LLMウォーターマーキングとは何か：定義・目的・なぜ今なのか

LLMウォーターマーキングとは、大規模言語モデル（LLM）が生成したテキストに対して、人間には知覚されない形で識別情報を埋め込む技術を指す。生成されたコンテンツの出所を後から検証したり、AI生成であることを機械的に判定したりするために用いられる。

この技術は長らく研究段階の話題だったが、2026年に入って状況が一変した。EU AI Act第50条の透明性義務が2026年8月2日に発動し、Anthropicが同日以降のClaudeモデルにテキスト透かしの実装を開始したためである。研究テーマから、実際に稼働している仕組みへと移行した。本記事はその現在地を整理する。

従来のウォーターマーキングとの本質的な違い

画像や音声の分野では、ピクセル値や音波の微小な変化に識別信号を付加する手法が長く使われてきた。これらは媒体そのものに物理的な余剰空間があるため、信号を隠す場所を確保しやすい。

一方、テキストは離散的なトークンの列である。1文字変えるだけで意味が変わりうるため、画像のように「知覚できない微小ノイズ」を加えるという発想がそのまま使えない。そこで採られたのが、生成そのものに介入するというアプローチだ。LLMが次のトークンを選ぶ確率分布に手を加え、統計的な偏りを意図的に作り込む。この偏りは1トークンでは検出できないが、数百トークンが集まると偶然では説明できない水準になる。これが透かしとして機能する。

なぜ今この技術が求められるのか

背景には2つの流れがある。

1つは実害である。生成AIの普及により、フェイクニュース・学術不正・なりすましコンテンツの大量生成が現実の問題になった。テキストは複製・改変のコストがほぼゼロであり、生成元を追跡する技術的手段がなければ帰属証明も検証も成立しない。

もう1つが規制である。EU AI Act（規則(EU) 2024/1689）第50条は、合成コンテンツを生成するAIシステムの提供者に対し、出力が人工的に生成されたものであることを機械可読な形式でマーキングする義務を課している。この義務は2026年8月2日から適用が開始された。後述するが、この日付が現在の実装ラッシュの直接の引き金になっている。

2つのフェーズで成立する仕組み

技術としては大きく2段階に分かれる。第一が埋め込みフェーズで、テキスト生成時に特定の統計的パターンや語彙選択の偏りを作り込む。第二が検出フェーズで、対象テキストを統計的に解析し、埋め込まれたパターンの存在を判定する。

重要なのは、この2つが同じ鍵を共有していなければ成立しないという点だ。検出には埋め込み時に使った鍵が必要であり、そのため透かしの検証は原則としてモデル提供者、あるいは提供者が公開した検出手段に依存する。誰でも自由に検証できる仕組みではない。この制約が、後述する実務上の限界の多くを生んでいる。

主要な埋め込み手法の分類と仕組み

LLMウォーターマーキングの主要な埋め込み手法の分類

埋め込み手法は大きく3系統に分類できる。それぞれ生成プロセスへの介入方法が異なり、品質・検出感度・堅牢性のバランスに差が生じる。

①グリーンリスト型（トークン確率へのバイアス付与）

2023年にKirchenbauerらが発表した手法が代表例である（Kirchenbauer et al., 2023, arXiv:2301.10226）。直前のトークンをシードとして疑似乱数を生成し、語彙全体をグリーンリスト（使用を促進するトークン群）とレッドリスト（抑制するトークン群）に動的に分割する。推論時にグリーンリストのトークンのロジットに一定のバイアスδを加算することで、生成テキスト中のグリーントークン出現率が統計的に偏り、透かしとして機能する。

この手法には2種類の変形がある。ハードウォーターマークはレッドリストトークンを完全に禁止するため検出感度が高い反面、語彙制約により文章の自然さが損なわれる。ソフトウォーターマークはバイアス量δを小さく設定してレッドトークンも一定確率で許容するため品質劣化を抑えられるが、短い出力では検出精度が下がる。

