Marca de agua en contenido generado por IA
| Marca de agua en contenido generado por IA | |
|---|---|
| Tipo | Técnica de trazabilidad y transparencia de contenidos sintéticos |
| Familias de mecanismos | Marca incrustada en el propio contenido · Metadatos de procedencia firmados · Detectores estadísticos a posteriori |
| Antecedente técnico | Marca de agua digital y esteganografía (décadas de 1990 y 2000) |
| Norma técnica de procedencia | C2PA / Content Credentials, especificación 2.4 |
| Principal obligación legal | Artículo 50 del Reglamento (UE) 2024/1689, aplicable desde el 2 de agosto de 2026 |
| Sanción máxima en la UE | 15 000 000 EUR o el 3 % del volumen de negocios anual mundial (art. 99.4) |
| Implantaciones destacadas | Claude (Anthropic) · SynthID (Google DeepMind) · Content Credentials de C2PA |
| Límite fundamental | Ni la presencia ni la ausencia de marca constituyen prueba concluyente |
1. Resumen[editar]
La marca de agua en contenido generado por IA es el conjunto de técnicas destinadas a señalar, de forma que una máquina pueda comprobarlo después, que un texto, una imagen, un audio o un vídeo fue producido o modificado por un sistema de 
inteligencia artificial generativa. El objetivo declarado no es impedir la generación de contenido sintético —cosa que ninguna marca hace— sino permitir que, más adelante y en otro lugar, alguien pueda preguntarse de dónde salió aquello y obtener una respuesta con algún fundamento técnico.
La expresión "marca de agua" es una metáfora heredada del papel y arrastra un malentendido: sugiere un sello visible. En la práctica, casi todas las marcas relevantes en contenido generado por IA son imperceptibles para el lector o el espectador. En el caso del texto, la marca no consiste en caracteres invisibles ni en espacios ocultos, sino en un sesgo estadístico introducido durante la propia generación, en la manera en que el modelo elige cada palabra. No hay nada que borrar con buscar y reemplazar porque no hay nada añadido: el texto marcado y el no marcado están hechos de las mismas letras.
Bajo la etiqueta común de "marca de agua" conviven tres mecanismos con propiedades muy distintas y que se confunden constantemente en la conversación pública: la marca incrustada en el contenido, los metadatos de procedencia adjuntos al fichero —que se pueden eliminar sin dejar rastro— y los detectores estadísticos a posteriori, que no leen ninguna marca sino que adivinan a partir del estilo. Distinguirlos importa, porque su fiabilidad no se parece en nada.
El asunto pasó de ser un debate técnico a ser una obligación jurídica el 2 de agosto de 2026, fecha en que empezó a aplicarse el artículo 50 del Reglamento (UE) 2024/1689 —el Reglamento europeo de Inteligencia Artificial—, que exige a los proveedores de sistemas generativos que sus resultados estén "marcados en un formato legible por máquina y detectable como generado o manipulado artificialmente". Ese mismo día entraron en vigor las marcas de Claude, el asistente de Anthropic, con alcance mundial y no solo europeo.
Sobre todo lo anterior pesa una limitación central: una marca detectada no demuestra que el contenido sea artificial, y la ausencia de marca no demuestra que no lo sea. Las dos afirmaciones son ciertas a la vez, apuntan en direcciones contrarias y explican por qué el uso de estas herramientas para acusar a alguien —a un estudiante, a un periodista, a un opositor— es un error con consecuencias documentadas.
2. Tres mecanismos que se confunden[editar]
Casi toda la confusión pública sobre este tema se disuelve al separar tres cosas que la prensa, los reglamentos internos de las universidades y buena parte del sector agrupan bajo la misma palabra.
2.1 La marca incrustada en el contenido[editar]
Es la marca de agua en sentido estricto. El sistema que genera el contenido lo altera mínimamente durante su producción, siguiendo un patrón que depende de una clave secreta. Quien conoce la clave puede después someter el contenido a una prueba estadística y estimar si ese patrón está presente.
Sus dos propiedades definitorias son que viaja dentro del contenido —sobrevive a copiar y pegar, a cambiar el formato del fichero, a sacar el texto de una aplicación y meterlo en otra— y que solo puede ponerla quien controla el modelo en el momento de generar. Nadie puede añadir a posteriori la marca de Claude a un texto ajeno, y nadie puede quitarla sin modificar el contenido mismo.
Su debilidad es simétrica: como está hecha de las elecciones concretas que hizo el modelo, reescribir esas elecciones la degrada. Un texto suficientemente parafraseado deja de estar marcado, sencillamente porque ya casi no es el mismo texto.
2.2 Los metadatos de procedencia[editar]
Es un mecanismo completamente distinto, aunque suela anunciarse junto al anterior. Consiste en adjuntar al fichero un bloque de información firmado criptográficamente que declara quién lo produjo, con qué herramienta y qué ediciones ha sufrido. La norma dominante es C2PA, y su producto se llama Content Credentials.
Su virtud es que dice mucho más que una marca de agua: no solo "esto pasó por un sistema de IA", sino "esto lo generó tal herramienta tal día y después se recortó y se ajustó el color". Y su firma criptográfica es verificable: si alguien altera la imagen o los propios metadatos, la firma deja de validar.
Su debilidad es catastrófica y bien conocida: los metadatos son un anexo del fichero, no el fichero. Se eliminan con una captura de pantalla, con una conversión de formato, con una recompresión —y muchas plataformas de redes sociales recomprimen sistemáticamente lo que se les sube—. Una imagen sin Content Credentials no es una imagen sospechosa: es la situación normal de casi todas las imágenes que circulan.
2.3 Los detectores estadísticos a posteriori[editar]
Es la tercera cosa, la más extendida en el ámbito educativo y la menos fiable de las tres. Aquí no hay marca ninguna. Un clasificador entrenado examina un texto que nadie marcó y estima, a partir de rasgos de estilo —regularidad de la longitud de frase, previsibilidad del vocabulario, ausencia de rarezas—, la probabilidad de que lo escribiera una máquina.
