Anthropic führt Wasserzeichen für KI-Texte ein. Die KI-Forscherin Doris Weßels erklärt, warum sie die Maßnahmen für untauglich hält, und warnt vor einem Klima des Misstrauens in der Wissenschaft.

Doris Weßels ist wissenschaftliche Leiterin des "Zukunftslabors Generative KI"  im KI-Anwendungszentrum Schleswig-Holstein und Mitgründerin des "Virtuellen Kompetenzzentrums: Künstliche Intelligenz in Bildung, Wissenschaft und Arbeitswelt" (VK:KIWA). Foto: Andreas Diekötter.  

Frau Weßels, das KI-Unternehmen Anthropic hat den Transparenzkodex der europäischen KI-Verordnung unterzeichnet und kündigt deshalb an, Texte seines Chatbots Claude künftig mit einem unsichtbaren Wasserzeichen zu versehen. Eine gute Nachricht?

Nein, ganz im Gegenteil! Die erste Frage, die wir uns stellen sollten: Wieso, weshalb, warum? Ein derartiges unsichtbares Wasserzeichen zielt offensichtlich darauf ab, den unerlaubten oder unerwünschten KI-Einsatz zu enttarnen, um ihn dann in irgendeiner Form zu sanktionieren. Aber ist es heutzutage noch vorstellbar, dass wir bei den üblichen Schreibpraktiken noch zwischen KI-generierten Texten versus "pur Mensch"-Texten unterscheiden können?

Etwa nicht?

Natürlich nicht. Das ist alte Welt. Sobald wir uns an einen Rechner setzen und den Schreibprozess starten, sind wir bereits von geballter KI-Technologie umgeben, schon beim Aufruf der Google-Suchmaschine oder bei Übersetzungen mit DeepL. Das Claude-Wasserzeichen-Feature lenkt die Diskussion leider wieder in Richtung "Hase-Igel-Rennen" der verbotenen KI-Nutzung und ihrer KI-gestützten Detektion – und damit in eine noch weiter wachsende Spirale von Misstrauen und Ängsten vor zufallsgesteuerter "Bestrafung" durch KI-Erkennungswerkzeuge.

"Statt unsere Zeit mit Diskussionen zu KI-Wasserzeichen zu verschwenden, 
sollten wir sie in lernförderliche Praktiken beim KI-Einsatz investieren."

Was wäre Ihrer Meinung nach sinnvoller?

Es sollte uns um eine zielorientierte Ko-Aktivität von Mensch und KI im Schreibprozess gehen, bei der wir als Menschen in Person die Verantwortung für das Endergebnis übernehmen. Gerade im Bildungsbereich zeigt sich, dass dieser Transformationsprozess leider seit der Veröffentlichung von ChatGPT bis heute ein Problem darstellt. Wir sollten daher unsere Zeit und Mühe nicht für Diskussionen zu KI-Markierungen wie Wasserzeichen verschwenden, sondern in gute Ideen für lernförderliche Praktiken beim KI-Einsatz investieren. Wenn man zynisch wäre, könnte man zumindest die positiven Aspekte der Wirtschaftsförderung durch die Einführung solcher Wasserzeichen anführen: Es entwickelt sich natürlich schlagartig der Markt für sogenannte Wasserzeichen-"Remover", siehe zum Beispiel diesen X-Post zur Ankündigung einer neuen Lösung. Es gibt also bereits Online-Tools, ein Klick reicht zur Bereinigung.

Wie funktioniert überhaupt ein solches Wasserzeichen?

Dazu muss man sich anschauen, wie KI-Sprachmodelle einen Text generieren. Es wird Wortsilbe (=Token) für Wortsilbe der Text sequenziell aufgebaut und zwar nach einem komplexen Algorithmus, der sehr vereinfacht ausgedrückt auf Wahrscheinlichkeiten (welche Silbe "passt" gut hinter die jeweils vorhergehende Silbe) und einer Prise Zufall basiert. Bei dem Claude-Wasserzeichen-Ansatz wird ein geheimer mathematischer Bauplan verwendet, der die Auswahl der Token gezielt so steuert, dass sie durch ein spezielles Prüfprogramm des Herstellers mathematisch nachgerechnet werden kann. Für uns Menschen wirkt der Text völlig normal, daher spricht man auch von einem unsichtbaren Wasserzeichen.

Der Code bleibt also auch dann erhalten, wenn ein KI-generierter Textabschnitt per Copy-Paste-Funktion von einem Dokument und von einer Anwendung in die andere übertragen wird. Folgt daraus, dass Studierende künftig automatisch erwischt werden, wenn sie sich ihre Hausarbeiten oder Referate mithilfe von Claude erstellen lassen?

