Водяні знаки в AI-тексті: що вони доводять, а що ні

Andrew Maryasov, AI-консультант, засновник Auspex і Grow2.ai. Цей розбір — для того, у кого в KPI редакції або в брифі підряднику стоїть слово «AI-детектор», і для юриста, якому підписувати сторінку комплаєнсу. У розмові про «AI написав цей текст» злипаються три різні механізми: водяний знак провайдера — статистичний слід у виборі токенів, який доводить походження з конкретної моделі тому, хто має детектор; AI-детектор — стороння вгадувалка, яка не доводить нічого і систематично помиляється на текстах неносіїв мови; C2PA-provenance — криптопідпис видавця, який доводить, хто підписав файл, але навмисно не судить про правдивість вмісту. Обов’язок, що з’явився в ЄС 2 серпня 2026 року, знімається людським переглядом і названим відповідальним, а не вичищенням AI-слідів.

TL;DR (за 30 секунд)

• Водяний знак доводить походження, а не авторство. SynthID Text вбудовує сигнал у вибір токенів; детекція ймовірнісна і має три стани, включно з «невизначено». Публічного маршруту перевірки для тексту немає.
• Переклад різко знижує впевненість детектора — це записано в документації Google. Прямо стосується команд, які пишуть українською й перекладають англійською.
• AI-детектори закривали навіть їхні автори. OpenAI зупинив власний класифікатор із 26% правильних розпізнавань AI-тексту і 9% хибних спрацювань на людському.
• Детектори упереджені до неносіїв мови: понад половину текстів non-native авторів помічено як AI, тоді як на носіях точність була близька до ідеальної.
• C2PA прямо відмовляється судити про правду. Він підтверджує, що дані не підроблені й підписант відомий, — не те, що написане відповідає дійсності.
• Стаття 50(4) AI Act має власний виняток: обов’язок розкривати не діє, якщо контент пройшов людський перегляд і хтось несе редакційну відповідальність. Водночас сама 50(4) стосується тексту з питань суспільного інтересу — продуктовий блог чи розсилка під неї автоматично не підпадають.

Відповідь провайдера змінилася за два тижні

5 серпня 2026 року розробник із ЄС спитав на офіційному форумі Google максимально конкретне: чи має водяний знак текст, який повертає Gemini API. Питання прикладне — йому треба було закрити вимогу статті 50(2) AI Act у власній грі. Того ж дня представник Google відповів, що не має і нативний вотермаркінг тексту не планується.

19 серпня той самий представник повернувся в тред із «важливим виправленням»: після додаткової перевірки з командою виявилося, що текст із Gemini API все-таки позначається SynthID. Наступне питання розробника — чи застосовувався знак завжди, чи його ввели в якийсь момент, і як це перевірити — лишилося без відповіді. Документація про це мовчить досі.

Ставити на відповідь із форуму сторінку комплаєнсу не можна ні в першій редакції, ні в другій. Якщо офіційна підтримка двічі за два тижні дає протилежні відповіді про власний продукт, водяний знак — це властивість, про яку ви дізнаєтесь із чуток. Процесів на такому не будують.

Три механізми, які не взаємозамінні

Механізм	Хто ставить	Що технічно доводить	Чого не доводить
Водяний знак (SynthID Text)	Провайдер моделі під час генерації	Що текст походить із конкретної моделі — для того, хто має детектор	Що ви зможете це перевірити
AI-детектор (сторонній)	Ніхто, це аналіз пост-фактум	Нічого. Це статистична здогадка про стиль	Ані походження, ані авторства
C2PA / Content Credentials	Видавець, підписуючи файл	Хто підписав і що дані не змінені після підпису	Що вміст правдивий

Різниця не термінологічна. Ці три речі відповідають на три різні питання, і бізнес зазвичай хоче відповідь на четверте: «чи можу я за це відповідати». На нього не відповідає жоден із трьох.

Водяний знак: що він може і чого не може

SynthID Text — не мітка, дописана до тексту, і не запис у метаданих. Під час генерації він зміщує ймовірності токенів за псевдовипадковою функцією: модель обирає трохи інші слова, ніж обрала б без нього, так, щоб цей зсув потім можна було статистично виявити, помітно не зіпсувавши текст. Метод описаний у статті в Nature (Dathathri, See та ін., 23 жовтня 2024), реалізацію Google відкрив.

Обмеження, які видно з документації і майже не потрапляють у перекази, важать більше за сам метод.

Знак гірше лягає саме на фактичний текст. Документація формулює це прямо: на фактичних відповідях менше простору змінити формулювання, не зіпсувавши точність. Чим ближче текст до сухої довідки, тим слабший сигнал — а це рівно той тип контенту, який бізнес найчастіше й генерує.

Переклад збиває детектор. Впевненість сильно знижується, якщо текст ретельно переписали або переклали іншою мовою; стійкість зберігається лише до обрізання шматків, заміни кількох слів і легкого перефразування. Для типового циклу «чернетка українською, потім англомовна версія на LinkedIn» це означає, що після перекладу покладатися на знак уже не можна.