Un detector así no comprueba nada: adivina. No tiene acceso a ninguna clave, no sabe qué modelo generó qué, y su tasa de acierto depende del texto, del idioma y del autor. Es el mecanismo que está detrás de la mayoría de las acusaciones de plagio con IA en universidades, y también el que ha producido los falsos positivos mejor documentados.
La propia OpenAI retiró su AI Text Classifier a finales de julio de 2023 por su baja tasa de acierto.
2.4 Comparación[editar]
| Marca incrustada | Metadatos de procedencia | Detector estadístico | |
|---|---|---|---|
| ¿Quién puede ponerla? | Solo quien genera | Quien genera o edita | Nadie: no se pone |
| ¿Sobrevive a copiar y pegar? | Sí | No | No aplica |
| ¿Sobrevive a la paráfrasis? | Mal | No aplica | Mal |
| ¿Dice qué herramienta fue? | Solo si se conoce su clave | Sí, con detalle | No |
| Falsos positivos | Bajos, pero no nulos | Bajos (firma criptográfica) | Altos y sesgados |
3. Antecedente: la marca de agua digital clásica[editar]
La marca de agua en contenido generado por IA no nace de la nada. Hereda un cuerpo de técnicas y un vocabulario desarrollados desde los años noventa para proteger derechos de autor sobre imagen, audio y vídeo digitales, y conviene conocerlo porque los términos siguen usándose con el mismo sentido.
La marca de agua digital se describe clásicamente como una técnica esteganográfica de ocultación de información dentro de un objeto digital. La esteganografía es la disciplina general de ocultar un mensaje dentro de otro de modo que su existencia pase inadvertida; la marca de agua es una de sus aplicaciones.
De ese acervo vienen cuatro distinciones que siguen siendo exactamente las relevantes hoy:
- Perceptible frente a imperceptible. Una marca perceptible se ve: el logotipo semitransparente sobre una fotografía de agencia. Una marca imperceptible es aquella en la que la señal original y la marcada resultan indistinguibles para el sentido humano correspondiente. Casi todo lo que se discute en IA generativa pertenece a la segunda categoría, con la excepción de las etiquetas visibles que exigen algunas normativas.
- Robusta frente a frágil. Una marca robusta está diseñada para seguir siendo detectable después de que la señal marcada sufra transformaciones: compresión, recorte, cambio de escala. Una marca frágil, al contrario, está diseñada para destruirse ante cualquier modificación, precisamente porque su función es delatar que hubo manipulación. Los metadatos firmados de C2PA se comportan como una marca frágil en cuanto a integridad —cualquier alteración rompe la firma— mientras que las marcas incrustadas aspiran a ser robustas.
- Huella digital (fingerprinting). Variante en la que la marca no identifica solo la obra sino también al destinatario concreto de cada copia, de modo que una filtración pueda rastrearse hasta quien la recibió. En IA generativa tiene un equivalente inquietante: una marca que identificara no solo al modelo sino a la cuenta de usuario permitiría rastrear un texto hasta su autor, con consecuencias evidentes para el periodismo de fuentes y para la disidencia política.
- Privada, semiprivada y pública, según lo que haga falta para detectar la marca: el objeto original, la propia marca, o ninguna de las dos cosas.
Lo verdaderamente nuevo en la aplicación a la IA es el texto. Marcar una imagen es viejo y relativamente fácil: una imagen tiene millones de píxeles y sobra sitio donde esconder una señal sin que el ojo lo note. Un texto no tiene ese margen: no hay "píxeles sobrantes" en una frase. La solución tuvo que buscarse en otro lugar, y ese lugar resultó ser el propio proceso de generación.
Merece la pena señalar que el artículo correspondiente de la Wikipedia en español sobre marca de agua digital no trata en absoluto el contenido generado por IA: la literatura clásica se ocupaba de proteger obras humanas frente a la copia, no de señalar obras artificiales frente a las humanas. El propósito, de hecho, se ha invertido.
4. Cómo funciona una marca de agua en texto[editar]
Esta es la parte que suele darse por incomprensible y no lo es. La idea completa cabe en dos ideas encadenadas.
4.1 El modelo elige cada palabra de una distribución de probabilidad[editar]
Un modelo de lenguaje no escribe frases: escribe un fragmento cada vez. En cada paso calcula, para todas las piezas posibles de su vocabulario —decenas de miles de fragmentos de palabra, llamados tokens—, una probabilidad de que sea la siguiente. Después elige una de ellas y repite el proceso con esa elección ya incorporada al contexto.
Lo decisivo es que esa elección no está determinada. Muy a menudo hay varias continuaciones casi igual de buenas. Después de "El resultado fue" caben "sorprendente", "inesperado", "notable", "llamativo" y una docena más, y el modelo les asigna probabilidades parecidas. Cuál salga depende del muestreo aleatorio. Ese margen de indiferencia —lo que en teoría de la información se llama entropía— es el espacio libre donde cabe una marca.
4.2 Sesgar la elección sin cambiar el texto[editar]
Una marca de agua generativa consiste en inclinar sistemáticamente esas elecciones casi empatadas según un patrón pseudoaleatorio derivado de una clave secreta.
Imagínese que, antes de cada elección, la clave secreta reparte todo el vocabulario en dos mitades arbitrarias, y que el sistema, ante dos candidatos de probabilidad similar, prefiere el que cayó en la primera mitad. Cada decisión individual es irrelevante y perfectamente natural: cualquiera de los dos sinónimos era correcto. Pero al cabo de doscientas o trescientas decisiones, la proporción de palabras procedentes de la mitad favorecida se aparta de lo que cabría esperar por azar de un modo que es medible.
Eso es todo. El texto sigue siendo texto ordinario. No contiene caracteres ocultos ni espacios raros ni marcas Unicode invisibles —trucos que existen, que son triviales de detectar y de borrar, y que no son de lo que se habla aquí—. Lo que contiene es un rastro estadístico en sus propias palabras.
