Anthropic confirmó que sus modelos Claude dejan una marca de agua en todo el texto que generan. Lo que no dijo es con qué tecnología.
El hueco se llenó solo. Pregunta en cualquier foro y la respuesta que aparece es siempre parecida: algo metido dentro del texto. Un espacio de ancho cero entre dos palabras, un carácter Unicode que el navegador no dibuja, alguna forma de esteganografía. Tinta invisible entre las letras.
Esas técnicas existen y están maduras. También son casi inútiles. Abres el archivo en un editor hexadecimal y ahí están, a la vista, y un buscar y reemplazar las limpia en tres segundos. Si la marca de agua de Claude fuera eso, este artículo se acababa en doscientas palabras y el consejo práctico cabía en una línea.
Por cómo la describe el anuncio oficial, va por otro camino. Uno que no inserta ningún carácter en ninguna parte y en el que, por lo mismo, no queda nada que borrar.
Qué dijo Anthropic exactamente
Anthropic confirmó en su centro de ayuda, el 11 de agosto de 2026, que los modelos Claude lanzados después del 2 de agosto de 2026 incrustan una marca de agua legible por máquina en el texto que producen. Los modelos anteriores la van recibiendo de forma escalonada. El alcance cubre la API, Claude, Claude Code, Claude Cowork y el uso a través de los socios en la nube. Aplica en todo el mundo, no solo en la Unión Europea.
La descripción oficial dice: «When a supported Claude model generates text, it weaves an imperceptible watermark directly into the text itself». El anuncio insiste en que no son metadatos y en que la marca viaja pegada al copiar y pegar.
Y ahí termina.
Anthropic no ha dicho de qué tecnología se trata. Ningún algoritmo, ningún paper, ninguna especificación. Solo la promesa de publicar documentación técnica más adelante. El periodista de The Register lo escribió sin rodeos: «it’s unclear how Anthropic will make the watermarks hard to remove».
Esto importa, porque en foros y hilos ya circula la versión de que Anthropic usa tal o cual esquema conocido. Por ahora todo eso es especulación.
Dónde se acaba esa vía, y por dónde va la otra
Vale la pena rematar el asunto de los caracteres invisibles, porque tienen un problema todavía peor que ser fáciles de encontrar. La información va codificada en una secuencia exacta: un espacio de ancho cero U+200B aquí, un selector de variación Unicode allá, cada pieza en su posición. Cambia una palabra, recorta un párrafo, pega el texto en un campo que normaliza el formato, y la secuencia se desarma. La marca no queda debilitada, queda ilegible.
Es decir que solo sirve para rastrear un archivo que nadie tocó. Justo lo contrario de lo que le pasa a un manuscrito, que vive editándose.
Y ningún proveedor de LLM ha reconocido oficialmente usar esa técnica. El único episodio documentado ocurrió en abril de 2025, cuando la empresa de tecnología educativa Rumi detectó que las respuestas largas de GPT-o3 y o4-mini traían caracteres Unicode particulares (sobre todo el espacio estrecho sin salto U+202F) y consideró que el patrón era sistemático. Dos días después Rumi actualizó su publicación: OpenAI los había contactado para aclarar que aquello no era ninguna marca de agua, solo «a quirk of large-scale reinforcement learning». Un día más y el fenómeno desapareció.
La otra vía se llama marca de agua estadística. El paper de Kirchenbauer y su equipo, A Watermark for Large Language Models, de 2023, abrió esa línea de investigación. No inserta ningún carácter.
Lo que pasa justo antes de elegir una palabra
Cuando el modelo va a escribir «este método es muy __», tiene delante una lista corta de candidatas y normalmente saca una según su probabilidad. La marca de agua primero usa una clave para partir el vocabulario en dos mitades, y después inclina el muestreo hacia una de ellas.
Lees esa frase y no ves nada. Las cuatro palabras ya eran correctas. Pero si haces la estadística sobre un texto entero, la mitad verde aparece mucho más de lo que permite el azar. Esa es la firma.
El empujón solo ocurre entre candidatas que significan casi lo mismo. No va a convertir «eficaz» en «azul».