この方式の弱点は、出力の確率分布そのものを歪めてしまう点にある。品質への影響がゼロにはならず、また分布の歪みを手がかりに透かし方式を推定される余地も残る。

②サンプリング操作型（歪みなし透かし）

①の弱点を解消するために登場したのが、確率分布を変えずに乱数の引き方だけを操作する方式である。ロジットに加算するのではなく、トークンをサンプリングする際の乱数源を鍵から導出した擬似乱数に差し替える。理論上、出力の分布は透かしなしの場合と同一に保たれるため「歪みなし（distortion-free）」と呼ばれる。

Google DeepMindのSynthID-Textはこの系統に属し、複数の候補トークンを鍵に基づくトーナメント形式で選抜するトーナメントサンプリングという手法を用いる。同技術はNature誌（2024年10月）で公表され、Gemini上の約2,000万件規模のライブ環境で品質への影響が評価された。現時点で最も実運用実績のある方式であり、後述するAnthropicの実装もこのアプローチを基礎としている。

③意味的埋め込み型（セマンティックウォーターマーク）

①②が表層的なトークン選択に介入するのに対し、この系統は文の意味表現レベルで識別情報を埋め込む。同義表現の選択、文構造の微細な変更、特定の意味的パターンの優先化などを通じて透かしを付与する。トークン列が変わっても意味が保たれる限り信号が残るため、言い換え攻撃に対して相対的に頑健とされる。

ただし意味的等価性の保証が技術的に難しく、計算コストも高い。実運用に至った例はまだ少なく、研究段階の手法が中心である。

もう一つの軸：どのレイヤーで埋め込むか

上の3分類とは独立に、実装レイヤーという軸がある。この2軸を混同すると議論が噛み合わなくなるため、分けて理解しておきたい。

実装レイヤー 仕組み 特徴
モデルレベル ファインチューニング段階で透かし生成能力を学習させる 追加学習コストが高い。自社モデルを持つ組織向け
推論レベル デコード時に確率分布またはサンプリングを操作する 既存モデルに手を加えず実装可能。現在の主流
後処理レベル 生成後のテキストに字句・統語的置換を施す 既存システムへの追加が容易だが、品質への影響が最も大きい

透かしとは別物：メタデータによる来歴管理（C2PA）

混同されやすいが、透かしと並ぶもう一つの手段がメタデータによる来歴（プロビナンス）記録である。C2PA（Coalition for Content Provenance and Authenticity）は、ファイルに暗号署名付きの生成履歴を付与する業界標準で、Adobe・Microsoft・Google・OpenAI・BBCなど6,000を超える組織が参加している。

両者の性質は正反対に近い。

観点 透かし（ウォーターマーク） メタデータ（C2PA）
信号の場所 コンテンツ本体に織り込まれる ファイルに付随する別領域
コピペ耐性 残る 消える
改変耐性 徐々に減衰する 再保存・形式変換・スクリーンショットで消滅
偽造耐性 弱い（後述） 強い（暗号署名により検証可能）
第三者による検証 鍵が必要。提供者に依存 公開鍵で誰でも検証可能

互いの弱点が補完関係にあるため、両方を組み合わせる多層構成が現在の業界コンセンサスとなっている。EUの実施指針もこの方向を採っている。

透かしはどこまで信頼できるか

透かしの検出精度とロバスト性の評価

埋め込まれた透かしの信頼性は、検出精度とロバスト性という二つの軸で評価される。両者は独立ではなく、一方を高めれば他方が犠牲になるトレードオフの関係にある。

評価軸 問うていること 代表的な指標
検出精度 無改変のテキストに対して、AI生成か否かを正しく判別できるか TPR（真陽性率）、FPR（偽陽性率）、AUROC
ロバスト性 生成後にテキストが改変されても、透かしシグナルが残存するか 攻撃後のTPR低下幅、検出に必要な観測トークン数

