Empresas de inteligência artificial começam a identificar textos gerados por seus sistemas com sinais invisíveis e legíveis por máquinas, em resposta às novas regras da União Europeia. O problema é que a tecnologia pode perder sua eficácia justamente diante de uma das ações mais simples para quem quer escondê-la: reescrever o conteúdo.
A corrida para identificar textos produzidos por inteligência artificial acaba de entrar em uma nova fase. Empresas do setor passaram a apostar em marcas d’água invisíveis, inseridas diretamente durante a geração do conteúdo, para permitir que sistemas automatizados reconheçam posteriormente a origem artificial daquele texto.
A iniciativa ganhou força nas últimas semanas, especialmente depois que a Anthropic anunciou a adoção de uma tecnologia de marcação invisível nos textos produzidos pelo Claude. A mudança ocorre em meio à entrada em vigor, em 2 de agosto de 2026, das novas obrigações de transparência previstas no Artigo 50 do AI Act, a legislação europeia sobre inteligência artificial.
Mas, enquanto empresas apresentam o watermarking como uma ferramenta para aumentar a transparência e ajudar a distinguir conteúdo humano de material sintético, pesquisadores vêm alertando para uma limitação fundamental: uma marca d’água textual pode ser extremamente difícil de preservar quando o conteúdo é reescrito sem alterar seu significado.
Como funciona a marca d’água invisível
Diferentemente de um selo visível ou de uma informação adicionada ao final de um texto, os sistemas mais modernos tentam incorporar a marca durante o próprio processo de geração.
Um dos principais exemplos é o SynthID-Text, tecnologia desenvolvida pelo Google DeepMind. Modelos de linguagem geram texto escolhendo, token por token — unidades que podem representar palavras, partes de palavras ou caracteres — entre várias possibilidades estatisticamente prováveis.
A técnica de watermarking altera de maneira sutil essas probabilidades. Em situações nas quais diferentes palavras ou construções teriam qualidade semelhante, o sistema pode favorecer determinadas escolhas para criar um padrão estatístico invisível ao leitor, mas reconhecível por uma ferramenta de detecção.
O Google afirma que o sistema foi projetado para não comprometer a qualidade, a precisão ou a criatividade do conteúdo. O próprio DeepMind, porém, reconhece uma limitação importante: a confiança na detecção pode cair significativamente quando o texto passa por reescritas extensas ou traduções para outro idioma.
É justamente nesse ponto que está o maior desafio.
Uma simples paráfrase pode se tornar o inimigo da tecnologia
Um estudo publicado em novembro de 2024, intitulado Revisiting the Robustness of Watermarking to Paraphrasing Attacks, analisou a resistência de diferentes sistemas de marcação contra ataques baseados em paráfrase.
Os pesquisadores Saksham Rastogi e Danish Pruthi concluíram que algumas técnicas apresentadas como resistentes à reescrita podem ser vulneráveis quando o funcionamento do sistema é estudado por um adversário. Segundo o trabalho, o acesso a uma quantidade limitada de textos produzidos por um modelo marcado pode ajudar a tornar ataques de paráfrase significativamente mais eficazes, reduzindo ou eliminando a capacidade de detecção.
O problema ganhou ainda mais atenção em 2026.
Uma pesquisa divulgada em 17 de julho de 2026, por Saifur Rahman Tamim e Amir Labib Khan, avaliou três métodos de marcação de textos — KGW, Unigram e uma implementação do SynthID-Text — sob uma perspectiva de uso forense.
Os resultados foram particularmente críticos. No conjunto de testes analisado pelos autores, textos inicialmente detectados perderam a identificação após paráfrases que preservavam o significado em praticamente todos os casos avaliados: 100% para KGW e Unigram e 98,3% para a configuração do SynthID testada. O estudo também apontou taxas elevadas de falsos negativos nas configurações analisadas e concluiu que os sistemas avaliados ainda apresentavam limitações importantes para serem utilizados como prova forense confiável.
Os números não significam que toda tecnologia de watermarking falha da mesma forma ou que os sistemas comerciais necessariamente apresentem exatamente os mesmos resultados. Mas revelam o tamanho do desafio: é muito mais fácil preservar o significado de uma mensagem do que preservar as escolhas específicas de palavras usadas para construir essa mensagem.
A corrida entre quem marca e quem remove
O debate deixou rapidamente o ambiente acadêmico.
Poucos dias depois do anúncio da Anthropic sobre o uso de marcas invisíveis, desenvolvedores passaram a divulgar ferramentas capazes de tentar remover ou enfraquecer os sinais por meio de reescrita automatizada.
Reportagens publicadas nesta semana mostram que programadores já começaram a testar sistemas que utilizam outros modelos de linguagem para reformular textos e, dessa forma, tentar destruir o padrão estatístico usado na marcação. Entre os nomes citados está o desenvolvedor Guillaume Meyer, associado a uma ferramenta de código aberto criada para explorar justamente esse tipo de remoção.
A situação cria uma espécie de corrida tecnológica: de um lado, empresas desenvolvem métodos para inserir sinais resistentes; do outro, pesquisadores e desenvolvedores procuram maneiras de alterar o texto sem modificar a informação que ele transmite.
Na prática, um usuário não precisa necessariamente apagar um símbolo oculto ou quebrar uma criptografia. Em muitos casos, basta pedir a outro sistema de IA para reescrever, reorganizar ou traduzir o conteúdo.
O desafio da transparência chega com o AI Act
A pressão para encontrar soluções técnicas não é apenas comercial. Ela também é regulatória.
As obrigações de transparência previstas no Artigo 50 do AI Act passaram a ser aplicáveis em 2 de agosto de 2026. A regra determina que provedores de sistemas capazes de gerar áudio, imagens, vídeos ou textos sintéticos adotem meios que permitam identificar esses conteúdos como artificialmente gerados ou manipulados em formato legível por máquinas.