La documentación pública de SynthID, el sistema de Google DeepMind, describe el mecanismo en estos términos: a cada palabra se le asigna una puntuación de probabilidad según la verosimilitud de que sea la siguiente, y el sistema modifica esas puntuaciones para crear una marca imperceptible. Anthropic describe el resultado en su documentación de Claude diciendo que el modelo "teje una marca de agua imperceptible directamente en el propio texto", que el lector no la verá y que no cambia el significado, la calidad ni la legibilidad de la respuesta.
4.3 La detección es una prueba estadística, no una lectura[editar]
De ahí se sigue una consecuencia que casi nunca se explica y que gobierna todo lo demás: detectar la marca no es leer una etiqueta, es contrastar una hipótesis.
El detector recorre el texto, reconstruye con la clave secreta qué elecciones habrían estado favorecidas en cada posición, cuenta cuántas de ellas se produjeron efectivamente y calcula la probabilidad de que esa coincidencia se deba al azar. El resultado no es un sí o un no: es una puntuación, y alguien tiene que decidir dónde poner el umbral.
Ese umbral es una decisión política disfrazada de decisión técnica. Bajarlo detecta más contenido marcado y acusa en falso a más gente; subirlo protege a los inocentes y deja pasar más contenido marcado. No existe una configuración que evite ambos errores, y el sistema publicado más documentado —SynthID— reporta sus resultados precisamente así: tasa de acierto a una tasa de falsos positivos fija del 1 %.
4.4 La entropía manda: por qué unos textos se marcan mejor que otros[editar]
Como la marca vive en el margen de elección del modelo, cuando no hay margen no hay marca. Es la limitación más importante del método y no admite solución dentro del propio paradigma.
Un texto largo, discursivo y con muchas maneras válidas de decir lo mismo ofrece miles de decisiones casi empatadas y acumula una señal fuerte. En cambio:
- Una respuesta corta no da tiempo a acumular evidencia. El artículo de Anthropic incluye la brevedad entre las razones por las que una marca puede no detectarse, y los datos publicados de SynthID muestran la dependencia con claridad: para uno de los modelos evaluados, a una tasa de falsos positivos del 1 %, la detección pasa de en torno al 50 % con unos 100 tokens a más del 85 % con unos 400.
- Un dato factual apenas tiene entropía. A "la capital de Francia es" solo le sigue razonablemente una palabra. No hay elección que sesgar.
- El código de programación es un caso extremo del anterior: la sintaxis obliga, los nombres de función están fijados y las alternativas válidas son pocas.
- Los propios autores de SynthID señalan además que los modelos grandes y el ajuste por refuerzo tienden a reducir la entropía de las salidas, lo que erosiona la eficacia de la marca justo en los modelos más capaces.
4.5 Marcas distorsionantes y no distorsionantes[editar]
Hay una tensión inevitable entre la fuerza de la marca y la calidad del texto: cuanto más se fuerce la elección hacia el patrón, más detectable será la marca y más se aparta el texto de lo que el modelo habría escrito por sí solo.
El trabajo publicado sobre SynthID formaliza esa tensión con dos configuraciones. La no distorsionante garantiza que, promediando sobre la semilla aleatoria, la distribución de la palabra elegida coincide con la del modelo sin marcar: la marca es gratis en términos de calidad, a costa de ser más débil. La distorsionante aprieta más el sesgo, detecta mejor y paga con algo de calidad. Los autores informan de una evaluación sobre cerca de veinte millones de respuestas reales de Gemini en la que la variante no distorsionante no produjo diferencias apreciables en la valoración de los usuarios.
5. Marcas en imagen, audio y vídeo[editar]
En las modalidades no textuales el problema es a la vez más viejo y más fácil, porque hay redundancia perceptual de sobra donde esconder una señal.
En imagen, la marca se introduce alterando los valores de los píxeles o los coeficientes de una transformada de frecuencia de manera que el ojo no lo note pero un detector sí. Los sistemas modernos se entrenan explícitamente para sobrevivir a las transformaciones habituales de la distribución en internet: recorte, cambio de tamaño, filtros, compresión con pérdida y cambios de la tasa de fotogramas. La documentación pública de SynthID afirma que sus marcas están diseñadas para resistir ese tipo de modificaciones, y para audio menciona la resistencia a la adición de ruido, a la compresión MP3 y a los cambios de velocidad.
En audio, un enfoque habitual convierte la onda en un espectrograma, inserta la señal en él y reconstruye la forma de onda, de modo que la marca queda repartida en el tiempo y en la frecuencia y no se elimina recortando un fragmento.
En vídeo, la marca suele aplicarse fotograma a fotograma, lo que da mucha redundancia: basta con recuperar la señal en una fracción de los fotogramas.
Ahora bien, la comparación con el texto es la que importa: en imagen, audio y vídeo la marca de agua es una tecnología razonablemente madura, mientras que en texto es intrínsecamente más frágil, porque no hay redundancia perceptual que aprovechar. Y es en el texto donde se concentran las decisiones que más daño hacen cuando se equivocan —un trabajo académico, un artículo periodístico, una solicitud de empleo—.
6. Metadatos de procedencia: C2PA y las Content Credentials[editar]
El segundo mecanismo no toca el contenido: lo acompaña. La Coalition for Content Provenance and Authenticity (C2PA) publica una norma técnica abierta cuyo producto son las Content Credentials, descritas por la propia coalición como algo que funciona "como una etiqueta nutricional" para el contenido digital.
Un manifiesto C2PA agrupa afirmaciones (assertions) sobre el activo —quién lo creó, con qué herramienta, qué ediciones sufrió, si intervino un sistema de IA—, las reúne en una declaración (claim) y la firma con la clave privada del programa o del aparato que realizó la operación. La firma hace el conjunto resistente a la manipulación: alterar el contenido o los metadatos invalida la comprobación.