検出精度：統計的検定という枠組みと、その原理的な限界

透かしの検出は、グリーンリストトークンの出現頻度が偶然では説明できない水準に達しているかを仮説検定で判断する仕組みだ。帰無仮説は「このテキストは透かしなしで生成された」であり、p値が十分に小さければ（例：p < 0.01）透かしありと判定する。

重要なのは、この枠組みが確率論的な判断であり、確定的な真偽判定ではないという点である。検出器が出力するのは「AI生成である確率がこれだけ高い」という統計的な強さであって、事実の証明ではない。

この統計的検出力は、観測できるトークン数に直接依存する。Kirchenbauerら（2023, ICML）が示した基本方式では、200トークン程度あれば高いTPRが得られる一方、数十トークンの短文では検出力が著しく低下する。ツイート1本や見出し1行を判定できないのは、実装の未熟さではなく統計的検定という原理そのものに由来する制約だ。

ロバスト性とは何か

ロバスト性とは、生成後にテキストが加工・改変されたあとでも、透かしが検出可能な状態を保てるかを指す。実際の運用では、AIが出力した文章がそのまま提出されることはむしろ稀であり、人が手を入れたり、別のツールを通したりする。この現実の条件下で機能するかを問うのがロバスト性である。

これはさらに3つの下位軸に分解できる。

  • 除去耐性（robustness against removal）：改変によって透かしを消せてしまわないか。パラフレーズ、翻訳、部分置換などが該当する
  • 偽装耐性（robustness against spoofing／forgery）：第三者が透かしを偽造し、他人の文章に埋め込めてしまわないか
  • 品質との両立：透かしを強くするほど検出は容易になるが、トークン選択への干渉が増えて出力品質が劣化する。強度は無制限には上げられない

そしてロバスト性を読むうえで最も誤解されやすいのが、これが「消える／消えない」という二値ではないという点だ。実際に測られているのは、同じ確度で検出するために必要な観測トークン数がどれだけ増えるかという連続量である。攻撃によって透かしは希釈されるが、多くの場合ゼロにはならない。この視点を持たないと、後述する研究間の見かけ上の矛盾を読み違えることになる。

除去攻撃に対する耐性の実測

攻撃手法 透かしへの作用 報告されている傾向
パラフレーズ 別のLLMで言い換え、トークン列を置換する 短いテキストでは検出率が大幅に低下（Krishnaら, 2023）。一方で長文なら残存
多言語翻訳 日英往復などでトークン分布が全面的に変わる グリーンリストへの偏りが大きく希釈される
人間文との混在 透かし部分の比率が下がり、シグナルが薄まる 全文一括の検定では検出困難。区間単位の検出手法で一定程度は対応可能
ランダム置換 一定割合のトークンを機械的に差し替える 置換率に比例してシグナルが減衰する

「消える」のではなく「必要トークン数が増える」

ここで注意が必要なのは、パラフレーズ攻撃をめぐって一見矛盾する報告が存在することだ。

Krishnaら（2023, NeurIPS）はパラフレーズによって検出器の性能が大きく損なわれることを示した。一方、Kirchenbauerら（2023, arXiv:2306.04634／ICLR 2024）は人間による書き換えやLLMによる言い換えを経ても透かしは検出可能であり、消滅はしないと報告している。同論文によれば、人手による強い書き換えを施した場合でも、偽陽性率を10万分の1に設定した条件下で、平均およそ800トークンを観測すれば検出できるとされる。

この二つは矛盾していない。前者は「短いテキストでは検出できなくなる」ことを、後者は「長いテキストなら検出できる」ことを示している。パラフレーズは元の文章のn-gramを部分的に残すため、シグナルは希釈されても完全には消えない。ロバスト性の実態は、検出の閾値に到達するために必要なテキスト量が数百トークン単位で増えることにある。

実務上の含意は明快だ。数千字のレポートであれば改変後も判定できる可能性があるが、数百字の課題文や記事の一部といった短いテキストでは、改変が加わった時点で判定は現実的に困難になる。

