Claudeの出力にテキスト電子透かしが入る｜SynthID-Text方式の仕組みと、業務で誤解しないための線引き

生成AIが書いた文章に「印」を入れる、という話は数年前から議論されてきましたが、画像や音声に比べてテキストは扱いが難しいとされてきました。ピクセルの値や音の波形と違って、文章には埋め込む余地がほとんどないように見えるからです。そのテキストへの電子透かしを、Anthropicが2026年8月に「今後のClaudeモデルの出力に入れる」と公表しました。方式はGoogle DeepMindが2024年にNatureで発表したSynthID-Textの系統です。なお公式の記述は将来形で、執筆時点でどのモデルが対応済みかは公表されていません。

この話は、業務でLLMを使っている側から見ると2つの反応に分かれます。1つは「AIに書かせたことがバレるのか」という警戒、もう1つは「うちのアウトプットの由来を証明できるのか」という期待です。結論から言うと、どちらも半分は当たっていて半分は外れています。この記事では、Anthropicの公式発表とサポート記事、SynthID-Textの原論文で確認できる事実を先に固めたうえで、透かしが効く場面と効かない場面、そして「検出された/されなかった」から何が言えて何が言えないのかを切り分けます。規制側の話(EU AI Actの透明性義務そのもの)は別記事で扱っているため、ここでは実装と実務影響に絞ります。

何が公表されたのか#

一次情報は2つに分かれています。まず、Anthropicのヘルプセンターに「How Claude marks AI-generated content」というサポート記事が置かれ、対象となる製品・モデル・地域と、透かしの限界が規定されています。次に、2026年8月14日付でニュース記事「How Claude's text watermark works」が公開され、こちらは仕組みの解説に踏み込んだQ&A形式の文章になっています。実務で参照するなら前者、仕組みを理解するなら後者、という役割分担です。

サポート記事は、Anthropicが自らの立場を「生成AIモデルと生成AIシステムの双方の提供者(provider)として、EU AI Act第50条2項に関するCode of Practice on Transparency of AI-Generated Contentに署名した」と説明しています。つまり今回の透かしは、自主的な安全機能というより、EUの透明性義務に対応するための実装だと位置づけられています。

時制についても押さえておく価値があります。ニュース記事側の記述は「今後のClaudeモデルが、透かしを含むテキストを生成する」という将来形です。サポート記事は「2026年8月2日以降にローンチしたモデルはローンチ時点でマーキングに対応する」としていますが、該当するモデル名の一覧は公表されていません。したがって執筆時点では、いま使えるどのモデルの出力に透かしが入っているのかを、公開情報から確定することはできません。

この記事の事実関係は、Anthropicの公式ニュース記事(2026年8月14日)と公式サポート記事、SynthID-Textの原論文(Nature、2024年10月23日)、Google DeepMindおよびHugging Faceの公式解説、欧州委員会のプレスリリースとFAQ、OpenAIの公式APIドキュメントをもとに、執筆時点(2026年8月19日)で確認できた範囲で整理しています。OpenAIのニュースルーム側のページ(openai.com)は本稿の確認手順ではボット遮断により取得できなかったため、出典には含めていません。

どこに入るのか#

対象範囲は、サポート記事にかなり具体的に書かれています。整理すると次のようになります。

地域について、Anthropicは「地域ごとに適用範囲を切り分ける持続的な方法がまだないため、ローンチ時点では世界共通で適用する。ただし別のアプローチは引き続き検討する」という趣旨の説明をしています。日本国内だけで使っていてもEU向けの実装が乗ってくる、ということです。将来変わる可能性は残されていますが、当面は「全部入る」と考えておくのが安全です。

旧モデルの扱いは、EU AI Actの移行措置に対応しています。ニュース記事側は「EUの法律には2026年8月2日より前にローンチしたAnthropicモデルのための移行期間があり、今後数か月かけて展開していく」としています。

仕組み: 文字を足すのではなく、乱数の出どころを変える#

ここが今回いちばん理解しておく価値のある部分です。テキスト透かしと聞くと、多くの人は「見えない文字を混ぜる」「特殊な空白を挟む」といった実装を想像します。実際、そうした手法は昔から存在し、コピー&ペーストで簡単に消えることも知られています。SynthID-Textの系統はそれとはまったく別の発想です。

