2026年8月2日、EUのAI法の透明性条項が適用対象になりました。合成テキストを出すシステムの提供者に、機械可読な印を付けることを求める条文です。同じ月、生成AIの出力に透かしを入れると表明する事業者が出てきました。ただし方式は公開されていません。だから、いま出回っている「こういう仕組みらしい」という説明は、全部が推測です。
以下は、公開されている挙動から絞り込める範囲と、そこから小説を書く人にとって何が言えるかです。
最初に浮かぶ答えは、たぶん外れです
「平文のなかに、どうやって印を隠すのか」と聞かれると、答えは早く返ってきます。何かを入れるのだろう、と。U+200Bのゼロ幅スペース。表示されない異体字セレクタ。まっすぐな引用符が来るはずの場所にある曲がった引用符。写真の下位ビットにメッセージを埋めるのと同じ、ステガノグラフィです。
この系統の技術は実在して、道具立ても成熟しています。来歴の証明としては、ほぼ無価値です。バイナリエディタで開けば、印はバイト列にそのまま座っています。検索できます。置換で三秒で消えます。もしこれが実装されているなら、この記事は二百字で終わって、その大半は削除手順になります。
見つけやすいことより悪い性質もあります。壊れるときに、一度に壊れます。単語を一つ変える。一文打ち直す。書式を落とすフォームに貼る。それだけでパターンは散ります。下に弱い信号が残ることはありません。印は無傷か消えているかのどちらかで、ふつうの推敲が事故で消してしまいます。
大手のモデル提供者がこれを使っていると認めた例も、いまのところありません。記録に残っている唯一の騒ぎは2025年4月です。ある教育系の企業が、長めの応答に珍しい空白文字、主にU+202Fが規則的に現れると指摘しました。二日後、その企業は続報を出します。提供元から連絡があり、透かしではない、大規模な強化学習の癖だという説明だったそうです。その翌日、その文字は出なくなりました。
もう一つの方式は、何も入れません
統計的な透かしと呼ばれる方式があります。2023年のKirchenbauerらの論文「A Watermark for Large Language Models」が道を開きました。文字は一つも挿入されません。
語が選ばれる直前に起きていること
モデルが「この方法はとても＿＿」と書こうとする瞬間、手元には候補の短い一覧があります。ふだんは確率どおりに一つ引きます。透かしは、まず鍵を使って語彙全体を二つに割り、それから片方へ手を傾けます。
この一文だけを読んでも、何も見えません。四つの候補はどれも自然です。ところが文章全体で統計をとると、緑の側が偶然では説明できない頻度で現れます。それが署名です。
傾きが起きるのは、意味がほぼ等価な候補のあいだだけです。透かしのために「有効」を「青い」へ押すことはありません。
形はこうです。モデルが各語を選ぶ直前に、直前のn-gramをハッシュにかけます。そのハッシュが語彙全体を緑のリストと赤のリストに割ります。分け方は位置ごとに変わり、鍵がなければ予測できません。次にモデルは小さな下駄を受け取ります。緑の候補すべてのスコアに定数が足されるので、どれを選んでも同じくらい成立する場面では緑に傾きます。挿入はありません。あとから差し替えることもありません。検出にモデルは要りません。ある文章で緑に落ちた語がいくつあるかを数えて、偶然なら期待される割合と比べ、その差をz値にするだけです。
論文の設定では、緑の割合γは0.25、下駄δは2.0が標準です。検出のしきい値をz値4に置くと、人間の文章を機械生成と呼んでしまう確率は10万分の3になります。要旨は25トークンから検出できると主張しています。128トークンでは98.4%が捕まります。
では、表明された透かしがこれなのか。会社の外にいる人間には分かりません。公開されている挙動は四つあります。メタデータを使わない。コピーと貼り付けで残る。編集の程度によっては残る。文章が短すぎると信号が足りない。四つとも統計的な透かしと合致して、隠し文字とは一つも合いません。隠し文字は段階的に劣化しませんし、それより短いと静かに効かなくなる長さ、というものが存在しません。
妥当な推論だと言えます。それでも推論です。
書き手が実際に聞きたいこと
一部だけAIなら、分かるのか
分かります。しかも、どこかを指せます。同じ研究チームが2024年のICLRで出した続報に、WinMaxという移動窓の検定があります。長い文書のなかで、最も高いスコアを出す連続した区間を探すものです。
測られている数字はこうです。論文はこれをコピーと貼り付けによる攻撃と呼んでいて、まさにその場面です。AUCは0.5が当てずっぽう、1.0が完全な分離を意味します。