偽装（スプーフィング）攻撃という別種のリスク

除去とは逆方向のリスクが偽装である。攻撃者が透かし方式を推定し、他人が書いた文章に特定の事業者の透かしを埋め込むことで、無実の書き手にAI生成の濡れ衣を着せたり、特定のAI事業者に不適切な出力の責任を負わせたりできる。

Jovanovićら（ICML 2024）は、既存の主要な透かし方式に対して、除去と偽装の双方が低コストで実行可能であることを実証している。同研究では50ドル未満のコストで、平均80％を超える成功率を達成したと報告されている。

偽装耐性は除去耐性ほど注目されてこなかったが、誤って「AI生成」と判定された側が被る不利益を考えれば、実運用上はむしろこちらのほうが深刻になり得る。

理論的な限界

個別方式の改良で解決するのかという問いに対しては、否定的な理論結果も出ている。Zhangら（ICML 2024, “Watermarks in the Sand”）は、一定の前提条件のもとで「強い透かし」は原理的に構築不可能であることを示した。十分な計算資源と品質保持型の改変手段を持つ攻撃者に対しては、透かしを消されずに残す保証が与えられないという主張だ。

つまり透かしは、技術の成熟によっていずれ完全になるものではなく、攻撃コストを引き上げる抑止手段として設計されていると理解するのが正確である。

偽陽性リスクとトレードオフ

FPR（偽陽性率）の制御も実用上の重大問題だ。人間が書いた文章を誤ってAI生成と判定した場合、学術不正の誤認定や著者の信用失墜につながりかねない。FPRを0.1％以下に抑えようとすると判定閾値が厳しくなり、今度はTPRが落ちる。この二律背反は方式の優劣ではなく、統計的検定に内在する構造である。

そして前節で見たロバスト性の問題が、このトレードオフをさらに悪化させる。改変されたテキストではシグナルが弱まるため、同じFPRを維持したままTPRを確保するには、より多くのトークンが必要になる。短文・多言語・改変後という三条件が重なった場合に信頼できる判定を保証できる手法は、現時点では確立されていない。

実務上の結論：判定の非対称性

ここまでの整理から導かれる実務的な原則は一つである。透かしの検出結果は、陽性と陰性で証拠としての重みがまったく異なる。

  • 「透かしあり」と出た場合：偽陽性率を十分低く設定していれば、AIが関与したことを示す比較的強い証拠になる。ただし偽装の可能性は残るため、単独の決定的根拠にはしない
  • 「透かしなし」と出た場合：ほとんど何も証明しない。透かし非対応モデルの出力、改変済みテキスト、短文のいずれでも同じ結果になるため、人間が書いた証明にはならない

もう一点、混同されがちな論点がある。透かしが示すのは「AIが処理した」ことであって、「AIが書いた」ことではない。自分で書いた文章をAIに校正・翻訳・要約させた場合にも透かしは付く。著者性の判定に直結する信号ではない。

したがって透かしは、AI生成か否かを断定するための判定装置ではなく、他の証拠と組み合わせて確度を上げるための一つの入力として扱うべきものである。学術不正の認定や採用選考など、個人に不利益を及ぼす判断の唯一の根拠に用いることは、現時点の技術水準では正当化できない。

2026年8月時点の各社実装状況

主要AI事業者のウォーターマーキング実装状況

ここ数か月で状況が大きく動いた。2026年8月時点の主要事業者の対応を整理する。

事業者 テキスト透かし 内容
Google 実装済み SynthID-TextをGeminiに適用。Nature誌で技術を公表し、Hugging Face Transformersでオープンソース化。Vertex AI経由でも提供
Anthropic 実装済み
（2026年8月2日〜）		 2026年8月2日以降にリリースされたClaudeモデルの生成テキストに透かしを埋め込み。SynthID-Textのアプローチを基礎とする。生成ファイル（.png/.jpg/.svg等）にはC2PA署名付きメタデータを付与
OpenAI 未展開 テキスト透かしの技術自体は保有するとされるが、一般提供には至っていない。C2PAには参加
オープンウェイト
モデル		 原理的に困難 重みが公開されている以上、利用者が透かし機能を無効化できる