La unión entre el manifiesto y el contenido puede ser de dos tipos. El enlace duro (hard binding) es un resumen criptográfico del contenido: cualquier cambio, por insignificante que sea, lo rompe. El enlace blando (soft binding) recurre a una marca de agua invisible o a una huella perceptual que permite reencontrar el manifiesto en un repositorio aunque haya sido arrancado del fichero. De la combinación de ambos surgen las llamadas Content Credentials duraderas.
Con esto se cierra el círculo: el propio C2PA recurre a la marca de agua incrustada para tapar el agujero de los metadatos. Los dos mecanismos no compiten, se sostienen mutuamente, y ninguno de los dos es suficiente solo.
La documentación de la coalición es notablemente franca sobre sus límites. Reconoce que los metadatos pueden eliminarse —de ahí los enlaces blandos—, que la procedencia "no siempre está completa" porque una edición con herramientas ajenas a la norma no actualiza el registro, y sobre todo que la información de procedencia por sí sola no puede decir si el contenido digital es verdadero, exacto o veraz. Es una advertencia que conviene subrayar: C2PA acredita el origen, no la verdad.
El artículo dedicado a C2PA desarrolla su historia, su composición, su modelo de confianza y las críticas que ha recibido.
7. Quién marca y quién no[editar]
7.1 Claude, de Anthropic[editar]
El asistente Claude, de la empresa estadounidense Anthropic, es el caso mejor documentado de aplicación simultánea de los dos mecanismos, y el que fijó la fecha en el calendario. Según la documentación pública de la compañía, Claude emplea dos técnicas complementarias:
- Una marca de agua imperceptible incrustada en el propio texto. La documentación afirma que el lector no la verá, que no altera el significado, la calidad ni la legibilidad de la respuesta, que persiste al copiar y pegar y que puede persistir a través de algunas ediciones.
- Metadatos de procedencia firmados conforme a la norma C2PA cuando Claude genera un tipo de fichero admitido, como
.svg,.pngo.jpg.
El alcance declarado es amplio: la marca se aplica en el modelo, no en la interfaz, y por tanto cubre la plataforma de API, la aplicación Claude, Claude Code, Claude Cowork y Claude Tag, en todo el mundo y no solo en la Unión Europea. Los grandes proveedores de nube por los que también se accede a los modelos —Amazon Web Services, Google Cloud y Microsoft Foundry— admiten la marca incrustada, mientras que el soporte de los metadatos firmados varía según la plataforma.
La fecha es la clave del asunto: Anthropic suscribió el Código de buenas prácticas de la Unión Europea sobre transparencia de los contenidos generados por IA, previsto en el artículo 50.2 del Reglamento, y declara que los modelos de Claude lanzados a partir del 2 de agosto de 2026 admiten el marcado desde su lanzamiento, mientras que los modelos anteriores se van actualizando. Esa fecha es exactamente la de aplicación del artículo 50.
Anthropic ha anunciado que publicará la documentación técnica necesaria para detectar sus marcas. Esa documentación no está disponible públicamente, de modo que no existe todavía un detector independiente de la marca de Claude. Anthropic tampoco ha publicado el algoritmo concreto que emplea, por lo que las descripciones que circulan atribuyéndole un método académico determinado no están confirmadas por la empresa.
La sección correspondiente del artículo Claude resume esta implantación desde el lado del producto.
7.2 SynthID, de Google DeepMind[editar]
SynthID es el sistema de marcado de Google DeepMind y, con diferencia, el mejor documentado técnicamente. Cubre las cuatro modalidades —imagen, audio, vídeo y texto— y está desplegado en los productos generativos de consumo de Google, incluidos Gemini, el generador de música Lyria y la función de pódcast de NotebookLM.
Su distinción principal es que el algoritmo de texto pasó por revisión por pares: se publicó en la revista Nature con el título «Scalable watermarking for identifying large language model outputs», en el volumen 634, páginas 818-823, el 23 de octubre de 2024. Es una excepción en un campo dominado por anuncios corporativos, y la razón por la que el comportamiento de este sistema de marcado se puede describir con detalle y el de otros no.
El método, llamado muestreo por torneo (tournament sampling), extrae varios candidatos de la distribución del modelo y los enfrenta por parejas en una serie de rondas eliminatorias, puntuando cada uno con funciones pseudoaleatorias derivadas de la clave hasta que queda un ganador. Es una manera de sesgar la elección sin salirse de la distribución del modelo.
Google mantiene además el SynthID Detector, un portal de verificación que, según la documentación pública de DeepMind, está en fase de pruebas con periodistas y profesionales de los medios; y en octubre de 2024 liberó una implementación del marcado de texto como código abierto, integrada en bibliotecas de uso general para desarrolladores.
7.3 OpenAI[editar]
El caso de OpenAI es el más instructivo sobre por qué no todo el mundo marca.
En agosto de 2024 se informó de que la empresa tenía desde hacía más de un año una herramienta de marca de agua para el texto de ChatGPT y no la había desplegado. La razón que trascendió no era técnica sino comercial: una encuesta interna indicaba que alrededor de un tercio de los usuarios de ChatGPT usarían menos el servicio si su texto llevara marca, aunque la proporción de partidarios de las herramientas de detección cuadruplicaba la de detractores. La compañía reconoció públicamente que trabajaba en tecnologías de procedencia en una entrada de su blog titulada «Understanding the Source of What We See and Hear Online».
Ese episodio ilustra el problema estructural de todo el asunto: marcar es un coste competitivo unilateral. Quien marca ofrece un producto ligeramente menos atractivo para una parte de sus usuarios, y solo obtiene el beneficio si los demás también marcan. Es exactamente la clase de situación que la regulación existe para resolver, y explica por qué el despliegue serio de estas técnicas coincide con una fecha del calendario legislativo europeo y no con un avance técnico.
En lo relativo a imágenes, OpenAI forma parte del comité de dirección de C2PA e incorpora Content Credentials a las imágenes y vídeos que generan sus sistemas.
7.4 Meta y las plataformas de distribución[editar]
Las plataformas ocupan una posición distinta: no generan la mayor parte del contenido, lo distribuyen, y su papel es leer las marcas ajenas y mostrar una etiqueta visible al lector.