Los parámetros del paper son estos: la proporción del vocabulario que se asigna a la lista verde, γ, suele fijarse en 0.25, y el empuje, δ, en 2.0. Para detectar se calcula una puntuación z. Con el umbral en z > 4, la probabilidad de confundir un texto humano con uno generado es de 3 en 100 000. El resumen del paper afirma que con apenas 25 tokens ya puede haber señal suficiente, y que con 128 tokens se detecta el 98.4% de las generaciones.
¿Es esto lo que usa Anthropic? No se sabe. Los cuatro rasgos de comportamiento que describe el anuncio (no son metadatos, viajan con el copiar y pegar, pueden sobrevivir a cierta edición, y con textos muy cortos la señal es insuficiente) coinciden con el comportamiento de una marca estadística y chocan con el de los caracteres invisibles. Un carácter invisible no «sobrevive a la edición», y tampoco tiene el problema de que el texto sea demasiado corto.
Es una inferencia a partir del comportamiento. No es una confirmación.
Lo que de verdad quiere preguntar quien escribe
Si solo una parte es de IA, ¿se detecta?
Sí, y la técnica hasta puede señalar qué parte. El estudio que el equipo de Kirchenbauer presentó en ICLR 2024 incluye una prueba de ventana deslizante llamada WinMax, pensada justamente para encontrar, dentro de un documento largo, el tramo continuo con la puntuación z más alta.
Los números medidos (el paper llama a este escenario ataque de copy-paste, que es exactamente esta situación):
| Proporción insertada | Longitud del texto | AUC de detección |
|---|---|---|
| 25% (un bloque continuo) | 600 tokens | mayor que 0.95 |
| 10% (repartido en tres tramos) | 200 tokens | menor que 0.7 |
| 10% (repartido en tres tramos) | 600 tokens | menor que 0.85 |
Dos mil palabras de IA dentro de una novela de veinte mil son un 10%, justo la franja más desfavorable para la detección. La condición es que esas dos mil palabras queden intactas. Y cuanto más largo el texto, más poder tiene el detector.
¿Cuánto hay que reescribir para borrarla?
Conviene arrancar por lo que todo el mundo busca y la investigación nunca produjo: una tabla del tipo «reescribiste un X%, la detección baja a un Y%» no existe. Los estudios disponibles miden técnicas de reescritura. El porcentaje nunca fue la variable. Si te encontraste una tabla así en internet, lo más probable es que esté inventada.
Lo que sí hay es esto:
| Qué se hizo | Cuánta detección queda |
|---|---|
| Nada | AUC mayor que 0.999 |
| Reescribir con otra IA | el AUC cae entre 0.05 y 0.15, y con 200 tokens sigue por encima de 0.85 |
| Reescritura humana (con premio en dinero y el objetivo explícito de borrarla) | en promedio, todavía se detecta después de 800 tokens |
| Traducir a otro idioma | el AUC cae a entre 0.54 y 0.67 |
La tercera fila merece que se explique el diseño del experimento: catorce estudiantes de posgrado, con incentivo económico, a quienes se les dijo con toda claridad que su tarea era eliminar la marca de agua manteniendo la longitud y el sentido del texto. Todos los ataques seguían siendo detectables con certeza después de 400 a 800 tokens.
La cuarta fila es el método de borrado más eficaz que se conoce hoy. La traducción deja la señal casi al nivel del azar, porque la firma vive en secuencias concretas de tokens del idioma original: cambias de vocabulario y ya no queda nada.
Los propios autores proponen un marco más preciso que la pregunta de si se puede borrar o no. Lo que hay que medir es cuántos tokens más necesita la detección para volverse concluyente después del ataque.
¿Afecta la calidad del texto?
Aquí hay que separar los casos, porque el costo de cada diseño es muy distinto.
El método de Kirchenbauer interviene directamente en la distribución de probabilidad, y eso tiene un costo medible que crece con la intensidad de la marca: la curva de compromiso del paper muestra que, con el empuje muy alto, la perplejidad empeora de alrededor de 4 o 5 hasta unos 13.
SynthID-Text, de Google DeepMind (publicado en Nature en octubre de 2024), va por otro camino. No toca la distribución. Toma ocho candidatos de la distribución original del modelo y los elimina de a pares, con una puntuación derivada de una clave secreta que decide quién avanza. Un torneo, literalmente. Cuando cada llave tiene solo dos competidores, el paper demuestra que la distribución de salida es, en esperanza, igual a la original.