Nur bis sie sich den richtigen Wasserzeichen-Remover besorgt haben. Aber im Ernst: Ich finde es schlimm, wenn wir jetzt Studierenden hinterherschnüffeln sollen. Wollen wir uns als Hochschullehrende wirklich zu Detektiven degradieren? Zumal das wie gesagt eine gefährliche Illusion ist. Wasserzeichen taugen nicht zur zuverlässigen und rechtlich belastbaren "Betrugserkennung", sie lassen sich kinderleicht aushebeln. Das mathematische Muster ist hochgradig fragil. Schon eine einfache Übersetzung, ein Umschreiben und/oder die Anreicherung mit eigenem Text können das Wasserzeichen zerstören. Hinzu kommt: Der Detektor selbst, mit dem das Wasserzeichen ausgelesen werden kann, ist bislang geheim. Anthropic hat bisher kein öffentliches Prüfwerkzeug freigegeben. Ohne diesen Herstellerschlüssel können wir ohnehin nichts prüfen und "enttarnen". Und schließlich sehe ich eine große Ungerechtigkeit.

Welche meinen Sie?

Wenn Studierende ihre eigenen Ideen erst am Ende von Claude korrigieren, übersetzen oder glätten lassen, trägt das Ergebnis ein Wasserzeichen, obwohl die geistige Eigenleistung pur menschlich war. Lassen sie sich jedoch zu Beginn des Schreibprozesses einen Entwurf von Claude generieren und überarbeiten ihn im zweiten Schritt, ist das Wasserzeichen mit hoher Wahrscheinlichkeit zerstört worden, obwohl die Eigenleistung geringer ist als im ersten Fall. Das ist doch widersinnig.

"Wir müssen aufhören, 
Lernende unter Generalverdacht zu stellen."

Wie sollten sich Hochschulen und Lehrende verhalten?

Ich plädiere seit Jahren für ein Verbot von KI-Detektoren. Wir müssen aufhören, uns auf unzuverlässige KI-Erkennungssoftware zu verlassen und Lernende, egal ob in der Schule oder Hochschule, unter Generalverdacht zu stellen. Wer Sanktionen auf unzuverlässige KI-Erkennungswerkzeuge und -Markierungen wie Wasserzeichen stützt, steht juristisch auf extrem dünnem Eis, siehe auch den Juristen Dirk Heckmann von der TU München mit seinem Post Anfang der Woche bei LinkedIn. Er hat betont, dass wir die KI-Nutzung als neuen Standard akzeptieren müssen.

Und dann?

Ich habe bereits 2023 mein 3-P-Modell als Basis für neue Prüfungsformate vorgestellt. Neben dem Produkt als Elaborat müssen wir die Präsentation als mündliches Prüfungsgespräch und die Kompetenz im Prozess auf dem Weg zum Produkt stärker gewichten. Aber diese Umstellung von Lehre und Lernen ist aufwändig und für viele Lehrende eine große Hürde.

Auch in der Forschung und der wissenschaftlichen Begutachtung werden KI-Sprachmodelle mehr und mehr für die Erstellung von Texten eingesetzt. Wird das wegen der Wasserzeichen in Zukunft wieder weniger – oder wird einfach offener mit der Nutzung umgegangen?

Der Einsatz von KI-Sprachmodellen in der Forschung und im Review-Prozess entwickelt sich immer mehr zum Standard, allerdings unter entsprechenden Auflagen, sehr gut erkennbar in den neuen DFG-Richtlinien. Im Übrigen basierte Wissenschaft schon immer darauf, auf dem vorhandenen Wissen aufzubauen und zu neuen Erkenntnisgewinnen zu gelangen. Der Unterschied zu früher ist die Geschwindigkeit, weil KI-Technologien nun plötzlich wie ein Booster zur Beschleunigung wirken. Wer sie nicht nutzt, gerät schnell ins Hintertreffen im Vergleich zur Konkurrenz. Das gilt auch in der Wissenschaft und Forschung. In Zukunft wird es weniger darum gehen, ob Forschende KI genutzt haben. Entscheidend wird sein, ob sie die Ergebnisse der KI kritisch prüfen, richtig einordnen und am Ende selbst die Verantwortung für die Qualität ihrer Arbeit übernehmen. Dafür brauchen sie mehr als nur technisches Wissen im Umgang mit KI-Systemen. Sie müssen auch beurteilen können, wann die KI verlässlich arbeitet, wann Zweifel angebracht sind und wie sie den Einsatz der KI gezielt steuern. Genau das meine ich mit "AI Leadership".

Die erste Reaktion vieler Nutzer wird sein, dass sie jetzt nach AI-Systemen suchen, die nicht die Wasserzeichen einbauen. Erwarten Sie jetzt einen Massenexodus von Studierenden und Forschenden von Claude zu solchen Produkten der Konkurrenz?