| AIの割合 | 文章の長さ | 検出のAUC |
|---|---|---|
| 25%（一か所にまとまっている） | 600トークン | 0.95以上 |
| 10%（三か所に分かれている） | 200トークン | 0.7未満 |
| 10%（三か所に分かれている） | 600トークン | 0.85未満 |
二万字の原稿に二千字のAI文が入っていれば10%です。いちばん検出しにくい帯に、きれいに収まります。ただし、その二千字を手つかずで置いた場合の話です。逆向きにも効きます。周りの文書が長いほど、検出は良くなります。
どれだけ書き直せば消えるのか
みんなが欲しがって、誰も作っていないものから始めます。**「何パーセント書き直すと検出率が何パーセントまで落ちる」という対応表は、存在しません。**発表されている研究が測っているのは書き直しの方法です。書き直しの割合は、そういう形で調べられたことがありません。そういう表がどこかにあったら、誰かが作った数字です。
あるのはこちらです。
| 何をしたか | 残る検出力 |
|---|---|
| 何もしない | AUC 0.999以上 |
| 別のAIに書き直させる | AUCが0.05から0.15下がる。200トークンでもまだ0.85以上 |
| 人間が書き直す（有償、壊せと指示） | 平均しておよそ800トークンあれば、依然として検出可能 |
| 別の言語に翻訳する | AUCが0.54から0.67まで落ちる |
三行目は設定を書いておく価値があります。大学院生が14人。現金の報酬つき。仕事は透かしを壊すことだと明示され、長さと意味は保つよう求められました。この研究のどの攻撃も、400から800トークンのどこかで、自信を持って検出できる状態のままでした。
四行目が、実証されているなかで最も効く除去です。署名がもとの言語の特定のトークン列に宿っているので、語彙を丸ごと入れ替えると捨てられます。
著者らの立て方のほうが「消せるかどうか」より優れています。その攻撃は、自信を持って検出するのに必要なトークン数を、どれだけ押し上げたか。そう問います。
文章の質は落ちるのか
設計が二つあって、費用がまったく違います。
Kirchenbauer系の方式は確率分布を直接いじるので、費用は測定できて、透かしの強さに比例します。論文のトレードオフ曲線では、下駄を強くしていくとパープレキシティ、大雑把に言えばモデルが自分の出力にどれだけ驚くかを表し、低いほど滑らかに読める指標ですが、それが4から5あたりから13前後まで上がります。
2024年10月にNatureで公開された別の方式は、分布に触りません。トーナメント方式のサンプリングと呼ばれます。モデルのもとの分布から候補を八つ引いて勝ち抜き戦にかけ、各回戦で鍵から導いたスコアが勝者を決めます。すべての対戦がちょうど二候補になる場合、出力分布は期待値としてもとの分布と等しくなることが証明されています。
品質の証拠としては、いまのところ最も硬いものです。実運用でおよそ二千万件の応答を対象に実験が行われ、高評価の率の差は0.01%、低評価の率の差は0.02%、どちらも統計的に有意ではありませんでした。
つまり「透かしは品質に影響しない」は、主張として広すぎます。正確な版は二つに分かれます。分布を保つ設計は、二千万件の実際のフィードバックを通しても差が測れません。バイアスを足す設計には測れる費用があって、強さとともに増えます。
語順はどちらでも動きません。この種の方式が変えるのは、どの語が選ばれるかです。文の文法も段落の順序も、そのままです。
書き手が覚えておく一行
技術の細部より、小説を書く人にとって重要な一文があります。
透かしが検出されたことが意味するのは、その内容がモデルで処理された可能性があるということだけです。提供者自身がそう書いています。そのモデルが元の書き手だとは限らない、と。校正は処理に入ります。要約も入ります。自分の文に軽く磨きをかける一往復も入ります。
逆も成り立ちます。同じ説明に、印を落とすものが並んでいます。大幅な編集。言い換え。翻訳。形式の変換。スクリーンショットでも落ちます。
二つを並べると、結論は少し刺さります。
全部を自分で書いて、最後に一度だけ推敲にかけた原稿には、印が残っているかもしれません。
最初から最後までAIに出させて、そのあと翻訳を一回通した原稿には、何も残っていないかもしれません。
**透かしが示すのは処理であって、著者ではありません。**公の議論は、ほぼ毎回この二つを同じ主張として扱います。
印を背負うのは誰か
素直に読むと、これは一日に百冊出す工場のためのものに見えます。出力に署名を入れれば、洪水が追跡できるようになる、と。向きが逆です。
