Marques a la sorra.

Hi ha una idea reconfortant que travessa gairebé totes les lleis sobre intel·ligència artificial escrites els darrers tres anys: si obliguem les màquines a signar la seva feina, sempre sabrem què és real i què no ho és. La marca d'aigua —el watermarking— s'ha convertit en la resposta política per defecte al problema de la desinformació sintètica. El detall incòmode és que la tecnologia no pot fer la feina que se li demana. I el fracàs no és una qüestió d'implementació que s'arreglarà amb la propera versió: és estructural.

Tres coses que no són el mateix

Abans d'entrar en el que falla, cal desfer una confusió que ho embolica tot. Quan es parla de «marcar» contingut generat per IA, s'estan barrejant tres tecnologies amb robusteses i febleses radicalment diferents.

La primera és la marca d'aigua incrustada en el senyal: una alteració imperceptible dels píxels d'una imatge, de les mostres d'un àudio o de les eleccions de paraules d'un text, dissenyada perquè un detector la reconegui després. És el que fa SynthID de Google DeepMind, avui l'esforç més seriós en producció, integrat per defecte a Gemini, Imagen, Lyria i Veo. Google assegura haver marcat més de deu mil milions de continguts amb aquesta tècnica.¹ És una xifra impressionant i, alhora, una dada que només podem prendre de la mateixa empresa: el detector d'imatge i vídeo de SynthID és tancat, no hi ha verificador obert i independent que permeti auditar-ne el rendiment real.

La segona és la metadada de procedència signada criptogràficament. És l'aproximació de l'estàndard obert C2PA (Coalition for Content Provenance and Authenticity), fundat el 2021 per Adobe, Arm, BBC, Intel i Microsoft, i adoptat per OpenAI a DALL·E 3 des del febrer de 2024.² Aquí no es toca el contingut: s'hi adjunta una fitxa —un «manifest»— que certifica qui l'ha creat, amb quina eina i quin historial d'edicions. El problema és evident per a qualsevol que hagi fet una captura de pantalla: les metadades viuen en una capa separada i desapareixen a la primera repujada a una xarxa social que les esborri. Periodistes d'IEEE Spectrum van demostrar que eliminar les credencials C2PA del pla d'etiquetatge de Meta els va costar «uns dos segons, sense escriure ni una sola línia de codi» i sense ser enginyers.³

La tercera —i la que ja ha fracassat de manera més sonada— és el detector a posteriori: un classificador que intenta endevinar si un text l'ha escrit una màquina sense cap marca prèvia. OpenAI en va llançar un el gener de 2023 i el va retirar sis mesos després. El motiu oficial: identificava correctament només el 26% del text generat per IA i marcava erròniament com a sintètic el 9% del text escrit per humans.⁴ No és una eina de precisió; és una moneda a l'aire amb conseqüències reals, com les acusacions injustes de plagi a estudiants.

Quan un polític, un titular o un fullet corporatiu diu «marca d'aigua», gairebé mai aclareix de quina de les tres parla. La confusió no és accidental: permet atribuir a l'una la solidesa aparent de l'altra.

La impossibilitat no és una opinió

El punt central, el que hauria de reordenar tota la conversa, és aquest: no existeix la marca d'aigua «forta». No és que encara no s'hagi trobat. És que, sota supòsits raonables, s'ha demostrat que no pot existir.

El treball de referència es titula, amb encert poètic, Watermarks in the Sand —marques a la sorra.⁵ Els autors proven formalment que un atacant amb accés bàsic al sistema i un model més modest que el que va generar el contingut pot esborrar qualsevol marca imperceptible degradant només mínimament la qualitat. La intuïció és senzilla: si la marca ha de ser invisible per no molestar l'usuari, ha de viure en els marges de tolerància de la percepció humana; i precisament en aquests marges hi cap una reescriptura que la destrueixi sense que l'ull ho noti.

