuestión de la autoría comienza bastante antes de Claude. El artículo 5 de la Ley de Propiedad Intelectual es extraordinariamente claro:

autor es la persona natural que crea una obra literaria, artística o científica.

El artículo 10 protege las creaciones originales expresadas por cualquier medio, y el artículo 6 establece además una presunción de autoría, salvo prueba en contrario, respecto de quien aparece identificado como autor en la obra.

Nada de eso cambia porque aparezca un watermark de Claude.

De hecho, la legislación española reconoce expresamente como obras derivadas las traducciones, revisiones, actualizaciones, resúmenes y otras transformaciones, sin borrar automáticamente los derechos existentes sobre la obra original.

El problema, por tanto, no reside tanto en la ley como en la interpretación social y probatoria que hagamos de la señal técnica.

Ejemplo:

AUTOR HUMANO
     │
     │ escribe 4.000 palabras
     ▼
DOCUMENTO ORIGINAL
     │
     │ Claude corrige estilo
     ▼
DOCUMENTO CON WATERMARK
     │
     │
     ▼
DETECTOR: POSITIVO

¿Conclusión correcta? Claude intervino probablemente en alguna fase de procesamiento.

¿Conclusión incorrecta? Claude escribió el documento.

Mucho más incorrecta todavía: El usuario no puede considerarse autor.

Pero podemos imaginar perfectamente un profesor, una editorial, una empresa, un revisor científico o incluso un perito tomando el atajo.

Detector positivo = IA.

IA = no humano.

No humano = fraude.

Tres inferencias.

Las tres discutibles.

Quiero ser honesto: Anthropic tampoco afirma ser el propietario

Anthropic no está utilizando esta tecnología para afirmar que los textos pertenecen a Anthropic. Su documentación señala que los clientes conservan sus derechos sobre los inputs y poseen sus outputs conforme a sus términos de uso.

Por tanto, sería incorrecto plantear:

«Anthropic pone una marca porque quiere apropiarse de lo que escribimos».

No tenemos evidencia para sostener eso. La cuestión interesante es bastante más sofisticada:

Anthropic puede introducir una señal técnica permanente o semipermanente que permita vincular un contenido con el uso de su sistema, aunque los derechos sobre ese contenido pertenezcan al usuario.

Propiedad y procedencia vuelven a separarse. Y precisamente por eso el problema resulta interesante.

Ejemplo 2: ahora, destrocemos la marca

Tomemos el texto anterior. Claude produce:

Los sistemas de inteligencia artificial generativa están transformando profundamente la manera en que producimos información, aunque el uso de estas herramientas no elimina necesariamente la intervención intelectual humana.

Supongamos que contiene watermark. Ahora cambio «transformando profundamente» por «alterando de forma sustancial». Después intercambio las dos proposiciones. Luego elimino seis palabras. Después lo traduzco al inglés. Lo vuelvo a traducir al español.

Finalmente se lo paso a otro modelo y le digo:

«Conserva exactamente el significado, pero cambia por completo la estructura».

Acabo obteniendo:

La participación humana continúa siendo esencial en la creación intelectual, incluso cuando herramientas generativas intervienen intensamente en la producción y revisión del contenido.

Semánticamente estamos cerca. Lexicalmente estamos lejísimos.

¿Qué queda del watermark?

Depende del algoritmo.

Anthropic reconoce que la edición intensa, el parafraseo, la traducción o la mezcla con otros textos pueden provocar que la marca deje de ser detectable. También advierte que los textos demasiado cortos pueden contener una señal insuficiente.

La literatura científica lleva años encontrándose precisamente con este problema. Los trabajos sobre watermarking han mostrado que determinadas marcas pueden sobrevivir parcialmente a transformaciones, especialmente cuando permanecen suficientes fragmentos o n-grams del original; otros trabajos han demostrado que ataques de parafraseo recursivo pueden reducir sustancialmente la capacidad de detección.

Tenemos entonces una paradoja.

Cuanto más robusta queramos hacer la marca, mayor influencia debemos ejercer potencialmente sobre la generación.

Cuanto menos queramos alterar la distribución natural del modelo, más débil puede resultar la señal.