Хто може перевірити — вирішує провайдер. Режимів три: повністю приватний детектор, напівприватний через API і публічний. Для тексту публічного маршруту сьогодні немає. Тобто навіть якщо вотермарк у ваш текст вбудували, ви не той, хто може це показати.

Водяний знак — інструмент провайдера для провайдера. Він працює в спорі, де однією зі сторін є власник детектора, і не дає вам як видавцю жодного способу щось довести про власний контент.

AI-детектори: єдиний із трьох, який не доводить нічого

Детектор часто сприймають як полегшену версію водяного знака. Спільного немає нічого: водяний знак шукає сигнал, який туди навмисне поклали, детектор дивиться на готовий текст і вгадує за стилістикою.

OpenAI закрив власний. AI Text Classifier запустили в січні 2023-го й зупинили 20 липня того ж року з формулюванням про низьку точність. Числа компанія опублікувала сама: на англомовному «challenge set» класифікатор правильно розпізнавав 26% AI-текстів і помилково позначав людський текст як AI у 9% випадків. Дев’ять відсотків хибних спрацювань — це кожен одинадцятий текст, написаний людиною.

Друга частина проблеми б’є точно по українських командах. Дослідження Стенфордського університету, опубліковане в журналі Patterns у 2023 році, прогнало через сім поширених детекторів тексти носіїв і неносіїв англійської. Понад половину зразків, написаних неносіями, детектори віднесли до AI-згенерованих, тоді як на текстах носіїв точність була близька до ідеальної. Механізм автори теж показали: детектори реагують на бідніший словниковий запас і простіший синтаксис, і збагачення лексики знижувало частку хибних спрацювань. Там же — про надійність з іншого боку: прості інструкції моделі дозволяли ці детектори обійти.

Інструмент систематично штрафує тих, хто пише другою мовою, і пропускає тих, хто свідомо його обходить.

І дослідження, і закриття класифікатора датуються 2023 роком; сьогоднішні вендори заявляють вищу точність. Але це заяви самих продавців: рецензованої перевірки, яка спростувала б ефект на неносіях, станом на вересень 2026 року знайти не вдалося. Поки її немає, вердикт детектора лишається здогадкою, і будувати на ньому кадрові чи редакційні рішення не можна. Це той самий клас помилки, що і в метриці ухиляння для моніторингу агентів: число існує, виглядає переконливо, але відповідає не на те питання, яке ви ставите.

C2PA: доводить підписанта, а не правду

C2PA (Coalition for Content Provenance and Authenticity) заходить з іншого боку. Замість шукати сліди в тексті він додає до файлу підписаний маніфест — Content Credential: хто створив, чим редагували, що з чого зроблено. Специфікація не обмежена картинками: серед форматів, які маніфест може декларувати, є й text/plain.

У власному пояснювальному документі консорціуму сказано прямо: Content Credentials не дають оціночних суджень про те, чи є набір даних про походження «правдивим», — вони лише підтверджують, що ця інформація коректно сформована, не підроблена й підписана кимось із відомого списку довіри.

Підроблений звіт із бездоганним C2PA-маніфестом лишається підробленим звітом — просто тепер точно відомо, хто його підписав. Що не робить механізм марним: C2PA переводить розмову з «чи це писав AI» на «хто за це відповідає», а на друге питання відповідь можна перевірити.

Чого насправді вимагає закон

Стаття 50 AI Act застосовується з 2 серпня 2026 року.

Стаття 50(2) — обов’язок постачальника. Постачальники систем, що генерують синтетичний звук, зображення, відео або текст, мають забезпечити, щоб вихідні дані були позначені в машиночитаному форматі й розпізнавалися як згенеровані AI. Далі — застереження, у якому й живе слабкість текстового вотермаркінгу: рішення мають бути ефективними й надійними «наскільки це технічно можливо», з урахуванням обмежень різних типів контенту, вартості впровадження та стану технології. Там же є виняток, про який зазвичай забувають: обов’язок не діє там, де AI виконує допоміжну функцію для стандартного редагування й не змінює істотно зміст. Перевірка орфографії чи перефразування абзацу машиночитаного маркування не потребують.

Стаття 50(4) — обов’язок того, хто публікує. Ті, хто застосовує AI для створення чи зміни тексту, опублікованого з метою інформування суспільства з питань суспільного інтересу, мають розкрити, що текст згенеровано або змінено штучно. І одразу виняток: обов’язок не діє, якщо контент пройшов людський перегляд або редакційний контроль і якщо фізична чи юридична особа несе редакційну відповідальність за публікацію. Регламент прямо називає умову, за якої маркувати не треба, і це не вичищення AI-стилістики, не «гуманізація» тексту й не проходження детектора.