Meta anunció el 6 de febrero de 2024 que etiquetaría las imágenes generadas por IA en Facebook, Instagram y Threads, aplicando la etiqueta «Imagined with AI» a las producidas por su propio sistema y detectando las señales de las normas C2PA e IPTC para etiquetar las de otras empresas, entre ellas Google, OpenAI, Microsoft, Adobe, Midjourney y Shutterstock.
En ese mismo anuncio Meta reconoció dos límites que siguen siendo válidos. El primero, que las empresas no incorporaban señales a la generación de audio y vídeo a la misma escala que en imagen, por lo que no podía detectarlas y tenía que exigir al usuario que las declarase por su cuenta. El segundo, formulado sin rodeos: hay maneras de arrancar los marcadores invisibles, y la compañía preveía un terreno "cada vez más adversario".
Ese segundo reconocimiento describe la situación real de la distribución en línea. La mayoría de las grandes plataformas recomprimen y reprocesan las imágenes que reciben, y en ese proceso los metadatos C2PA desaparecen. El resultado es una paradoja difícil de exagerar: la procedencia se destruye justo en el punto donde más falta hace, que es la circulación masiva en redes sociales.
7.5 Los modelos de pesos abiertos: nadie a quien obligar[editar]
Existe una categoría de sistemas para los que ninguna de estas medidas funciona, y conviene decirlo con claridad porque suele omitirse en los anuncios corporativos.
Cuando los pesos de un modelo se publican y cualquiera puede descargarlos y ejecutarlos en su propio equipo, no hay ningún intermediario a quien imponer la obligación de marcar. El marcado por muestreo se aplica en el momento de generar; quien controla la ejecución controla el muestreo y puede sencillamente desactivarlo, o usar una implementación que nunca lo incluyó. No hay servidor que interceptar ni cuenta que suspender.
Los propios autores del trabajo de SynthID señalan esto entre sus limitaciones: el auge de los modelos abiertos plantea un desafío, porque imponer el marcado en despliegues descentralizados es difícil.
La consecuencia práctica es que el marcado obligatorio sirve, en el mejor de los casos, para el contenido producido de buena fe a través de los servicios de las grandes empresas. Al actor que quiere deliberadamente engañar —el que fabrica desinformación electoral o material fraudulento— le basta con usar un modelo abierto, y para él ninguna de estas obligaciones representa un obstáculo. Las marcas de agua no son una medida de seguridad frente a adversarios: son una medida de transparencia frente a usuarios normales.
8. Qué prueba y qué no prueba una marca[editar]
Aquí está el núcleo del asunto, y merece un tratamiento cuidadoso porque es donde se producen los daños concretos.
8.1 La asimetría entre el resultado positivo y el negativo[editar]
Las dos direcciones del razonamiento fallan, pero fallan por motivos distintos.
Una marca detectada no demuestra que el contenido sea artificial. La documentación de Anthropic lo formula sin ambages: una marca detectada aporta una señal de que el contenido fue procesado por Claude, pero no es plenamente concluyente. La razón es que "procesado" no es lo mismo que "generado". Un texto humano que se ha pasado por el modelo para corregir la ortografía, traducirlo o resumirlo puede salir marcado, y sigue siendo un texto humano. Es el caso, por ejemplo, del estudiante que escribe su trabajo y luego pide ayuda para pulir la redacción, o del investigador que redacta en su lengua y traduce al inglés. La marca no distingue autoría de intervención.
La ausencia de marca no demuestra que el contenido sea humano. Y aquí las razones se acumulan: el modelo puede ser anterior al despliegue del marcado; el texto puede haberse editado lo bastante como para borrar la señal; el pasaje puede ser demasiado corto para que la prueba estadística concluya nada; los metadatos pueden haberse eliminado por el camino; la plataforma empleada puede no admitir el marcado; y el generador puede ser sencillamente un modelo abierto que nunca marcó nada.
De ahí se sigue la regla de uso que debería acompañar a cualquier informe de detección: el positivo es un indicio débil y el negativo no es nada en absoluto. Un sistema en el que casi todos los negativos son falsos no puede usarse para acreditar autoría humana, y un sistema cuyos positivos incluyen la mera edición no puede usarse para acreditar fraude.
8.2 El coste de una acusación falsa[editar]
Estas propiedades tendrían un interés puramente teórico si nadie tomara decisiones a partir de ellas. Pero se toman, y el ámbito donde más se toman es la educación.
El daño no es simétrico. Un falso negativo permite que alguien entregue un trabajo ajeno y nadie se entera: el coste recae difusamente sobre la integridad del sistema. Un falso positivo señala a una persona concreta, la obliga a demostrar una inocencia que por naturaleza no se puede demostrar —¿cómo se prueba que uno escribió algo?— y puede acabar en un expediente, una calificación anulada o una expulsión.
A esa asimetría se añade que el acusado normalmente no puede examinar el sistema que lo acusa: los detectores comerciales son opacos, sus tasas de error se publican de forma agregada cuando se publican, y en el peor de los casos la única evidencia contra el estudiante es una cifra de porcentaje generada por un programa cuyo funcionamiento nadie del claustro entiende.
8.3 El sesgo contra quien no escribe en su lengua materna[editar]
El caso mejor documentado de daño concreto tiene además un sesgo con nombre y apellidos, y es especialmente pertinente para el mundo hispanohablante.
Un estudio de la Universidad de Stanford dirigido por Weixin Liang y publicado en la revista Patterns en 2023 sometió a siete detectores de texto generado por IA a redacciones escritas por personas cuya lengua materna no era el inglés. Los detectores las clasificaron como generadas por IA el 61 % de las veces, mientras que apenas se equivocaban con textos de hablantes nativos; alrededor del 20 % de los trabajos fueron clasificados erróneamente por unanimidad de los detectores.