Anthropicの説明を引くと、「テキストには何も追加されず、隠し文字もない」「透かしは、単語を選ぶときに使う乱数の出どころを変えるだけ」となります。

LLMが文章を生成するとき、次の1語は確率分布から選ばれます。同じ意味を保ったまま選べる語が複数あるとき、どれを選ぶかは実質的にランダムです。この「ランダム」の部分を、任意の乱数生成器ではなく、鍵と直前の数語から決まる擬似乱数に置き換える。これが透かしの正体です。Anthropicはこれをモノポリーの比喩で説明しています。サイコロの代わりに円周率の桁を順に使ってコマを進めても、ゲームの進行自体は普通に見える。しかし円周率を知っている人だけは、その進行が偶然ではないと分かる、という話です。

この設計から、いくつかの性質が自動的に導かれます。

SynthID-Textの技術的な中身#

Anthropicは自社の実装を「SynthID-Textアプローチのバージョン(a version of)」と表現しており、具体的なパラメータは公開していません。ただし元となる方式は、Google DeepMindが2024年10月23日にNatureで発表した論文「Scalable watermarking for identifying large language model outputs」で読めます。中核はトーナメントサンプリング(tournament sampling)と呼ばれる手続きです。

候補となるトークンを対戦形式で勝ち上がらせ、各対戦の勝敗を擬似乱数関数(論文ではg-functionと呼ばれる)のスコアで決めます。論文は特に断りのない限り30層のトーナメントを使うとし、擬似乱数のシードには「直近Hトークンと透かし鍵のハッシュ」を用いる(既定のコンテキスト窓はH=4)と記述しています。検出側は、生成テキストの各位置でg値を計算し、その平均が偶然より高いかを見ます。論文はさらに、検出力を上げる学習済みのベイズ的スコアリング関数も併用しています。

実務的に重要な性質が3つあります。第一に、モデルの学習には一切手を入れません。サンプリング手続きだけを変えます。第二に、検出時に元のLLMを動かす必要がありません。第三に、出力分布を保存する非歪(non-distortionary)な構成が取れます。この構成では個々の応答の分布が保たれるため、単一の応答の品質という観点では理論上の劣化が生じません(検出力を上げる代わりに品質を犠牲にする歪ありの構成も方式としては存在します)。論文は、Geminiで約2000万件の応答を対象にしたライブ評価で、thumbs-up率の差が0.01%、thumbs-down率の差が0.02%であり、いずれも統計的に有意ではなかったと報告しています。レイテンシについても、Gemma 7B-ITで1トークンあたり15.527ミリ秒が30層のトーナメントサンプリングで15.615ミリ秒になり、増加は0.57%だったとしています。

なお、SynthID-Textはリファレンス実装がオープンソースで公開されており、Hugging Face Transformersにも統合されています。Hugging Faceの公式ブログによれば、SynthIDTextWatermarkingConfigをmodel.generate()に渡す形で使え、必須の設定は鍵(20から30個のランダム整数)とn-gram長(推奨は5)の2つだけです。処理としてはTop-KやTop-Pの後段に入るlogits processorとして動きます。仕組みを手元で確かめたい場合はここから触れます。

効くところと効かないところ#

透かしの強さは、その位置で「どれだけ選択肢があったか」で決まります。専門用語で言えばエントロピーです。Nature論文も検出力を決める要因を2つ挙げ、テキストの長さと、LLMの分布のエントロピー量だとしたうえで、「トーナメントサンプリングはエントロピーが多いときによく働き、少ないときは効きが弱い」と明記しています。

Anthropicはこれを実務的な言い回しで説明しています。例として挙げられているのは、「アイザック・ニュートンのもっとも有名な著作は『プリンキピア』と呼ばれ...」と続く文で、次に来る語が実質「マテマティカ」しかないような箇所です。ここには印を埋め込む余地がありません。