La pràctica confirma la teoria amb una contundència gairebé humiliant. L'atac dominant contra les imatges es diu regeneració: s'afegeix soroll a la imatge i després es «purifica» reconstruint-la amb un altre model de difusió. La marca s'esvaeix; el contingut es manté.⁶ A la competició Erasing the Invisible, celebrada dins de NeurIPS 2024, gairebé tres mil propostes de dos-cents noranta-vuit equips van atacar els millors esquemes de marcatge disponibles. Els cinc equips capdavanters de cada categoria eliminaven la marca de més del 89% de les imatges, i la solució guanyadora va assolir una eliminació gairebé perfecta —del 95,7%— amb un impacte negligible en la qualitat.⁷

«No tenim cap marca d'aigua fiable en aquest moment. Les vam trencar totes.» —Soheil Feizi, professor de la Universitat de Maryland.⁸

El text és encara més fràgil

Si les imatges cauen, el text s'ensorra. El mètode canònic de marcatge de text —proposat per Kirchenbauer i col·legues el 2023— divideix secretament el vocabulari en una llista «verda» i una «vermella» a cada pas de la generació, i empeny el model cap a les paraules verdes; un text «massa verd» delata la màquina.⁹ SynthID-Text, la versió de Google publicada a Nature, refina la idea amb un sistema de tornejos entre paraules candidates i s'ha provat en viu sobre gairebé vint milions de respostes de Gemini.¹⁰ És, tècnicament, un treball excel·lent.

Però el senyal viu en les eleccions de paraules, i les paraules es poden reescriure sense perdre el sentit. Una paràfrasi, una traducció d'anada i tornada, una edició a mà: qualsevol d'aquestes operacions esborra la marca. La demostració més citada mostra que una paràfrasi recursiva fa caure la detecció del 99,8% al 9,7%.¹¹ Els mateixos autors ofereixen un resultat teòric encara més demolidor: com millor és el model de llenguatge, més s'assembla el text que produeix al que escriuria un humà, i menys marge té qualsevol detector possible per distingir-los. El millor detector concebible acaba sent tot just una mica millor que llançar una moneda.

El perill no és esborrar. És falsificar.

Fins aquí, la història és la d'una defensa que es pot burlar. Però hi ha una amenaça més subtil i més inquietant, que el discurs oficial gairebé no menciona: la falsificació de marques —el spoofing.

Investigadors de la Ruhr-Universität Bochum van demostrar que, amb una sola imatge de referència, es pot transferir la marca d'aigua semàntica d'un model a qualsevol fotografia real.¹² És a dir: no només es pot fer passar una imatge generada per autèntica esborrant-ne la marca, sinó que es pot estampar la marca «d'IA» sobre una foto real per fer-la passar per sintètica. Penseu en les implicacions per a la integritat probatòria. Un vídeo compromès? «És un deepfake, mireu, fins i tot porta la marca de generació per IA.» És el que en la literatura sobre desinformació s'anomena el dividend del mentider: com més la societat aprèn a confiar en una marca per decidir què és real, més valuós es torna corrompre aquesta marca.

Aquí rau la inversió que ho canvia tot. Una marca present et diu alguna cosa. Una marca absent no et diu res: el contingut pot venir d'un model de codi obert que no en posa cap, o d'algú que l'ha esborrada en dos segons. I una marca present tampoc és garantia, perquè es pot falsificar. El sistema només funciona mentre tothom hi col·labori de bona fe —que és exactament la condició que no es compleix quan hi ha un actor maliciós, que és l'únic cas que ens preocupava d'entrada.

El mandat legal corre més que la tècnica

Mentre els laboratoris demostren els límits de la tècnica, els parlaments legislen com si no existissin. L'article 50 del Reglament d'IA de la UE, aplicable des del 2 d'agost de 2026, obliga els proveïdors de sistemes generatius a marcar les seves sortides «en un format llegible per màquina i detectable com a generat o manipulat artificialment», amb solucions «efectives, interoperables, robustes i fiables».¹³ Les sancions arriben als 15 milions d'euros o el 3% de la facturació global.

La clau de volta és la condició que hi afegeixen al final: «en la mesura que sigui tècnicament factible». És una vàlvula d'escapament honesta i, alhora, un reconeixement implícit del problema. Perquè la pregunta que cap regulador no ha respost encara és com es verifica el compliment d'un mandat de robustesa quan la robustesa, en sentit fort, s'ha demostrat impossible. La Xina ha anat més lluny amb un règim d'etiquetatge obligatori —explícit i implícit— en vigor des del setembre de 2025.¹⁴ Els Estats Units han fet el camí contrari: l'administració Trump va revocar l'ordre executiva de Biden el primer dia de mandat, i les guies del NIST sobre procedència han quedat en simples recomanacions voluntàries.¹⁵

Aleshores, per a què serveix?