La explicación es coherente con lo que hacen estos programas. Un detector estadístico busca previsibilidad léxica y regularidad sintáctica. Quien escribe en una lengua que no es la suya tiende, por prudencia, a usar vocabulario común y construcciones simples y a evitar giros idiomáticos: escribe, en términos estadísticos, de manera más previsible. Y eso es exactamente lo que el detector interpreta como máquina.
La prensa especializada documentó casos concretos en 2023, entre ellos el de un docente de la Universidad Johns Hopkins cuyo alumno internacional vio marcado como generado por IA más del 90 % de un trabajo que el propio profesor había ayudado a redactar en sucesivos borradores.
La implicación para un estudiante hispanohablante que escribe un trabajo en inglés —o, con toda probabilidad, para cualquiera que escriba en una lengua distinta de aquella con la que se entrenó el detector— es directa: el sistema está sesgado en su contra, y el sesgo no es un fallo accidental sino una consecuencia previsible de lo que mide.
Todo lo anterior se refiere a los detectores estadísticos a posteriori de la sección 2.3, no a las marcas incrustadas. Las marcas de agua criptográficas tienen tasas de falsos positivos muy inferiores, precisamente porque no juzgan el estilo. Pero son los detectores estadísticos, y no las marcas, los que están instalados en las plataformas educativas, y ese desajuste entre lo que se discute y lo que se usa es una parte importante del problema.
9. El lado adversario: cómo se rompe una marca[editar]
La literatura académica sobre la eliminación de marcas es abundante y sus resultados son incómodos para el optimismo institucional. Sería deshonesto describir estas técnicas como si fueran infalsificables.
9.1 Paráfrasis[editar]
Es el ataque evidente y el más eficaz. Como la marca vive en las elecciones concretas de palabras, reescribir el texto con otras palabras la destruye.
El trabajo de referencia es «Can AI-Generated Text be Reliably Detected?», de Vinu Sankar Sadasivan y colaboradores de la Universidad de Maryland, difundido en marzo de 2023 y publicado después en Transactions on Machine Learning Research. Sus autores aplicaron paráfrasis recursiva —parafrasear el texto ya parafraseado, varias veces— sobre pasajes de unos 300 tokens y midieron el efecto sobre distintos detectores. Para un esquema de marca de agua, la tasa de acierto a una tasa de falsos positivos del 1 % cayó del 99 % al 15 % tras cinco rondas. Los detectores de otras familias sufrieron caídas comparables: un detector de tipo zero-shot pasó de un AUROC del 82 % al 18 %, y un detector basado en recuperación —diseñado explícitamente para resistir la paráfrasis— cayó del 100 % al 25 % de acierto.
Los propios autores de SynthID reconocen el problema en su artículo de Nature, aunque con una matización razonable: las marcas generativas se debilitan con las ediciones del texto, como la paráfrasis mediante un modelo de lenguaje, "aunque eso normalmente cambia el texto de forma significativa". Es un argumento con fuerza: quien parafrasea recursivamente cinco veces un texto ya no está entregando el texto del modelo.
9.2 Traducción[editar]
Traducir a otro idioma y volver a traducir destruye la marca por la misma razón, y con una ventaja adicional para quien lo hace: la traducción conserva el contenido mucho mejor que la paráfrasis, de modo que el coste en calidad es menor. En la información difundida sobre la herramienta no desplegada de OpenAI se señalaba precisamente que las marcas podían borrarse con herramientas de traducción.
Este punto tiene una consecuencia local que conviene explicitar: un texto generado en inglés y traducido al español probablemente no llegue marcado, y a la inversa. Para el lector hispanohablante, buena parte del contenido sintético que circula habrá pasado por una traducción en algún momento del camino.
9.3 Reescritura con otro modelo[editar]
Variante de las anteriores y hoy trivial de ejecutar: pedir a un segundo modelo —de otro proveedor, o local, o de pesos abiertos— que reescriba el texto del primero. El resultado no lleva la marca del primero, y si el segundo no marca, no lleva ninguna. Ni siquiera hace falta mala fe: cualquier flujo de trabajo que encadene dos herramientas produce el mismo efecto sin que nadie se lo proponga.
9.4 Eliminación de metadatos[editar]
Frente a los metadatos de procedencia no hace falta ningún ataque sofisticado. Una captura de pantalla los elimina íntegramente. También lo hacen la conversión de formato, la recompresión, la mayoría de los editores de imagen y, como se ha dicho, la propia subida a la mayoría de las plataformas sociales. Cualquier usuario puede borrarlos sin saber que existen.
9.5 Suplantación[editar]
El ataque inverso es menos comentado y quizá más peligroso: en lugar de quitar una marca de un texto de máquina, añadirla a un texto humano. El trabajo de Sadasivan y colaboradores describe cómo un adversario que consulte repetidamente un modelo marcado puede inferir su patrón de preferencia de palabras y componer después un texto aparentemente humano que lo active, provocando un falso positivo.
Las consecuencias son mucho peores que las de la evasión. Una marca que se puede fabricar permite desacreditar a alguien: atribuir a un periodista un texto "generado por IA", o hacer que la declaración auténtica de un cargo público parezca sintética. Y en el terreno de la procedencia se han documentado casos análogos: un fallo en el sistema de firma de una cámara fotográfica permitió en 2025 combinar imágenes no auténticas con fotografías auténticas conservando una firma digital válida, lo que obligó al fabricante a revocar certificados.
Un sistema de autenticidad que puede falsificarse es peor que no tener ninguno, porque traslada la carga de la prueba al acusado con un aval técnico aparente.
9.6 El resultado teórico de imposibilidad[editar]
Por debajo de todos los ataques concretos hay un argumento más general, y es el que impide esperar que el problema se resuelva con mejor ingeniería.
El mismo trabajo de la Universidad de Maryland establece una cota: la capacidad de cualquier detector posible está limitada por la distancia estadística entre la distribución del texto de máquina y la del texto humano. A medida que los modelos mejoran y se acercan a escribir como las personas, esa distancia se reduce, y con ella el rendimiento del mejor detector concebible, que tiende hacia el del azar.