具体的に整理すると、次のようになります。

コードについては、Anthropicが「コードは多くの場合正確でなければならないため、他の形式のテキストより透かしが少ない」としつつ、「コード内のコメントのように任意の選択がある領域には入る」と補足しています。あわせて「実際に生成されるコードへの影響は無視できる」とも明記しており、透かしのためにコードの品質が落ちる設計ではないことが示されています。

検出できるのは誰か#

いま最も誤解されやすいのがここです。透かしは鍵を持つ者にしか読めません。そしてAnthropicは、ニュース記事で「まもなく透かし検出APIを提供する予定」「実装の詳細を詰めている最中」と述べているだけで、執筆時点では提供されていません。サポート記事も「検出の仕組みについては今後の技術ドキュメントで共有する」にとどまります。実際、Claude PlatformのAPIリファレンスを確認しても、透かし関連の記述は見当たりませんでした。

つまり現時点では、上司や取引先や採用担当者が「この文章はClaudeが書いたか」を今すぐ判定できる手段は、公開されていません。将来APIが公開されたとして、誰が使えるのか(第三者一般に開放されるのか、契約者や特定の用途に限定されるのか)、価格はどうなるのかも、まだ何も示されていません。

参考として、Googleの先行事例を見ておきます。SynthID Detectorという確認ポータルが2025年5月に発表されていますが、その発表時点での提供形態は一般公開ではなく、ジャーナリスト・メディア関係者・研究者向けのウェイトリスト方式でした。執筆時点でのテキスト検出機能の一般提供状況までは、本稿の確認範囲では判断できていません。いずれにせよ、テキスト透かしの検出手段が誰にでも開かれるとは限らない、という前例にはなります。

いわゆる「AI検出ツール」との違い#

世の中にすでにある「AI検出ツール」は、これとまったく別の原理で動いています。鍵を持っていないので、文章の統計的な癖から推定するしかありません。Anthropicも記事の中でこの違いに触れ、そうしたサービスは文章の微妙な癖を見ていると説明し、例として「これはXではなくYだ」という構文をAIモデルが好むこと、「quietly」という語を予想以上に多用することを挙げています。

この違いは実務上の含意が大きいです。癖ベースの検出は原理的に誤判定を避けられません。書き慣れた人の文章がAI判定されることも、AIの文章が人間判定されることもあります。一方、鍵ベースの透かし検出は「この鍵で生成されたか」という問いに統計的に答えるものなので、性質がまったく違います。ただし前述のとおり、その鍵はAnthropicが握っており、いま我々が使えるものではありません。

ファイル側のC2PAとは別物#

サポート記事は、テキスト透かしとは別に、Claudeが対応形式のファイル(.png、.jpg、.svgなど)を生成するときにコンテンツクレデンシャルを付与するとしています。これはC2PAという業界標準で、ファイルのメタデータに暗号署名付きの記録を添えるものです。

Anthropicは両者の違いを明確に書いています。C2PAで付くのは「ファイルのメタデータに入る、小さな暗号署名付きの記録」であり、「ファイルの中身は何も変わらない。埋め込まれても隠されてもいない」。つまり、画像や映像の中身そのものに知覚できない信号を仕込むのではなく、メタデータの層に署名を添える方式です。この違いから、次の使い分けが導けます。

• テキスト透かし: 中身に埋まるのでコピー&ペーストで残る。ただし「あるかないか」の確率的な判定しかできず、改ざん検知はできない
• C2PA: メタデータの層に付くため、形式変換・再保存・スクリーンショットで剥がれやすい。ただし署名なので、残っていれば来歴を強く主張でき、改ざんも検知できる

なお、Anthropicはファイルを投げ込んでコンテンツクレデンシャルを確認できるツールを自社でも提供する予定だとしています。

頑健性をどう見るか#

透かしが「消せるのか」は、学術的にはかなり長い議論の蓄積があります。押さえておきたい論点を挙げます。

LLM透かしの原型は2023年のKirchenbauerらによる研究で、語彙を分割して片方を優遇する方式が提案されました。同じグループはその後、人手の書き換え・言い換えモデル・機械翻訳の下でどれだけ残るかを実測した研究も出しています。並行して、再帰的に言い換えることで検出器を回避できること、逆に人間の文章にAI由来の痕跡を載せて誤検出させる「スプーフィング」が可能なことを示した研究もあります。2024年には、一定の仮定のもとで「強い透かし」は原理的に達成不能だと論じる研究や、APIへの問い合わせから透かし規則を推定して除去や偽装を現実的なコストで実行できるとする研究も発表されています。