A Comissão Europeia também publicou, em julho de 2026, diretrizes e um código de prática para orientar empresas sobre a implementação dessas exigências. A própria regulamentação, no entanto, reconhece que a robustez precisa ser analisada dentro do que é tecnicamente viável e levando em conta as limitações de cada tipo de conteúdo.
Isso significa que a legislação não depende exclusivamente de uma única tecnologia. Marcas d’água, metadados, sistemas criptográficos de proveniência, registros e outras formas de identificação podem fazer parte da solução.
O problema dos falsos positivos
Outra preocupação envolve o que acontece quando um sistema identifica incorretamente um texto.
Uma marca d’água ou detector usado como evidência definitiva poderia, em tese, causar problemas em ambientes acadêmicos, profissionais ou jurídicos. Um texto produzido por uma pessoa pode passar por ferramentas de revisão, tradução ou assistência de IA sem que a inteligência artificial seja responsável pela autoria integral do material.
O próprio debate em torno da nova marcação do Claude trouxe preocupações entre usuários que temem que o uso da ferramenta para tarefas pontuais — como revisão, ajustes de gramática ou reformulação de trechos — possa ser interpretado posteriormente como prova de que todo o conteúdo foi produzido por IA.
A Comissão Europeia prevê, inclusive, exceções para determinadas funções de edição assistiva, dependendo do tipo e do contexto da intervenção realizada pelo sistema.
A questão, portanto, vai além da pergunta “este texto foi produzido por inteligência artificial?”. Em muitos casos, a realidade pode ser intermediária: um documento pode ter sido escrito por um ser humano, revisado por IA, parcialmente expandido por um modelo de linguagem e depois profundamente reescrito novamente por uma pessoa.
Uma simples etiqueta pode não ser capaz de explicar essa cadeia de autoria.
Há soluções mais resistentes?
A pesquisa científica continua tentando resolver o problema.
Um estudo publicado em 30 de junho de 2026, por Jonas Schäfer, Cezary Pilaszewicz e Gerhard Wunder, propôs um sistema chamado Dual-Embedding Watermarking (DEW), desenvolvido para aumentar a resistência das marcas contra paráfrases e traduções.
Segundo os autores, a abordagem utiliza informações semânticas e de tokens para preservar o sinal mesmo depois de transformações mais profundas do texto. Os resultados indicaram melhora na detecção após paráfrases e traduções, embora o trabalho ainda represente uma proposta de pesquisa e não uma solução definitiva para o problema.
Outros estudos também defendem técnicas capazes de sobreviver a diferentes tipos de edição. Em 2023, pesquisadores liderados por Xuandong Zhao apresentaram um método chamado Unigram-Watermark, com garantias teóricas de resistência a determinadas formas de edição e paráfrase.
O fato de existirem propostas com resultados promissores, porém, não elimina o problema central: os pesquisadores ainda divergem sobre qual nível de modificação um watermark realmente consegue suportar.
A marca d’água pode funcionar, mas talvez não como prova definitiva
O cenário que começa a surgir é mais complexo do que simplesmente dividir os textos entre “humanos” e “artificiais”.
Pesquisadores Daniel Susser, John Thickstun e Gili Vidan, em trabalho divulgado em 7 de agosto de 2026, argumentam que as marcas d’água talvez sejam mais úteis para compreender o impacto do conteúdo sintético em um ecossistema de informação do que para servir como uma espécie de teste definitivo sobre a origem de um texto individual.
Essa diferença é importante.
Um sistema pode ser útil para medir a circulação de conteúdo produzido por determinados modelos, identificar tendências de uso de IA ou ajudar plataformas a analisar grandes volumes de material. Isso não significa necessariamente que o mesmo sistema seja suficientemente preciso para determinar, sozinho, a autoria de um documento ou servir como prova conclusiva contra uma pessoa.
A própria OpenAI já reconheceu limitações semelhantes em pesquisas sobre proveniência de texto. A empresa afirmou ter estudado watermarking e outros métodos de identificação, mas observou que determinadas formas de adulteração em larga escala — como reescrever o texto com outro modelo ou traduzi-lo — podem tornar a marca muito mais fácil de contornar.
Uma batalha tecnológica que está apenas começando
A adoção de marcas d’água em conteúdos produzidos por IA provavelmente deve crescer à medida que governos, plataformas digitais e empresas tentam responder à explosão de textos, imagens, áudios e vídeos sintéticos na internet.
No caso dos textos, porém, há uma dificuldade que torna a missão particularmente complexa: a linguagem é extremamente fácil de transformar.
Uma imagem pode carregar um padrão invisível nos pixels. Um arquivo pode conter metadados. Já uma ideia escrita pode ser expressa de dezenas, centenas ou milhares de maneiras diferentes.
É justamente essa flexibilidade que ameaça os sistemas de marcação textual.
As empresas de inteligência artificial estão avançando para atender às novas exigências de transparência e tornar seus conteúdos rastreáveis. Ao mesmo tempo, as pesquisas mais recentes mostram que ainda existe uma distância considerável entre inserir uma marca invisível em um texto e garantir que ela sobreviverá a todas as transformações que esse texto poderá sofrer depois de sair das mãos da IA.
No fim, o futuro do watermarking pode não estar em criar uma marca impossível de remover — algo que, até agora, parece extremamente difícil —, mas em combinar diferentes tecnologias e aceitar que a identificação de conteúdo artificial provavelmente será uma questão de probabilidade, contexto e rastreabilidade, e não uma resposta absoluta de “sim” ou “não”.
Fonte: newscientist.com