La evidencia de calidad es su punto más duro: Google hizo un experimento en vivo sobre unos 20 millones de respuestas reales de Gemini. La tasa de «me gusta» difirió en 0.01% y la de «no me gusta» en 0.02%. Estadísticamente, nada.
Por eso afirmar que «la marca de agua no afecta la calidad» es afirmar demasiado. La versión precisa tiene dos mitades. En los diseños que no distorsionan la distribución, 20 millones de reacciones reales no alcanzaron a medir una diferencia. En los que introducen un sesgo, el costo se mide y crece con la intensidad.
El orden del texto, en cambio, queda fuera de todo esto. La marca solo cambia qué palabra se elige. La estructura sintáctica y la secuencia de los párrafos siguen igual.
Lo más contraintuitivo
Hay una frase en la documentación de Anthropic que a quien escribe le conviene recordar por encima de cualquiera de los detalles técnicos anteriores.
Detectar la marca solo significa que el contenido puede haber pasado por Claude. El texto oficial lo dice con todas las letras: Claude puede no ser el autor original. Corregir cuenta como procesar. Resumir cuenta. Pulir el estilo también.
Y funciona igual en el sentido inverso. La misma página enumera los casos en que la marca puede desaparecer: edición intensa, reescritura, traducción, conversión de formato, incluso una captura de pantalla.
Juntando las dos frases, la conclusión incomoda:
Alguien que escribió cada palabra de su manuscrito y lo pasó una sola vez por una IA para pulirlo puede terminar con la marca puesta.
Un manuscrito generado entero por IA y traducido después puede no dar señal ninguna.
La marca prueba que un texto fue procesado. Sobre quién lo escribió no dice absolutamente nada. En la conversación pública esas dos cosas se tratan casi siempre como si fueran la misma.
A quién le termina cayendo el peso
Junta las tablas de más arriba y aparece un efecto que casi nadie espera. Esta tecnología no aprieta donde se supone que tenía que apretar. Aprieta al revés.
La suposición corriente es que una marca de agua existe para frenar a las líneas de producción de contenido, esas que sacan cien libros al día y los suben a las tiendas antes de la cena. Ahí está el problema visible, y ahí uno espera que actúe el remedio.
Mira, sin embargo, de qué depende la fuerza de la señal. Depende de cuánta salida del modelo quedó sin tocar. El texto que se usa tal cual, o apenas pulido, conserva la firma casi entera. El muy reescrito la conserva a medias. El traducido no conserva casi nada.
Ahora pregúntate a quién le sale más barato terminar en esa última categoría. A una operación de escala industrial, sin ninguna duda: le agrega una pasada de traducción a un proceso que ya corre automatizado de punta a punta, y el AUC se le cae a entre 0.54 y 0.67, casi el nivel de tirar una moneda. Tiene además una salida todavía más simple. Esta clase de marca la pone quien corre el modelo, en el momento mismo de generar el texto, así que basta con no pasar por un servicio que coopere: si alguien ejecuta pesos abiertos en su propia máquina, no hay nadie en la cadena encargado de marcar nada. El propio paper de SynthID en Nature anota esa limitación y advierte que el mecanismo solo tiene sentido si lo adopta la industria entera.
Del otro lado está quien escribe su novela a mano y usa la IA para pulir lo que ya escribió: un párrafo trabado, una frase que no cierra, la puntuación de un capítulo entero. Esa persona no va a traducir su manuscrito a otro idioma y traerlo de vuelta para borrar una firma que ni siquiera sabía que estaba ahí. La marca se le queda puesta.
Ese es el desequilibrio, y es incómodo. La tecnología deja el rastro más nítido justo en quien la usa con honestidad, y le cuesta muy poco a quien decide esquivarla.
Con eso no queda inútil. Encarece el «genero algo en diez minutos y lo hago pasar por original», y la mayor parte del abuso que circula hoy es exactamente de ese nivel: gente apurada, no operaciones sofisticadas. Lo que se va a caer es la otra expectativa, la de que esto limpie la marea de contenido de IA que tiene inundado el mercado. Para eso no alcanza.
Y en tu caso, ¿qué significa?