Nature論文自身も、この点を隠していません。「盗用・偽装・除去の攻撃に対する脆弱性は、現在進行中の研究領域である」「生成的な透かしは、LLMによる言い換えのようなテキストへの編集によって弱まる。ただしその場合、通常はテキストが大きく変わる」と明記しています。加えて、オープンウェイトのモデルが分散的に配布される状況では透かしを強制すること自体が難しい、他社が透かしを実装していない場合には事後的な検出手法が別途必要になる、とも述べています。

Anthropicの説明もこれと整合的です。「軽い編集ではおそらく完全には除去されないが、すべての語を置き換える全面的な書き直しなら除去される」。つまり、本気で消したい人は消せます。この技術は、悪意ある攻撃者を止めるためのものというより、通常の流通経路で由来を追える確率を上げるためのものだと捉えるのが実態に近いです。Hugging Faceの公式ブログも、SynthID Textは「動機を持った攻撃者を直接止めるようには作られていない」と明記しています。

一方で、スプーフィング(第三者が人間の書いた文章に透かしを載せて、AI生成だと誤判定させる)については、Anthropicの公開文書では触れられていません。検出結果を人事評価や学術的な不正判定に使おうとするなら、この方向のリスクは別途考える必要があります。

なぜ今なのか#

背景はEU AI Actです。第50条2項は、生成AIシステムの提供者に対し、出力を機械可読な形式でマークし、人工的に生成または操作されたものとして検出可能にすることを求めています。対象には合成の音声・画像・映像に加えてテキストが明示されています。この条文は2026年8月2日から適用されています。

ただし同項には適用の除外もあります。AIシステムが標準的な編集を支援する機能を果たすにとどまる場合や、利用者が提供した入力データやその意味を実質的に変更しない場合は、この義務の対象外とされています。「AIを通したものはすべて機械可読なマークが要る」という読み方は正確ではありません。

欧州委員会のFAQによれば、2026年8月2日より前に市場に投入済みで第50条2項の対象となるシステムについては、マーキングと検出可能性の義務の適用が2026年12月2日まで猶予されます。また、2026年8月2日より前に生成されたコンテンツへの遡及的なラベリングは求められません(委員会は可能な範囲での実施を推奨しています)。Anthropicが旧モデルへの対応を「今後数か月かけて」としているのは、この猶予に対応した動きだと読めます。

制度面ではもう1つ、Code of Practice on Transparency of AI-Generated Contentという行動規範があります。欧州委員会が2026年7月31日に公表したところによれば、署名は約190組織に達し、内訳は提供者向けのSection 1が82、デプロイヤー向けのSection 2が152でした。Section 1にはAnthropicのほか、Aleph Alpha、Black Forest Labs、Cohere、Google、Meta、Microsoft、Mistral、OpenAI、Synthesiaといった名前が挙がっています。Section 2にはBulgari、Getty Images、Lenovo、Lufthansaなど、AIを使う側の企業が並びます。署名者の約半数は小規模または設立間もない企業だとされ、2026年9月に2つのタスクフォースを立ち上げる予定も示されています。

他社の状況はまだ揃っていません。Googleは2024年からGeminiの応答にSynthID-Textを適用しています。OpenAIについては、公式の開発者向けドキュメント「Content provenance」を確認する限り、画像はC2PAのコンテンツクレデンシャルとSynthID、音声はSynthIDとされており、テキストへの言及はありません。テキスト透かしをいつどの方式で実装するかは、公開情報からは確認できませんでした。