Dicho de otro modo: la detección estadística a posteriori se vuelve más difícil precisamente porque los modelos mejoran, y no hay nada que hacer al respecto. Esa es la razón de fondo por la que el sector se ha desplazado desde los detectores hacia el marcado en el momento de la generación: la marca no depende de que el texto de máquina se distinga del humano, sino de una clave secreta. Es una diferencia cualitativa, y es también el motivo por el que las obligaciones legales recaen sobre los proveedores de los modelos y no sobre quien recibe el contenido.
10. Marco normativo[editar]
10.1 Unión Europea: el artículo 50[editar]
La norma de referencia mundial es el Reglamento (UE) 2024/1689, de 13 de junio de 2024, del Parlamento Europeo y del Consejo, conocido como Reglamento de Inteligencia Artificial. Su artículo 50 regula las obligaciones de transparencia y es aplicable desde el 2 de agosto de 2026, fecha distinta de la de entrada en vigor del Reglamento (agosto de 2024), que es la confusión más común al citarlo.
El apartado 50.2 contiene la obligación central, dirigida a los proveedores:
Los proveedores de sistemas de IA, incluidos los sistemas de IA de propósito general, que generen contenidos sintéticos de audio, imagen, vídeo o texto, garantizarán que los resultados del sistema de IA estén marcados en un formato legible por máquina y detectable como generado o manipulado artificialmente. Los proveedores garantizarán que sus soluciones técnicas sean eficaces, interoperables, sólidas y fiables en la medida en que sea técnicamente viable, teniendo en cuenta las especificidades y limitaciones de los diversos tipos de contenidos, los costes de aplicación y el estado de la técnica generalmente reconocido.
La cláusula "en la medida en que sea técnicamente viable" es la que reconoce, dentro del propio texto legal, lo que las secciones anteriores describen: el legislador sabe que estas marcas no son perfectas y no exige que lo sean.
Las excepciones importan tanto como la regla. El propio apartado 50.2 exime a los sistemas que realicen "una función de asistencia para la edición estándar" o que "no alteren sustancialmente los datos de entrada proporcionados por el usuario o la semántica de los mismos", así como a los autorizados por ley para detectar, prevenir, investigar o perseguir delitos penales. Es decir: un corrector ortográfico no tiene que marcar nada.
El apartado 50.4 traslada obligaciones a quienes usan los sistemas. Para las ultrafalsificaciones de imagen, audio o vídeo, el usuario profesional debe revelar que el contenido ha sido generado o manipulado artificialmente; cuando el contenido "forme parte de una obra o programa manifiestamente artístico, creativo, satírico, de ficción o análogo", la obligación se reduce a revelar su existencia de una manera que no obstaculice el disfrute de la obra.
Y para el texto, el mismo apartado establece una obligación con una excepción de enorme alcance práctico: quien publique texto generado por IA con el fin de informar al público sobre asuntos de interés público debe revelarlo, salvo —entre otros supuestos— "cuando el contenido generado por IA haya sido sometido a un proceso de revisión humana o control editorial y cuando una persona física o jurídica tenga la responsabilidad editorial de la publicación del contenido".
Esa última salvedad significa que un medio de comunicación con responsable editorial no está obligado por el Reglamento a etiquetar como sintético un texto que un modelo haya redactado y una persona haya revisado. Es una decisión deliberada del legislador, que sitúa la responsabilidad en quien publica antes que en la herramienta empleada, y probablemente la parte del artículo 50 con más consecuencias para lo que el lector encuentra a diario.
El apartado 50.1, por su parte, obliga a que las personas sepan que están interactuando con un sistema de IA cuando no resulte obvio; y en todos los casos la información debe facilitarse a más tardar con ocasión de la primera interacción o exposición.
El incumplimiento del artículo 50 se sanciona conforme al artículo 99.4 con multas de hasta 15 000 000 EUR o, si el infractor es una empresa, hasta el 3 % de su volumen de negocios total anual mundial, la cuantía que sea mayor. Es un tramo inferior al de las prácticas prohibidas del artículo 5, que llega a 35 000 000 EUR o el 7 %.
10.2 El Código de buenas prácticas[editar]
Para concretar cómo cumplir el artículo 50, la Comisión Europea impulsó un Código de buenas prácticas sobre transparencia de los contenidos generados por IA, publicado el 10 de junio de 2026. La Comisión y el Comité de IA confirmaron que se trata de un instrumento voluntario adecuado para demostrar el cumplimiento de las obligaciones de transparencia del Reglamento, lo que en la práctica ofrece a los firmantes una posición más previsible ante una eventual supervisión.
A finales de julio de 2026 lo habían suscrito alrededor de 190 empresas y organizaciones. Anthropic figura entre ellas, y su calendario de despliegue —modelos marcados desde el 2 de agosto de 2026— se explica por esa adhesión.
10.3 España[editar]
España fue uno de los primeros Estados miembros en preparar su adaptación nacional. El 11 de marzo de 2025 el Consejo de Ministros aprobó el anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial, y el 26 de mayo de 2026 aprobó el Proyecto de Ley Orgánica correspondiente, que entró en tramitación parlamentaria en el Congreso de los Diputados en junio de 2026.
Conviene ser preciso sobre su estado, porque circulan titulares que lo dan por vigente: es un proyecto en tramitación, no una ley en vigor, y su texto puede cambiar por enmiendas.
El proyecto no crea obligaciones de marcado nuevas —esas ya vienen del Reglamento europeo, que es directamente aplicable— sino que designa a las autoridades competentes y fija el régimen sancionador nacional. La supervisión general corresponde a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, junto a autoridades sectoriales para ámbitos específicos: el Banco de España en materia financiera, la Agencia Española de Protección de Datos en materia de datos y el Consejo General del Poder Judicial en el ámbito de la justicia. El régimen de infracciones se articula en tres niveles, con cuantías máximas de 35 millones de euros o el 7 % del volumen de negocio para las muy graves, 15 millones o el 3 % para las graves y 500 000 euros o el 0,5 % para las leves. El incumplimiento de la obligación de etiquetar correctamente contenidos generados o manipulados con IA figuraba como infracción grave en la redacción del anteproyecto de 2025.