Depende de por dónde pasó el texto. El mapa sirve para saber dónde estás parado, no para elegir casilla:
- Usaste la IA solo para corregir o pulir. Puede quedar marcado, y conviene repetirlo: la marca no convierte a la IA en autora de tu libro.
- Le dejaste el borrador a la IA y después lo reescribiste. La señal se diluye, y cuánto se diluye depende de cuántas frases tuyas quedaron en pie.
- Solo algunos capítulos salieron de la IA. Es la proporción más difícil de detectar, aunque la técnica sí puede ubicar el tramo.
- El texto terminado se tradujo antes de publicarse. Prácticamente no queda señal.
Nada de esto te pide cambiar tu forma de escribir. Lo único que tiene que cambiar es que sepas por dónde pasó tu manuscrito, porque el día que alguien te lo pregunte, la distancia entre poder explicarlo y no poder es enorme.
Pero nada de esto se puede verificar todavía
Al 11 de agosto de 2026, Anthropic no tiene herramienta pública de detección, ni especificación técnica publicada, ni API. Lo único que dice es que está trabajando para que usuarios y terceros puedan detectar.
Dicho de otro modo: hoy una editorial no puede verificarlo, un premio literario tampoco, y tú menos.
SynthID, de Google, es lo más abierto que existe ahora mismo. El algoritmo se liberó como código abierto en octubre de 2024 y quedó integrado en Hugging Face Transformers, pero eso solo sirve para verificar texto que generaste tú con la misma clave. Verificar una salida de Gemini sigue requiriendo la clave de Google, y su portal de detección funciona hasta hoy con lista de espera, dirigida a periodistas e investigadores.
Entonces el riesgo real no está en la marca de agua
Para ver dónde está el peligro de verdad conviene mirar el caso más grave que hay hasta ahora, uno en el que la marca de agua no juega ningún papel.
Una editorial destruyó el inventario de una novela que ya estaba impresa. La razón cabe en un número: 78%.
El libro se llama Shy Girl. Varios lectores notaron que el tono no se sostenía de un capítulo a otro. La empresa de detección Pangram pasó el texto completo por su sistema y devolvió un 78% de probabilidad de contenido generado por IA. Cuando The New York Times recogió el caso, Hachette canceló la edición estadounidense y destruyó el stock de la edición británica. Marzo de 2026.
La autora, Mia Ballard, niega haber usado IA. Dice que ese material lo agregó una editora externa sin que ella lo supiera, y que el litigio en curso le impide hablar más. Es el primer caso conocido de una editorial grande retirando un libro ya publicado por una acusación de uso de IA.
A Shy Girl no la delató ninguna marca de agua. A la polémica del Commonwealth Short Story Prize tampoco. La escritora Vauhini Vara, para The Atlantic, pasó por Pangram todos los relatos ganadores regionales de los últimos quince años del premio: cuatro quedaron marcados como probablemente escritos en su mayor parte por IA. No se revocó ningún premio. La Commonwealth Foundation respondió que, mientras no existan herramientas confiables, solo puede «operate on the principle of trust».
Un detalle del episodio retrata bien el momento. La forma en que Granta manejó la acusación fue pegarle el texto sospechoso a Claude, el chatbot, y preguntarle si le parecía escrito por IA.
Lo que de verdad está en movimiento son los detectores post hoc, que pertenecen a otra categoría por completo. Una marca estadística exige que el proveedor intervenga en el momento de generar, y su tasa de falsos positivos se controla con matemática. El detector post hoc no tiene ninguna evidencia del lado de la generación, así que adivina a partir de rasgos de superficie como la perplejidad o la variación en el largo de las oraciones. Su tasa de falsos positivos solo se puede medir por experiencia, y la experiencia se ve fea.
OpenAI retiró su propio AI Text Classifier en julio de 2023 por falta de precisión: identificaba correctamente apenas el 26% de los textos de IA y al mismo tiempo marcaba como IA un 9% de los textos humanos.
El estudio publicado ese mismo año en Patterns pega bastante más cerca de casa. Más de la mitad de los ensayos TOEFL escritos por personas no nativas de inglés fueron clasificados como generados por IA por los detectores basados en GPT. Los ensayos de estudiantes estadounidenses de octavo grado, en el mismo experimento, casi no produjeron falsos positivos. Los investigadores hicieron después una demostración incómoda: bastaba con «mejorar» el vocabulario de los ensayos de los no nativos para que la tasa de error bajara. Lo que el detector estaba midiendo era complejidad lingüística.