Calidad, invisibilidad y robustez forman un triángulo bastante incómodo.

El hash no resuelve el problema

Un hash criptográfico convencional es extraordinariamente útil para comprobar identidad exacta.

H("Hola mundo") = A42F...

Cambia una sola coma:

H("Hola, mundo") = 19C7...

El resultado será completamente distinto. Es precisamente lo que queremos de una buena función hash. Pero es exactamente lo contrario de lo que queremos si pretendemos reconocer un texto después de:

• corregirlo;
• resumirlo;
• parafrasearlo;
• traducirlo;
• fragmentarlo;
• mezclarlo con contenido humano.

El efecto avalancha, virtud esencial del hashing criptográfico, se convierte aquí en inconveniente. Podríamos intentar canonicalizar:

Texto
 ↓
minúsculas
 ↓
sin espacios redundantes
 ↓
Unicode normalizado
 ↓
puntuación normalizada
 ↓
HASH

Eso resolvería cambios triviales. No resolvería:

«El coche es rápido»

frente a

«El vehículo alcanza una gran velocidad».

Misma idea. Distinto texto. Distinto hash. Por eso un watermark robusto para lenguaje necesita mecanismos bastante más sofisticados que simplemente:

hash(texto)

¿Y si el hash utiliza una clave secreta?

Supongamos, repito: hipótesis técnica, no implementación confirmada de Claude, que el sistema utiliza una clave privada o secreto interno para determinar qué patrones deben considerarse válidos.

Conceptualmente:

contexto + K
     │
     ▼
PRF / HASH CON CLAVE
     │
     ▼
patrón esperado
     │
     ▼
selección de tokens

Posteriormente:

TEXTO SOSPECHOSO
      │
      ▼
MISMA K
      │
      ▼
RECONSTRUCCIÓN DEL PATRÓN
      │
      ▼
TEST ESTADÍSTICO

La clave evita que cualquiera pueda conocer fácilmente qué tokens o patrones producen la marca. Muy bien. Es buena idea. Pero aparece inmediatamente otra pregunta.

¿Quién puede verificar?

Un HMAC clásico es un mecanismo de autenticación basado en una función hash y un secreto compartido. Las partes que pueden calcular y verificar correctamente el MAC necesitan conocer el secreto correspondiente. Esto plantea un problema evidente para un sistema de procedencia público. Si Anthropic publica el secreto, la verificación puede independizarse…pero potencialmente también facilitamos que terceros fabriquen marcas. Si Anthropic conserva el secreto, puede ofrecer:

texto
  │
  ▼
API DE ANTHROPIC
  │
  ▼
positivo / negativo

Eso es operativo. Pero no es lo mismo que:

texto
  │
  ▼
VERIFICADOR INDEPENDIENTE
  │
  ▼
prueba reproducible

Y aquí entramos en terreno casi epistemológico: ¿quién controla la verdad técnica de la atribución?

Ahora resulta que la IA tiene notario

Imaginemos dentro de cinco años un procedimiento judicial. Y ojo, que esto sirve para mi asignatura de Ingeniería Inversa y Análisis Forense Digital.

Una parte presenta un documento.La otra sostiene: Este texto fue generado mediante Claude. Entonces, se ejecuta un detector.

Resultado:

CLAUDE WATERMARK DETECTE
Confidence: 99,2 %

Ahora el abogado pregunta:

Abogado: ¿Cómo se calcula?

Perito: El algoritmo es propietario.

Abogado: ¿Qué clave se utiliza?

Perito: Es confidencial.

Abogado: ¿Podemos reproducir independientemente la prueba?

Perito: No completamente.

Abogado: ¿Podemos conocer la tasa real de falsos positivos para esta versión?

Perito: Depende.

Abogado: ¿Puede demostrar que Claude creó el texto y no simplemente que corrigió tres párrafos?

Perito: No.

Abogado: Entonces quizá no tenemos una prueba de autoría.

Tenemos una declaración técnica producida por la infraestructura de la misma empresa cuya intervención estamos intentando demostrar.