Seria un error concloure que el watermarking no serveix per a res. Serveix per al que serveix: aportar transparència entre actors que volen cooperar. Que una plataforma pugui reconèixer i etiquetar el contingut generat amb les eines de Google és útil. Que un editor gràfic honest deixi constància que una imatge ha estat retocada amb IA és bo. Fins i tot AudioSeal, de Meta, ofereix una capacitat genuïnament nova: detectar quins fragments concrets d'un àudio són sintètics, mostra a mostra —tot i que la mateixa Meta no tenia plans de desplegar-lo als seus productes.¹⁶

El problema no és la tècnica. És el relat que se n'ha construït. Vendre la marca d'aigua com la solució al problema dels deepfakes i la desinformació genera precisament el que la seguretat informàtica més tem: una falsa sensació de seguretat. L'oficina de comptes del govern nord-americà ho va dir sense embuts: identificar un deepfake no és, per si sol, suficient per prevenir-ne l'abús, perquè la desinformació es propaga des del moment mateix en què es veu, encara que després s'etiqueti com a fraudulenta.¹⁷

La marca d'aigua és una eina de transparència, no una arma contra els que volen enganyar. Confondre les dues coses no ens fa més segurs. Ens fa creure que ho som, que és pitjor. El segell existeix; simplement, no segella.

1. Google DeepMind, SynthID (documentació del producte) i anunci a Google I/O (maig de 2025). La xifra de continguts marcats és una dada facilitada per la mateixa empresa i no verificable de manera independent. deepmind.google/models/synthid ↩
2. Coalition for Content Provenance and Authenticity (C2PA), especificació de l'estàndard. OpenAI incorpora manifests C2PA a DALL·E 3 des del febrer de 2024. c2pa.org ↩
3. «Meta's AI Watermarking Plan Is Flimsy, at Best», IEEE Spectrum. spectrum.ieee.org/meta-ai-watermarks ↩
4. OpenAI, «AI Text Classifier» (llançat el 31 de gener de 2023, retirat el 20 de juliol de 2023 per baixa precisió). ↩
5. Zhang et al., «Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models», ICML 2024. arXiv:2311.04378. arxiv.org/abs/2311.04378 ↩
6. Zhao et al., «Invisible Image Watermarks Are Provably Removable Using Generative AI», NeurIPS 2024. arXiv:2306.01953. arxiv.org/abs/2306.01953 ↩
7. Competició «Erasing the Invisible», NeurIPS 2024 (technical report i solució guanyadora, arXiv:2508.21072). ↩
8. Declaracions de Soheil Feizi a WIRED, octubre de 2023. ↩
9. Kirchenbauer et al., «A Watermark for Large Language Models», ICML 2023. arXiv:2301.10226. arxiv.org/abs/2301.10226 ↩
10. Dathathri et al. (Google DeepMind), «Scalable watermarking for identifying large language model outputs» (SynthID-Text), Nature, 2024. doi:10.1038/s41586-024-08025-4. ↩
11. Sadasivan et al., «Can AI-Generated Text be Reliably Detected?», arXiv:2303.11156. arxiv.org/abs/2303.11156 ↩
12. Müller et al. (Ruhr-Universität Bochum), atacs de falsificació sobre marques semàntiques (Tree-Ring, Gaussian Shading), CVPR 2025. arXiv:2412.03283. arxiv.org/abs/2412.03283 ↩
13. Reglament (UE) 2024/1689 (Reglament d'Intel·ligència Artificial), article 50, obligacions de transparència. Aplicable des del 2 d'agost de 2026. ↩
14. Cyberspace Administration of China, «Mesures per a l'etiquetatge de contingut generat per IA» (publicades el 14 de març de 2025, en vigor des de l'1 de setembre de 2025; estàndard GB 45438-2025). ↩
15. Revocació de l'ordre executiva 14110 (30 d'octubre de 2023) per part de l'administració Trump, el 20 de gener de 2025. Les guies del NIST sobre procedència resten voluntàries. ↩
16. San Roman et al. (Meta AI / INRIA), «Proactive Detection of Voice Cloning with Localized Watermarking» (AudioSeal), ICML 2024. arXiv:2401.17264. arxiv.org/abs/2401.17264 ↩
17. U.S. Government Accountability Office, «Science & Tech Spotlight: Combating Deepfakes», GAO-24-107292. gao.gov/products/gao-24-107292 ↩