Schwer zu sagen, aber die Anthropic-Produkte werden nicht nur im Bildungsbereich wegen ihrer Leistungsstärke besonders geschätzt. Und das Wasserzeichen beeinträchtigt die Antwortqualität zumindest auf den ersten Blick nicht. Vor allem aber ist die Kennzeichnung kein Alleingang von Anthropic, sondern ein branchenweiter Trend. Im Rahmen der europäischen KI-Verordnung, des EU AI Acts, haben bis Ende Juli 2026 rund 190 Unternehmen den "Verhaltenskodex für die Transparenz von KI-generierten Inhalten" unterzeichnet, darunter auch OpenAI, Google, Meta, Microsoft und Mistral. Wasserzeichen sind übrigens nur eine mögliche Variante, um der Kennzeichnungspflicht zu genügen. Ein Ausweichen auf andere Anbieter würde daher nur den potenziellen Wechsel der Kennzeichnungsart bedeuten. OpenAI hat übrigens schon vor zwei Jahren seine ersten Erfahrungen mit Wasserzeichen gemacht – und in der Folge die Einführung erstmal auf die lange Bank geschoben.

Welche Erfahrungen waren das denn?

OpenAI teilte 2024 mit, ein Verfahren für Text-Watermarking entwickelt zu haben. Aber auch dort wurden explizit die Limitationen aufgezeigt. Die Technik ist nicht "wasserdicht" bei Übersetzungen, Umformulierungen oder Zeichenmanipulation und kann sogar zur Diskriminierung von bestimmten User-Gruppen führen: "Another important risk we are weighing is that our research suggests the text watermarking method has the potential to disproportionately impact some groups. For example, it could stigmatize use of AI as a useful writing tool for non-native English speakers."

"Es ist nicht so, dass die Diskussion über 
Wasserzeichen auf Europa beschränkt ist."

Was ist außerhalb der Europäischen Union, wo der EU AI Act nicht gilt? Werden dort KI-Sprachmodelle weiter ohne Wasserzeichen eingesetzt?

Es ist nicht so, dass die Diskussion über Wasserzeichen auf Europa beschränkt ist. Google beschreibt SynthID zum Beispiel als Kennzeichnungstechnik für Bild, Audio, Video und Text. Umgekehrt besteht auch innerhalb der EU kein Zwang, Wasserzeichen für die KI-Kennzeichnung einzusetzen. Der Begriff "Wasserzeichen" erscheint nämlich gar nicht an der betreffenden Stelle im EU AI Act. Im Artikel 50, Absatz 2 wird lediglich eine maschinenlesbare Kennzeichnung verlangt, durch die Ausgaben als künstlich erzeugt oder manipuliert erkennbar sind. Die Konkretisierung steht in den Erläuterungen der KI-Verordnung, in Erwägungsgrund 133. Der Gesetzgeber nennt Wasserzeichen aber auch dort nur als eine mögliche denkbare Umsetzungsvariante und verweist zugleich auf die hohen Qualitätsanforderungen. Qualitätsanforderungen, denen aus meiner Sicht das Wasserzeichen in Bezug auf Zuverlässigkeit und Belastbarkeit offensichtlich nicht gerecht wird.

Glauben Sie aber nicht, dass der Einsatz von Wasserzeichen dazu führt, dass Wissenschaftler aus Angst, an den Pranger gestellt zu werden, weniger KI nutzen? Und welche Folgen hätte das für ihre Produktivität?

Das Wasserzeichen selbst macht Forschung weder produktiver noch unproduktiver. Entscheidend ist vielmehr, wie kompetent Forschende mit KI umgehen. Dafür müssen wir deutlich stärker in kontinuierliche Weiterbildung investieren. Ebenso wichtig ist, dass Forschende transparent machen, wie und an welchen Stellen sie KI eingesetzt haben. Beides zusammen – Kompetenz und Transparenz – kann zu einem Qualitätsmerkmal werden, das wir auch als Wettbewerbsvorteil begreifen sollten. Der AI Act verfolgt im Übrigen ausdrücklich das Ziel, Forschung und wissenschaftliche Freiheit nicht durch übermäßige Vorgaben zu behindern. KI-Systeme und -modelle, die ausschließlich für wissenschaftliche Forschung und Entwicklung entwickelt und eingesetzt werden, fallen deshalb grundsätzlich nicht unter die Verordnung. Anders ist es, wenn solche Systeme auf den Markt gebracht oder allgemein genutzt werden. Ich verstehe übrigens nicht, dass wir in Europa die Kräfte bei der Entwicklung eigener KI-Modelle nicht stärker bündeln.

Das Interview führte Jan-Martin Wiarda.