Про перехідний період: Регламент (ЄС) 2026/1744 (Digital Omnibus on AI) опубліковано в Офіційному журналі 24 липня 2026 року, чинний з 27 липня 2026 року; він додав до AI Act статтю 111(4) — системи, випущені на ринок до 2 серпня 2026 року, мають привести себе у відповідність до статті 50(2) до 2 грудня 2026 року. На системи, випущені після 2 серпня, ця відстрочка не поширюється, а сама стаття 50(2) не відкладалась.

Що з цього робити

Перестаньте вимірювати те, що не вимірюється. Прогін власного тексту через детектор перед публікацією не дає інформації. Він дає число, яке для вашого копірайтера-неносія буде гіршим, ніж для носія, незалежно від того, писав там AI чи ні. Якщо цей показник стоїть у KPI, його треба звідти прибрати; і з тієї ж причини не варто обіцяти клієнту «текст без AI-слідів».

Зафіксуйте, хто читав. Виняток у 50(4) звучить як бюрократія, але описує звичайну редакційну роботу, яку більшість команд уже виконують і просто не оформили: ім’я редактора біля матеріалу, дата останньої перевірки, збережені посилання на джерела під кожною цифрою. Різниця між «у нас редактор дивиться» і «у нас є редакційна відповідальність» — це десять хвилин на те, щоб записати, хто саме дивився.

Ведіть журнал джерел, а не журнал промптів. Коли претензія прилетить, питання буде «звідки взято цю цифру». Походження моделі ви не доведете, джерело — доведете, якщо посилання збережене.

Статус вотермаркінгу питайте у постачальника письмово. З документації або від акаунт-менеджера, з датою. Історія з Gemini API показує, чого варта усна відповідь.

Логіка та сама, що й у безпеці системного промпта: захищає механізм, який ви можете перевірити й показати, а не той, який виглядає як захист. І так само, як із llms.txt, навколо технічної мітки виросло більше очікувань, ніж вона здатна витримати.

Питання «чи писав це AI» поступово втрачає сенс: надійної відповіді на нього немає і не буде. Питання «хто перевірив факти й хто відповідає, якщо вони хибні» відповідь має завжди.

FAQ

Чи можна перевірити, чи є в тексті водяний знак SynthID?

Публічного інструменту для тексту немає. Google описує три моделі доступу до детектора — повністю приватну, напівприватну через API і публічну, — і вибір робить провайдер. Опубліковані маршрути перевірки SynthID приймають зображення, відео й аудіо.

Чи зобов’язаний бізнес маркувати AI-контент в ЄС?

Стаття 50 AI Act діє з 2 серпня 2026 року. Постачальники генеративних систем мають робити вихід машиночитано позначеним (50(2)). Ті, хто публікує AI-текст із питань суспільного інтересу, мають це розкривати (50(4)) — але не тоді, коли контент пройшов людський перегляд чи редакційний контроль і є особа з редакційною відповідальністю за публікацію.

Чи достатньо приписки «створено за допомогою AI»?

Для випадку зі статті 50(4) регламент дає альтернативу: людський перегляд плюс названий відповідальний за публікацію знімають обов’язок розкриття. Для постачальників систем із 50(2) видима приписка не замінює машиночитану позначку — це різні вимоги до різних учасників.

Що робити, якщо клієнт вимагає гарантію, що текст не пройде AI-детектор?

Таку гарантію не можна дати без обману: результат детектора нестабільний і залежить від мови автора більше, ніж від способу створення тексту. Замість неї варто пропонувати те, що перевіряється, — звірені джерела, назване авторство й редакційну відповідальність за факти.

---

Опублікував Andrew Maryasov, AI-консультант, засновник Auspex і Grow2.ai; впровадження ведуть Auspex (CRM) і Grow2.ai (AI-агенти).

Джерела:

• Google AI for Developers — SynthID: Tools for watermarking and detecting LLM-generated Text (документація, оновлена 09.04.2025)
• Dathathri S., See A., Ghaisas S. та ін. «Scalable watermarking for identifying large language model outputs», Nature, 23.10.2024
• Тред про вотермаркінг тексту в Gemini API, офіційний форум Google AI Developers, 5–19.08.2026
• OpenAI — New AI classifier for indicating AI-written text (січень 2023, з приміткою про закриття в липні 2023)
• Liang W., Yuksekgonul M., Mao Y., Wu E., Zou J. «GPT detectors are biased against non-native English writers», Patterns 4(7):100779, Stanford University, 2023
• C2PA — Content Credentials Explainer 2.3, §2 (звідки цитата про відсутність оціночних суджень) і технічна специфікація 2.3 (де text/plain серед форматів маніфеста)
• Регламент (ЄС) 2024/1689 (AI Act), стаття 50; настанови Європейської Комісії щодо зобов’язань прозорості
• Регламент (ЄС) 2026/1744, опублікований в OJ 24.07.2026, чинний з 27.07.2026 (Digital Omnibus on AI) — стаття 111(4) AI Act і перехідний період до 02.12.2026 для систем, випущених на ринок до 02.08.2026