Esto no invalida automáticamente el sistema. Pero sí afecta al valor probatorio que racionalmente deberíamos concederle. Anthropic afirma que permitirá a usuarios y terceros detectar sus marcas y que publicará documentación técnica adicional. Es una buena noticia. La cuestión decisiva será cómo permitirá esa verificación. Porque «terceros pueden consultar nuestro detector» no equivale necesariamente a «terceros pueden verificar independientemente nuestra afirmación».

Falsos negativos

Anthropic reconoce varias situaciones en las que la ausencia de watermark no permite concluir que Claude no intervino, ojo al dato:

• modelos anteriores al soporte del mecanismo;
• edición intensa;
• parafraseo;
• traducción;
• mezcla con otros contenidos;
• fragmentos demasiado breves;
• plataformas o formatos sin soporte;
• metadatos eliminados en el caso de ficheros.

Esto significa que:

NO WATERMARK
    ≠
NO CLAUDE

Importantísimo. Porque el detector no puede utilizarse como prueba exculpatoria absoluta.

Falsos positivos

El problema contrario me preocupa todavía más.

WATERMARK
    ≠
AUTORÍA DE CLAUDE

Pero existe además un tercer escenario:

WATERMARK DETECTADO
    ≠ necesariamente
CLAUDE REAL

La investigación académica ha demostrado que algunos detectores y sistemas de watermark pueden ser objeto de ataques de spoofing: un adversario intenta inferir características de la marca y producir textos humanos o de otro modelo que activen el detector. Las consecuencias de un falso positivo no son simplemente técnicas.

Imagine a:

• estudiante acusado de fraude académico (uy que raro);
• periodista acusado de fabricar un artículo;
• investigador cuestionado por una revista (uy que raro);
• escritor acusado de incumplir un contrato editorial;
• opositor al que invalidan una prueba;
• trabajador sancionado porque un informe «parece generado por IA» (uy que raro).

Un falso negativo es un fallo tecnológico. Un falso positivo puede convertirse en una acusación.

Por eso la tasa de falsos positivos, los intervalos de confianza, la longitud mínima necesaria, las condiciones de funcionamiento y la reproducibilidad deberían ser información esencial, no un detalle del manual.

Frankensteins

Hay además un caso que probablemente será mucho más habitual que el texto puramente humano o puramente artificial.

Supongamos:

Documento final
███████████████ 30 % autor humano
██████████      20 % Claude
██████████      20 % ChatGPT
███████████████ 30 % edición humana
Porque no es extraño mezclar modelos para que se validen entre ellos.

¿De quién es el texto?

• Puede haber decisiones intelectuales humanas en todo el documento.
• Puede haber frases propuestas por varios modelos.
• Puede haber fragmentos originales posteriormente corregidos.
• Puede haber estructura humana con redacción artificial.
• Puede haber redacción humana basada en un esquema generado.
• Puede haber veinte iteraciones.

El propio AI Act reconoce esta complejidad al diferenciar la generación sustancial del mero apoyo editorial y, para determinados textos de interés público, contempla expresamente la existencia de revisión humana y responsabilidad editorial. Estamos entrando en una época de autoría híbrida en el proceso, aunque jurídicamente sigamos necesitando identificar qué creación intelectual humana merece protección.

Estados Unidos llega a una conclusión parecida por otro camino

El Copyright Office estadounidense ha adoptado hasta ahora una posición bastante razonable.

El material puramente generado por IA no recibe protección simplemente porque alguien haya escrito un prompt. Pero pueden protegerse elementos humanos perceptibles en una obra asistida por IA, así como selecciones, coordinaciones, arreglos y modificaciones creativas realizadas por una persona.

Es decir: usar inteligencia artificial no expulsa automáticamente al ser humano de la autoría.

Exactamente el mismo principio que deberíamos aplicar cuando aparezca un detector.

Firma digital: parece la solución…

Podemos preguntarnos entonces: ¿Por qué no utilizar criptografía asimétrica?