業務でどう受け止めるか#

ここまでの事実を踏まえて、実務での受け止め方を整理します。

誤解1: 「AIに書かせたことがバレる」#

現時点では、鍵を持たない第三者に検出手段はありません。将来検出APIが出ても、誰でも使えるとは限りません。したがって「明日から社外に出す文書がAI判定される」という心配は、当面は先走りです。

ただし、方向としてはそちらに向かっています。数年単位で見れば「由来を確認できる状態が普通」になる前提で仕事を組み立てておくほうが、後から慌てずに済みます。

誤解2: 「透かしがあった=AIに丸投げした」#

これは論理的に成立しません。サポート記事は、検出できたとしても言えるのは「そのコンテンツがClaudeによって処理された可能性がある」までであり、校正・翻訳・要約・ファイル変換でも印が付きうるため「Claudeが原著者でない可能性がある」と明記しています。ニュース記事側も「Claudeが書いた」と「Claudeが大幅に編集した」を区別できないとしています。

逆方向の注意もあります。ニュース記事は、Claudeが人の書いた文章を校正した場合、返ってくるのは軽く手を入れただけのもので、ほぼすべての語が書き手のものであるため、透かしが付く先がほとんどないと説明しています。編集の程度とテキストの長さによっては、その変更ではClaudeの関与を検出できるだけの量にならないとも述べています。つまり「軽い手直しなら印が付かない」ほうも、同じくらい確かです。

社内ルールで検出結果を根拠に使おうとするなら、この点は決定的です。透かしの有無は、執筆プロセスの証拠にはなりません。

誤解3: 「透かしがないから人間が書いた」#

前述のとおり、印が載らない経路がいくつもあります。証拠としては、あるほうの情報量よりないほうの情報量のほうがずっと小さい、という非対称な性質を持ちます。

実際に効いてくる場面#

一方で、業務上まっすぐ効いてくる場面もあります。

この受け止め方は妥当だと考えています。透かしは統制の道具ではなく、コンテンツ流通の来歴を追える確率を社会全体で少し上げる仕組みです。社内の統制設計に組み込もうとすると、精度の限界と検出手段の不在の両方に引っかかります。

プライバシーの扱い#

念のため確認しておくと、Anthropicは「透かしにも鍵にも、ユーザー・組織・Claudeとの会話に関する情報を復元できるものは何も含まれない」と明記しています。個々の利用者を特定する仕組みではありません。また「所有権や著作者性について何も述べるものではなく、利用規約上のユーザーの権利を変更しない」ともしています。

生成AIの社内利用で情報管理を検討している場合、透かしは入力データの扱いとは別の話です。何を入力してよいかの線引きは、透かしとは独立に決める必要があります。

よくある質問#

まとめ#

今回の発表を一言でまとめると、「今後のClaudeの出力に、鍵を持つ者だけが読める統計的な印を入れる」という宣言です。文字を足すのではなく単語選びの乱数の出どころを変えるという設計なので、コピー&ペーストで残り、料金も速度もほぼ変わりません。技術としては素直で、よくできています。

ただし実務での意味は、期待とも警戒ともずれています。検出には鍵が要り、その鍵はAnthropicが持っています。検出APIはまだありません。そもそも、いま使えるどのモデルに透かしが入っているのかも公表されていません。仮に公開されても、印が言えるのは「Claudeが処理した可能性がある」までで、書いたのか直しただけなのかは区別できません。逆に、印がないことはAIを使っていない証拠になりません。つまり、社内統制の道具としては、いま期待されているであろう働きをしません。

では意味がないかというと、そうではありません。これは特定の組織の統制のための機能ではなく、生成テキストが大量に流通する社会で、由来を追える確率を底上げするためのインフラです。EU AI Actの透明性義務という制度の裏付けがあり、約190組織が署名した行動規範があり、Googleが先行して2年運用してきた実績があります。この方向自体は続くと見ておいたほうがよいでしょう。

実務側でいま手を動かすとしたら、検出の話ではなく、自社が提供者に当たるかどうかの確認と、既存システムの2026年12月2日という期限、そしてAI利用の開示をどこまで行うかという社内の合意です。透かしはそれを自動的に解決してはくれません。技術が来ても、決めることは減らない。今回もそういう話だと考えています。