Europa obliga desde este verano a marcar el texto generado por IA para que una máquina pueda reconocerlo. OpenAI sacó en octubre su marca de agua para texto, textGrain, y las primeras pruebas dicen lo que cualquiera que haya tocado un pipeline de texto se temía: la marca sobrevive al papel en blanco, pero no sobrevive a que alguien edite el resultado.
Qué ha pasado
El artículo 50 del Reglamento Europeo de IA empezó a aplicarse el 2 de agosto. Obliga a quien ofrece sistemas que generan audio, imagen, vídeo o texto sintético a marcar la salida en un formato que una máquina pueda leer, para que se pueda identificar como artificial. La exigencia de calidad la deja en una fórmula elástica: la solución técnica tiene que funcionar, entenderse entre sistemas distintos y resistir, siempre dentro de lo que sea posible técnicamente. Ni un umbral, ni un porcentaje, ni una prueba de referencia.
Sobre ese hueco aterriza textGrain. Funciona como el resto de marcas de agua para texto: el modelo va eligiendo el siguiente token —la siguiente palabra o fragmento de palabra— entre varios candidatos, y una clave secreta empuja esa elección de forma pseudoaleatoria. El resultado es un patrón estadístico que un detector con la misma clave puede buscar. Lo propio de textGrain, según Xiang Li, investigador posdoctoral en la Universidad de Pensilvania y coautor del informe técnico, es tratar la entropía —cuánta variedad se permite en la elección de palabras— como un presupuesto que el desarrollador fija de antemano.
Las cifras que publica IEEE Spectrum son estas:
- Sobre preguntas de la base ELI5, el detector encuentra la marca en torno al 80 % de las veces en textos de 200 tokens (unas 150 palabras), y en el 95 % con 400 tokens (unas 300 palabras).
- En textos de 400 tokens, sustituir solo el 10 % de las palabras por sinónimos baja la detección del 92 % al 66 %. Al 25 % de palabras cambiadas, se queda en el 17 %.
- La tasa de falsos positivos está fijada en el 1 %: uno de cada cien textos sin marcar se señala por error.
Y un detalle importante: la marca depende de los tokens anteriores, así que tocar una palabra no estropea un punto del patrón, estropea varios.
Por qué importa
Si tu producto genera texto con un modelo y lo sirve en Europa, la lectura práctica es incómoda: el escenario en el que la marca funciona es justo el que casi nunca se da en producción. La marca necesita textos largos y sin tocar. Los productos reales recortan, resumen, meten plantillas, pasan la salida por un segundo modelo que ajusta el tono, dejan que el usuario edite antes de publicar. Cada uno de esos pasos se come señal. No hace falta un ataque: una revisión humana normal de un correo de 300 palabras ya cambia más del 10 % de las palabras.
De ahí salen dos decisiones concretas para hoy.
La primera: no montes nada encima de un detector. Ni flujos internos del tipo «si el detector dice que es IA, se revisa», ni políticas de RR. HH., ni filtros de contenido. Con un 1 % de falsos positivos, en cuanto pasas diez mil textos por el detector tienes cien acusaciones falsas, y cada una te cuesta una conversación muy desagradable. Un positivo tampoco te dice cuánto puso el humano y cuánto el modelo.
La segunda: la procedencia se guarda en origen, no se adivina después. En los procesos que montamos con modelos, lo que queda registrado es qué prompt entró, qué modelo respondió, qué salió y quién lo aprobó. Eso aguanta un cambio de sinónimos y una traducción; el patrón estadístico, no. La marca de agua es un complemento para quien no tiene acceso al registro —una plataforma, un regulador—, no un sustituto de tu propia trazabilidad.
Qué no cambia
Tres contrapesos, porque esta noticia se puede contar peor de lo que es.
Uno: el Código de buenas prácticas europeo, que es voluntario, no pide marcar salidas por debajo de 200 tokens. Buena parte del agujero de los textos cortos ya está contemplado.
Dos: la ley añade esa coletilla de «hasta donde sea técnicamente viable». Que una marca se rompa al reescribir el texto no convierte a nadie automáticamente en infractor, porque nadie ha publicado todavía el listón. El 7 % de los ingresos anuales que circula como posible sanción es el techo teórico que señala un experto, Thomas Souverain, no un expediente abierto.
Tres: nadie de fuera ha evaluado todavía textGrain. OpenAI dice que iguala o mejora a SynthID Text en sus propias pruebas, y eso es exactamente lo que vale una prueba propia. Hay un grupo reducido de investigadores con acceso —John Thickstun en Cornell y el equipo de Dominik Macko en el KInIT de Bratislava, entre otros— que acaba de empezar.
Nuestra lectura
Creo que la marca de agua en texto va a envejecer mal como herramienta de cumplimiento, y bien como señal estadística a gran escala. No son lo mismo. Para una plataforma que procesa millones de mensajes, un 66 % de detección sigue siendo información útil: ves la tendencia. Para decidir sobre un texto concreto —este examen, este artículo, esta reclamación— es inservible, y me da miedo que se use igualmente, porque la tentación de tener un botón que diga «esto lo ha escrito una máquina» es enorme.
El problema de fondo no es de ingeniería, es de material. Una imagen tiene millones de píxeles donde esconder bits redundantes; un párrafo tiene trescientas decisiones de token y cada una cuesta dinero en forma de entropía. Ya lo vimos con los metadatos EXIF de las fotos: todo el mundo asumió que la procedencia viajaba con el archivo, hasta que resultó que cualquier reenvío la borraba. Aquí es peor, porque borrarla no requiere ni intención.
Lo que sí me parece mal es regular con un criterio que nadie puede medir. Un reglamento que pide robustez sin definir contra qué deja a todos en la misma posición: la empresa grande declara que cumple, el auditor no tiene regla con la que contrastarlo y el pequeño que integra la API no sabe si la responsabilidad es suya o del proveedor. Y coincido con la petición de abrir el método: una marca de agua cerrada que nadie de fuera puede intentar romper no es una garantía, es una afirmación. SynthID enseña sus métodos; textGrain, de momento, un informe técnico sin revisión por pares.
Qué haría yo si mañana me toca: asumir que el texto que sale de mi sistema no lleva marca útil en cuanto lo toca alguien, y resolverlo por el lado aburrido —registro en origen, credenciales de contenido en los metadatos cuando el formato lo permita, y una etiqueta visible para el usuario cuando el texto lo ha escrito un modelo—. Es menos elegante que la criptografía invisible y tiene la ventaja de que funciona.
Cualquier duda me dices y lo vemos. Un saludo, Vicente.