Anthropic podría disponer de:

CLAVE PRIVADA
    │
    ▼
firma(documento)
    │
    ▼
DOCUMENTO + FIRMA

Y cualquiera podría verificar:

DOCUMENTO + FIRMA
       │
       ▼
CLAVE PÚBLICA ANTHROPIC
       │
       ▼
    VÁLIDO

Esta es precisamente una de las grandes propiedades de las firmas digitales: la generación utiliza una clave privada y la verificación puede realizarse públicamente sin revelar esa clave. Los estándares modernos de firma digital formalizan precisamente esa separación.

Y algo muy parecido ocurre ya en C2PA.

Aprovecho para invitaros a leer un paper desarrollado en conjunto UAL – UGR:

https://ieeexplore.ieee.org/document/11458806

Una claim C2PA se firma utilizando la clave privada del firmante, y los verificadores pueden validar la firma mediante la correspondiente infraestructura de confianza.

¿Por qué no hacemos eso con todo el texto? Porque tenemos otra vez un pequeño problema. Cambio una coma. La firma deja de corresponder al documento. Traduzco una frase. La firma deja de corresponder. Copio solo tres párrafos. Ya no tengo el mismo objeto firmado. La criptografía clásica proporciona una excelente prueba de integridad de un objeto concreto. El watermarking estadístico intenta resolver una pregunta distinta:

¿puedo seguir reconociendo cierta señal después de modificar el objeto?

Son problemas relacionados. No idénticos.

C2PA es mejor para unas cosas y peor para otras

Para ficheros, Anthropic ha elegido C2PA. C2PA está concebido precisamente como una infraestructura de procedencia y autenticidad digital. Sus Content Credentials pueden incorporar información sobre la historia de un activo y utilizar firmas criptográficas para proporcionar evidencia resistente a manipulación sobre las afirmaciones incluidas en el manifiesto.

Pero tampoco debemos convertir C2PA en magia.

Si eliminamos los metadatos al transformar el fichero, hacer una captura de pantalla o pasar por una plataforma que no los preserve, la información puede desaparecer. Anthropic reconoce expresamente esta limitación.

Y hay una distinción todavía más importante:

C2PA puede ayudarnos a comprobar que una determinada entidad firmó una afirmación sobre la procedencia. No demuestra que esa afirmación equivalga a autoría intelectual.

Una cámara puede firmar una fotografía. La cámara no es el fotógrafo. Claude puede firmar o marcar que procesó un documento. Claude no se convierte automáticamente en su autor.

Me temo que tendremos que repetirlo muchas veces durante los próximos años.

El problema de la clave

Llegamos finalmente al escenario que considero más interesante desde el punto de vista criptográfico.Supongamos un watermark robusto cuyo detector dependa de secretos controlados por Anthropic.

¿Qué ocurre si la clave se filtra? Podrían aparecer intentos de fabricar textos capaces de activar la detección.

¿Qué ocurre si rota? Necesitamos identificar qué versión de la clave corresponde a cada generación histórica.

¿Qué ocurre dentro de diez años? Anthropic deberá conservar mecanismos de verificación para contenido producido con decenas o centenares de generaciones de modelos y claves.

¿Qué ocurre si desaparece el servicio? La procedencia histórica de millones de textos podría depender de infraestructura que ya no existe.

¿Qué ocurre si Anthropic cambia el detector? Una prueba realizada en 2027 podría no ser reproducible en 2032.

¿Qué ocurre si existe un procedimiento judicial?

Será necesario conservar:

• versión del detector;
• parámetros;
• claves o identificadores de clave;
• modelo;
• fecha;
• umbrales estadísticos;
• tasa de falsos positivos;
• metodología;
• logs de verificación.

Acabamos de convertir un watermark destinado a aumentar la transparencia en un problema de cadena de custodia digital a escala planetaria.

Como profesor de informática forense, admito que la ironía me resulta maravillosa.

El modelo que yo preferiría

No creo que la respuesta sea eliminar cualquier sistema de procedencia. Sería una reacción demasiado sencilla.

Los contenidos sintéticos plantean problemas reales de desinformación, fraude y manipulación, y el artículo 50 del AI Act responde precisamente a esa preocupación. Pero un buen sistema debería combinar varias capas.

1. Watermark robusto

Una señal integrada en la generación que permita detectar razonablemente contenido incluso después de pequeñas transformaciones.