信号の強さは、完成したファイルにモデルの出力がどれだけ手つかずで残っているかで決まります。生成したまま使う、あるいは軽く磨いただけなら、そのままの強さで読み取れます。強く書き直す、言語をまたぐ。そうすると薄れてゼロに近づきます。だからこれは費用の問題になります。抜けるのに安く済むのは誰か。
工業的な工程は、ほぼゼロで済みます。すでに自動化された流れに翻訳を一段足すのは呼び出しが一回増えるだけで、結果は上の表のとおり、AUCは0.54から0.67で、当てずっぽうに近い値です。もっと安い手もあります。この系統の透かしは、生成の瞬間にモデルを動かしている側が付けます。だから自前のハードウェアで公開重みのモデルを回している業者には、そもそも最初から付きません。Natureの論文はこれを自分の限界として書き、そこから出る結論も書いています。この種の方式が意味を持つのは、業界が広く採用した場合だけだ、と。
一方に、モデルをコーチとして使い、一稿を一度だけ通す書き手がいます。その人は、隠してもいなかった印を落とすために翻訳の工程を足したりしません。印はそのまま残ります。
というわけで、はっきり残るのは、AIを少量、公然と使っている人のところです。回避を決めた側にかかる費用は、切り捨てればゼロです。技術が無意味だという話ではありません。軽い気持ちの生成を自作として通すことは、やりにくくなります。世に出ている濫用の大半は軽い気持ちのほうです。ただし、機械が書いた本が市場から消えることは期待しないでください。
AIを使って書いているなら
- 校正や推敲に使った。ファイルには印が残っているかもしれません。印があっても、モデルがあなたの著者になるわけではありません。
- 下書きさせてから自分の言葉で書き直した。もとの文をどれだけ残したかに比例して、信号は薄くなります。
- 数話だけ通した。混合比が低い場合は検出がいちばん難しい帯です。それでも、どの区間かは指せます。
- 完成後に別の市場向けに翻訳した。ほとんど残りません。
どれも、書き方を変えろとは言っていません。求められているのは一つだけです。自分の原稿が何を通ってきたかを、自分が知っていること。問われたときに詳しく答えられる書き手は、答えられない書き手とはまったく違う場所に立っています。
そして、いまはまだ誰も検証できません
表明の時点で、公開された検出ツールも、仕様書も、APIもありません。利用者と第三者が検出できるようにする方向で作業中、という説明があるだけです。
出版社は確認できません。賞の審査員も確認できません。あなたが自分の原稿を確認することもできません。
Natureで公開された方式がいちばん開いています。アルゴリズムは2024年10月にオープンソース化され、主要な実装ライブラリに取り込まれました。ただし、それで検証できるのは同じ鍵で自分が生成したテキストだけです。実際のサービス出力を確認するには提供元の鍵が要り、検出の窓口は記者と研究者向けの順番待ちのままです。
本当の露出は、別の場所にあります
いまのところ小説家に本を一冊まるごと失わせた、唯一の事例を見てください。
『Shy Girl』は刷り上がったあとに、出版社自身が裁断しました。読者が章ごとに声の揺れることに気づき、AI判定サービスが全文を通したところ、AI生成の確率78%という結果が返りました。大手紙が報じたあと、版元は米国版を中止し、英国の在庫を破棄しました。2026年3月のことです。分かっている限り、大手出版社がAIの疑いで刊行済みの本を回収した最初の例です。
著者はAIの使用を否定しています。フリーの編集者が自分の知らないところで文章を足したと述べ、係争中のためこれ以上は話せないとしています。
この一連に、透かしはどこにも出てきません。英連邦の短編賞をめぐる騒ぎにも出てきません。ある作家が過去15年の地域受賞作を判定サービスに通したところ、四作が「おそらく大半がAI」と返ってきました。賞の取り消しはありませんでした。主催側は、信頼できる道具ができるまでは信頼の原則で運用するしかない、と述べています。
この件で状況を一番よく表しているのは、細部のほうです。疑いをかけられた文芸誌の編集部は、疑わしい文章をチャットボットに貼り付けて、これは機械が書いたと思うかと尋ねました。
つまり実際に使われているのは事後の判定ツールで、これは統計的な透かしとは別の生き物です。透かしは、生成の瞬間に提供者が介入することを必要とします。だからこそ誤検出率を数学的に抑えられます。事後の判定ツールには、生成側の証拠が一切ありません。パープレキシティや文長のばらつきといった表面の特徴から推測し、誤検出率は経験的にしか測れず、その経験的な数字が良くありません。