10.4 China[editar]
China se adelantó a la Unión Europea en la aplicación efectiva de un régimen de etiquetado. Unas medidas dictadas por la Administración del Ciberespacio de China (CAC) junto con otros organismos entraron en vigor el 1 de septiembre de 2025 y establecen un sistema de doble etiquetado para texto, imagen, audio, vídeo y entornos virtuales:
- Etiquetado explícito: una marca perceptible para el usuario —un aviso textual, un icono, una marca gráfica sobre la imagen o un mensaje sonoro— que indique que el contenido fue generado por IA.
- Etiquetado implícito: una segunda capa incrustada en los metadatos del fichero o mediante marca de agua digital.
Las obligaciones se reparten a lo largo de la cadena: quien genera debe etiquetar; las plataformas de distribución deben comprobar el contenido y añadir la etiqueta si falta; los usuarios que suban material generado por IA deben declararlo; y las tiendas de aplicaciones solo deben distribuir programas que acrediten los mecanismos correspondientes.
La diferencia de enfoque con la Unión Europea es significativa: el modelo chino exige una etiqueta visible para el usuario final, mientras que el artículo 50.2 europeo se centra en el marcado legible por máquina y reserva la revelación explícita para los supuestos del apartado 50.4.
10.5 América Latina[editar]
Ningún país de América Latina cuenta, a mediados de 2026, con una obligación general de marcado en vigor comparable a la europea o a la china, aunque hay proyectos avanzados.
En Chile se tramita en el Senado, en primer trámite constitucional, un proyecto de ley que obliga a fijar un sello claro y trazable en el contenido generado por IA y sanciona su incumplimiento (boletín 17618-19, presentado en 2025). En Brasil, el proyecto PL 2338/2023, que sigue el modelo europeo de clasificación por niveles de riesgo, fue aprobado por el Senado en diciembre de 2024 y continúa su tramitación en la Cámara de Diputados. En México no existe todavía una ley general sobre la materia y la regulación avanza por vía sectorial.
En la práctica, y por el llamado "efecto Bruselas", buena parte del contenido que llega al lector hispanohablante americano viene marcado igualmente: los proveedores globales aplican el marcado en todo el mundo antes que mantener dos versiones de sus modelos, como declara expresamente Anthropic respecto de Claude.
11. Debate y críticas[editar]
El marcado de contenido generado por IA reúne un conjunto de objeciones que no proceden todas del mismo sitio ni apuntan en la misma dirección.
"Da una falsa sensación de seguridad." Es la crítica más seria y recorre todo lo anterior. Un público que aprende que "el contenido de IA lleva marca de agua" concluirá con toda naturalidad que lo que no lleva marca es humano, que es precisamente la inferencia inválida. Un mecanismo de transparencia que produce una creencia falsa generalizada puede dejar a la gente peor de lo que estaba.
"Solo lo cumple quien no es el problema." Como se explicó en la sección 7.5, el marcado obligatorio recae sobre los proveedores comerciales, y el actor malicioso dispone de modelos abiertos. Se regula, por tanto, a quien menos daño hace.
"Los metadatos no llegan a ninguna parte." La destrucción sistemática de las Content Credentials en la subida a redes sociales convierte buena parte de la infraestructura de procedencia en una capacidad que existe sobre el papel y desaparece en el trayecto.
"La procedencia crea un riesgo para quien la necesita." Una revisión técnica de C2PA publicada en septiembre de 2025 por el World Privacy Forum, firmada por Kate Kaye y Pam Dixon, subraya que unos metadatos de procedencia detallados —dispositivo, momento, ubicación, identidad del firmante— pueden convertirse en un instrumento de vigilancia, y recoge la advertencia, presente en la propia documentación de la coalición, de que los certificados emitidos por gobiernos podrían servir para reprimir la expresión o perseguir a periodistas. La misma revisión señala la opacidad de los criterios con los que se decide qué entidades entran en las listas de confianza, y un efecto perverso: si la presencia de credenciales se toma como señal de fiabilidad, la ausencia empieza a leerse como sospecha, lo que penaliza a quien tiene buenas razones para no firmar su material.
"Se confunde origen con verdad." Es la advertencia que la propia documentación de C2PA formula: la información de procedencia por sí sola no dice si el contenido es verdadero, exacto o veraz. Una fotografía auténtica, firmada y sin manipular puede ilustrar una noticia falsa; un texto correctamente marcado como generado por IA puede ser exacto. El marcado responde a "de dónde salió esto", no a "es esto cierto". Confundir ambas preguntas es un error distinto del de confiar demasiado en la detección, y probablemente más extendido.
En sentido contrario, la defensa del marcado no depende de que resuelva ninguno de esos problemas. Sostiene algo más modesto: que un ecosistema donde el contenido sintético producido de buena fe lleva una señal comprobable es mejor que uno donde no la lleva; que la señal sirve, entre otras cosas, para que los propios modelos no se entrenen sin saberlo con la salida de otros modelos; y que un mecanismo imperfecto y honesto sobre sus límites es preferible a la alternativa realmente existente, que son los detectores estadísticos opacos que ya se están usando para acusar a estudiantes.
12. Véase también[editar]
- C2PA — la coalición y la norma de procedencia en que se apoya buena parte de lo descrito aquí.
- Claude — asistente de Anthropic, primer caso documentado de marcado de texto y metadatos desplegado a escala mundial.
- Inteligencia artificial — panorama general del campo.
- ChatGPT y OpenAI — el otro gran proveedor de modelos generativos y su posición sobre el marcado.
- Alucinación (inteligencia artificial) — el otro gran problema de fiabilidad de los modelos generativos, con el que este se confunde a menudo: una marca de agua indica origen, nunca exactitud.
- Unión Europea — marco institucional del Reglamento (UE) 2024/1689.