2. Especificación pública

El mecanismo debería estar suficientemente documentado para permitir evaluación científica independiente. No necesariamente hay que publicar secretos de generación si ello destruye la seguridad del sistema. Sí hay que publicar metodología, propiedades, métricas y modelo de amenazas.

3. Verificación reproducible

Cuando técnicamente sea posible, la comprobación no debería depender exclusivamente de una respuesta opaca:

anthropic.com dice: SÍ

4. Firmas y C2PA cuando exista un contenedor

Para imágenes, documentos y otros formatos capaces de conservar manifestaciones criptográficas, las firmas digitales ofrecen una capa de procedencia mucho más explícita.

5. Registro de transparencia

Las claves públicas, versiones de modelos y periodos de validez podrían mantenerse en registros auditables. No se porqué, durante la redacción de este artículo no dejo de pensar en los árboles de Merkle.

Algo conceptualmente parecido a:

Modelo Claude X
   │
   ├── watermark v3
   ├── detector v3.2
   ├── clave ID 0x4831
   ├── vigente: 2026-08-02 → 2027-01-15
   └── parámetros publicados

6. Resultado expresado correctamente

Algo del tipo:

«Se ha detectado con una determinada probabilidad una señal compatible con procesamiento mediante un modelo Claude compatible con este esquema de marcado».

Creo que este tipo de mensajes serían científicamente mucho más decentes.

Y ahora la pregunta incómoda

¿Quién dispone de la infraestructura necesaria para demostrar que determinada inteligencia artificial participó en su producción?

Y aquí es donde debemos ser especialmente cuidadosos. Porque procedencia no es autoría. Procesamiento no es creación. Una corrección no convierte al corrector en escritor. Una traducción automática no borra al autor de la obra original. Una herramienta no adquiere derechos porque podamos demostrar criptográficamente que fue utilizada. Y una marca generada por Claude tampoco modifica por sí sola la propiedad intelectual del contenido.

La Ley de Propiedad Intelectual española continúa diciendo algo bastante más sencillo: autor es la persona natural que crea la obra.

Por cierto, Anthropic sabe perfectamente que su detector no puede responder a la pregunta de la autoría.

Lo dice en su propia documentación. Detectar la marca significa que el contenido puede haber sido procesado por Claude. Me parece una formulación extraordinariamente importante. Quizá universidades, editoriales, empresas, administraciones y tribunales deberían aprendérsela antes de instalar el detector.

Porque el verdadero peligro no está necesariamente en el watermark. Está en lo que nosotros decidamos inferir a partir de él.

Y quizá la pregunta decisiva de esta historia tampoco sea: ¿Claude ha marcado mi texto?

Sino otra bastante más incómoda:

¿quién tendrá dentro de unos años el poder de certificar qué máquinas participaron en nuestras ideas?

Y, sobre todo:

¿quién certificará al certificador?

Documentos que puedes consultar para ampliar la información

• Anthropic, How Claude marks AI-generated content: documentación oficial sobre watermarking textual, C2PA, cobertura y limitaciones.
• Reglamento (UE) 2024/1689, artículo 50: obligación de marcado legible por máquina y excepción para funciones de edición estándar que no alteren sustancialmente el contenido o su semántica.
• Comisión Europea, Code of Practice on Transparency of AI-generated Content.
• Kirchenbauer et al., A Watermark for Large Language Models: sistema estadístico de listas verdes/rojas utilizado en este artículo exclusivamente como ejemplo técnico de referencia.
• Kirchenbauer et al., On the Reliability of Watermarks for Large Language Models: análisis de robustez frente a edición, mezcla y parafraseo.
• Sadasivan et al., Can AI-Generated Text be Reliably Detected?: ataques mediante parafraseo y spoofing frente a detectores y watermarks.
• C2PA, especificación técnica y modelo de firmas de procedencia.
• Texto Refundido de la Ley de Propiedad Intelectual española, especialmente artículos 1, 5, 6, 10 y 11.
• U.S. Copyright Office, informe y posición sobre obras generadas y asistidas mediante inteligencia artificial.