ある提供元は2023年7月、精度が低いとして自社の判定ツールを取り下げました。AI文の26%しか当てられず、人間の文の9%をAIと判定していたためです。同じ年にPatterns誌へ載った研究は、もっと悪い数字を出しています。英語を母語としない人が書いたTOEFLのエッセイの半分以上がAI生成と分類され、アメリカの中学二年生のエッセイにはほとんど誤検出が出ませんでした。研究者が母語でない人のエッセイの語彙を高度なものへ書き換えると、誤検出率は下がりました。この判定器が測っていたのは言語の複雑さです。ある大学は2023年8月、まさにこのリスクを理由に、剽窃検査ツールのAI判定機能を停止しました。
日本語で書く人にとって、ここは他人事ではありません。いま挙げた研究はどれも英語の文章で測られたもので、同じ道具が日本語に対してどう振る舞うかは、そもそも測られていません。誤検出率の分からない判定器があなたを告発でき、あなたには潔白を証明する手段がありません。透かしの話は、その隣ではほとんど目立ちません。
同じ言い回しを意図的に繰り返す人へ
統計的な透かしは、誤検出率を数学的に抑えられます。それでも論文は、具体的な穴を一つ自分で書いています。
各位置の緑リストは、直前のn-gramで決まります。同じn-gramを繰り返せば、そのたびに緑として数えられます。論文自身の例は固有名詞です。それがたまたま緑に落ちていると、その語に強く寄りかかった人間の文章が機械生成と出ることがあります。
小説を書く人にとって、これは抽象論ではありません。リフレインのある散文。詩。人物に固定の枕詞を付ける作品。意図的な反復でリズムを作る文体。全部この失敗の形の中にあります。
法律が実際に求めていること
たいていの人が思っているほど多くありません。
EUのAI法第50条2項は、義務をモデルの提供者側に置いています。合成テキストを生成するAIシステムの提供者は、その出力が機械可読な形で印付けされるようにしなければならない、という内容です。この条項は2026年8月2日から適用対象になりました。
利用者側にかかる開示義務は第50条4項にあり、範囲は狭くなっています。公共の関心事について公衆に情報を提供する目的で公開されるテキストが対象で、そこにも、人間のレビューを経て編集責任を負う者がいる場合の適用除外が付いています。
小説はここから外れます。条文のとおりに読むかぎり、EUは小説家にAIの使用開示を求めていません。
実際にあなたを縛るのは、出版社、賞、投稿サイトの規約のほうです。法律ではなく私的な契約で、いま書かれている最中で、たいていは法律より厳しく着地します。
当てにできること
確実に言えることは、そう多くありません。
文字のあいだに隠れた記号は座っていません。取り除く手順も存在しません。何も足されていないファイルには、剥がすものがないからです。印は統計的な署名としてふるまいます。自信を持つにはある程度の長さが要ります。翻訳でほぼ消えます。大幅な書き直しは、ゼロにしないまま弱めます。示せるのは、ある一節が何らかのモデルを通ったこと。誰が書いたかは、その手の届く範囲の外です。そして表明された版は、いまのところ誰にも確認できません。
役に立つ結論は、もっと小さいものです。あなたの仕事のやり方は、ここでほとんど何も変わりません。変わるのは一点だけです。自分から言うほうが、あとから言われるより安全になった、ということ。
九段理江は2024年に『東京都同情塔』で芥川賞を受賞し、受賞会見で、全体の5%ほどは生成AIが出した文章をそのまま使っていると自分から明かしました。選考は作品をほぼ完璧と評しました。受賞はそのままです。
『Shy Girl』は裁断されました。この二つの結末を分けたのは、AIがどれだけ入っていたかより、誰が先にそれを言ったかのほうかもしれません。
だから、自分から言うための材料が要ります。Slimaの執筆の歩みは、AIの書き込み、貼り付けと読み込み、AIへの相談を、起きたその場で別々に数えます。過程の記録であり、申告の根拠です。ある一文を誰が書いたかを判定するものではありませんし、判定できるとも言いません。ここは利害関係者の宣伝として読んでください。仕組みは執筆の歩みの記事にまとめてあります。
この記事の技術的な内容は2026年8月11日時点のものです。仕様書も検出ツールもまだ存在せず、状況は数週間で変わる可能性があります。参照した研究：Kirchenbauer et al. (arXiv:2301.10226, arXiv:2306.04634), Dathathri et al. (Nature 634, 2024), He et al. (ACL 2024), Liang et al. (Patterns, 2023).