Si escribes en español y traduces para colocar tu obra afuera, o si escribes directo en inglés porque ahí está el mercado grande, esa es la parte del problema que te toca de cerca. Lo que el sistema lee como sospechoso (léxico más plano, sintaxis más previsible) describe casi punto por punto la prosa de cualquiera que trabaja en su segunda lengua, sin que haya IA de por medio. La Universidad Vanderbilt desactivó la detección de IA de Turnitin en agosto de 2023, y el motivo fue exactamente ese riesgo de falsos positivos.
La situación real de quien escribe hoy es esta: un detector con una tasa de falsos positivos desconocida puede acusarte, y tú no tienes cómo probar tu inocencia. La marca de agua ni siquiera entra en el ranking de preocupaciones.
Una advertencia para quien repite mucho
La tasa de falsos positivos de una marca estadística se controla con matemática, cierto, pero el propio paper anota un agujero muy concreto.
La lista verde la determina el n-grama anterior, así que un mismo n-grama que aparece una y otra vez se cuenta una y otra vez como verde. El ejemplo del paper es una combinación como «Barack Obama»: si cae del lado verde, un texto humano que repita mucho esa expresión puede terminar clasificado como generado por máquina.
Para quien escribe ficción esto tiene poco de abstracto. La prosa con estribillo, la poesía, las obras que repiten un apelativo fijo, los estilos que construyen ritmo repitiendo la misma estructura de oración: todo eso cae dentro del rango.
Lo que te exige la regulación
Menos de lo que la mayoría supone.
El artículo 50(2) del Reglamento de IA de la Unión Europea le pone la obligación encima a los proveedores de modelos. Quien escribe no aparece ahí: son los proveedores de sistemas de IA que generan texto sintético los que deben asegurar que la salida quede marcada de forma legible por máquina. Ese artículo empezó a aplicarse el 2 de agosto de 2026, y es la base legal del movimiento de Anthropic.
La obligación de divulgación que recae sobre el usuario está en el apartado 4, y su alcance es estrecho: cubre solo el texto publicado con el fin de informar al público sobre asuntos de interés público, y aun ahí hay exención si hubo revisión humana y alguien asume la responsabilidad editorial.
La novela queda fuera. Con el texto vigente, la Unión Europea no le exige a un novelista que declare su uso de IA.
Lo que sí te va a atar son las reglas de cada editorial, cada premio y cada plataforma. Nada de eso es ley: son contratos privados. Y esas reglas se están escribiendo justo ahora, casi siempre más duras que la ley.
Lo que este artículo te puede dejar
En el plano técnico hay poco que se pueda afirmar con certeza. Lo que sí:
La marca de agua no es un símbolo invisible metido entre las letras, así que no la puedes borrar, porque no hay nada que borrar. Se parece más a una firma estadística: necesita cierta longitud para dar confianza, la traducción casi la limpia, y una reescritura fuerte la debilita sin llevarla a cero. Lo que demuestra es que ese texto pasó por algún modelo. Y la versión de Anthropic, hoy, no la puede verificar nadie.
Hay una idea más útil que todo lo anterior: lo que esto cambia de verdad es poco, y se reduce a que declarar por adelantado sale más barato que ser acusado después.
Rie Qudan ganó el premio Akutagawa 2024 con Tokyo-to Dojo-to (La torre de la simpatía de Tokio) y, en su discurso de aceptación, contó por iniciativa propia que alrededor del 5% del texto venía directamente de ChatGPT. El jurado había calificado la novela de casi perfecta. El premio no se revocó.
Shy Girl sí se retiró. La diferencia entre los dos casos quizá no esté en cuánta IA se usó, sino en quién habló primero.
Todos los detalles técnicos de este artículo se verificaron el 11 de agosto de 2026. El anuncio de Anthropic se publicó ese mismo día, la documentación técnica y las herramientas de detección todavía no existen, y los detalles pueden cambiar en cuestión de semanas. Los estudios citados son Kirchenbauer et al. (arXiv:2301.10226, arXiv:2306.04634), Dathathri et al. (Nature 634, 2024), He et al. (ACL 2024) y Liang et al. (Patterns, 2023).