Am 3. November bekommen vier weitere Sprachmodelle eines großen amerikanischen KI-Labors ein Wasserzeichen. Bei zweien davon verschwindet es wieder, sobald man an den Reglern für die Wortauswahl dreht — ein veränderter Wert bei temperature, top_p oder top_k genügt, ein Handgriff in der Schnittstelle. Das Unternehmen erwähnt diesen Umstand in derselben E-Mail, mit der es den Rollout ankündigt, und hängt einen Rat an: Wer sich für die eigene Compliance auf die Markierung verlasse, solle die Standardwerte beibehalten.
Der Anlass ist eine Frist. Der europäische Rechtsrahmen für Künstliche Intelligenz verlangt ab Dezember eine Kennzeichnung maschinell erzeugter Texte. Modelle, die nach dem 2. August erschienen sind, tragen sie von Anfang an, ältere werden nun nachgerüstet. Technisch handelt es sich um eine Variante eines von Google veröffentlichten Verfahrens: Die Zufallsquelle, aus der das Modell bei jedem Wort zwischen mehreren gleichwertigen Möglichkeiten wählt, wird so verschoben, dass über einen längeren Text hinweg ein statistisch nachweisbares Muster entsteht. Es kommen keine Zeichen hinzu, nichts wird länger oder teurer, und abschalten lässt sich die Markierung nicht, weil sie auf der Ebene des Modells sitzt und nicht in der Anwendung. Zwei Absätze weiter in derselben Mitteilung steht die Bedingung, unter der sie eben doch nicht greift.
Das ist die eigentliche Beobachtung an dieser Meldung. Ein Nachweis, dessen Wirksamkeit davon abhängt, dass derjenige mitspielt, über den er Auskunft gibt, sortiert am Ende Absichten statt Texte. Wer nichts zu verbergen hat, lässt die Werte stehen und wird markiert. Wer etwas zu verbergen hat, verstellt sie und bleibt unmarkiert. Zurück bleibt eine Kennzeichnung, die zuverlässig genau dort sitzt, wo ohnehin niemand getäuscht hätte.
Man kann das für Nachlässigkeit halten, aber es folgt einer sauberen Logik. Vorgeschrieben ist, maschinell erzeugte Inhalte zu kennzeichnen. Nicht vorgeschrieben ist, die Kennzeichnung unumgehbar zu machen. Erfüllt wird, was geprüft wird, und geprüft wird das Vorhandensein eines Verfahrens. Die Lücke steht deshalb nicht versteckt in einer Fußnote, sondern offen in der Ankündigung — sie berührt die Erfüllung nicht.
Dass es auch anders geht, zeigt ein Blick auf die Nachbarn. Ein zweiter großer Anbieter hat im Oktober ein eigenes Wasserzeichen vorgestellt, das für Endkunden nur in Europa aktiviert wird, während Nutzer der Schnittstelle es weltweit selbst ein- und ausschalten können; voreingestellt ist es ausgeschaltet. Google hat sein Verfahren als quelloffene Software veröffentlicht. Drei Antworten auf dieselbe Vorschrift, und in jeder steckt eine andere Annahme darüber, wer hier eigentlich markiert werden soll.
Ob die Sache überhaupt folgenlos bleibt, ist umstritten. Ein Beobachter hat den naheliegenden Einwand formuliert: Keine zwei Synonyme bedeuten exakt dasselbe, und ein Text, dessen Wortwahl einem Schlüssel statt der Genauigkeit folgt, ist ein anderer Text. Anwaltskanzleien wiederum fragen sich, was passiert, wenn in einem Dokument mehrere Wasserzeichen übereinanderliegen oder ein Mandant die Nutzung solcher Werkzeuge untersagt hat. Und nebenbei fällt auf, dass ausgerechnet eines der beiden Modelle mit dem Schlupfloch als das beste Schreibmodell des Hauses gilt.
Irgendwo zwischen zwei Wörtern, die fast dasselbe heißen, steht nun die Auskunft darüber, woher ein Satz stammt. Lesbar ist sie nur mit dem passenden Schlüssel, und den hat, wer das Modell betreibt. Für alle anderen sieht ein markierter Text genauso aus wie ein unmarkierter.