Anthropicの実装が持つ意味

Anthropicの対応は、いくつかの点で従来と異なる。

  • 適用範囲が全世界：EU域内に限定せず、API・Claude Code・クラウドパートナー経由を含むすべての提供経路に適用される
  • モデルレベルでの適用：どの製品から使っても等しく透かしが付く。利用者側のオプトアウトは用意されていない
  • コピペで残る：テキスト透かしは文章そのものに織り込まれるため、コピー＆ペーストしても信号が残る
  • 対象は新モデルのみ：2026年8月2日より前にリリースされたモデルは当面対象外で、移行期間中の対応が進められている

一方で、実務上重要な留保もある。本記事執筆時点で、第三者が検証に使える検出APIおよび技術仕様は公開されていない。透かしが入っていることは公表されているが、それを外部から検証する手段はまだ存在しない。「透かしが入っている」という事実と「誰でも判定できる」という状態のあいだには、なお距離がある。

また同社自身が、透かしの有無は著作者性の証明にならず、重い編集・パラフレーズ・翻訳・短文・メタデータの剥離などによって検出が失敗しうると明示している。前節で整理した技術的限界を、提供者側も同様に認識している状態だと理解してよい。

規制の現在地：EU AI Act第50条はすでに発動している

この分野を語るうえで最大の基準点がEU AI Act第50条である。そして重要なのは、これが将来の話ではなくすでに適用が始まっているという点だ。

2026年8月2日に何が起きたか

第50条(2)は、合成音声・画像・動画・テキストを生成するAIシステムの提供者に対し、出力が人工的に生成・操作されたものであることを機械可読な形式でマーキングし、検出可能にすることを義務づけている。この義務の適用開始日が2026年8月2日である。

注意すべきは、2025年11月に提案された「デジタル・オムニバス」により、高リスクAIシステムに関する義務の期限が2027年12月・2028年8月へと延期された一方で、第50条の透明性義務はこの延期の対象から外されたことだ。「AI Actは延期された」という報道の見出しだけを見て、透明性義務も先送りになったと誤解している例が少なくない。

制裁も同時に発効している。第50条違反に対しては、1,500万ユーロまたは全世界年間売上高の3％のいずれか高い額を上限とする制裁金が科されうる。なお、2026年8月2日より前に市場に投入された生成AIシステムについては、2026年12月2日までの猶予が設けられている。

実施指針：透かし単独ではなく多層構成

第50条は義務を課すが、特定の技術方式は指定していない。その実装指針として策定されたのが、AI生成コンテンツの表示に関する行動規範（Code of Practice）である。同規範は多層アプローチを採用しており、構成は以下の通りである。

  • メタデータ埋め込み（C2PAなど）：標準的な手段。ただしスクリーンショットやプラットフォームへのアップロードで容易に剥離される
  • 知覚不能な透かし：メタデータの脆弱性を補う強化層。圧縮やトリミングなどの一般的な変換に耐えることが求められる
  • フィンガープリンティング・ログ記録：能動的なマーキングが機能しない場合の補完手段

加えて提供者には、利用者や第三者が生成の有無を確度スコア付きで検証できる無償の検出手段（APIまたは公開検出器）の提供が期待されている。前節で触れた「Anthropicの検出APIが未公開」という状態は、この要請との関係で今後の焦点になる。

Anthropicがこの行動規範に署名したことが、同社の実装の直接の背景である。

米国・日本の状況

米国には連邦レベルの統一規制はないが、州法が先行している。カリフォルニア州のSB 942は2026年1月1日に施行され、一定規模以上の生成AIプロバイダーに来歴情報の付与と無償の検出ツール提供を求めている。

日本では、2025年に成立したAI推進法および総務省・経済産業省の「AI事業者ガイドライン」が透明性確保を求めているが、いずれも技術的なマーキングを法的に義務づける段階には至っていない。ただし日本企業がEU域内にサービスを提供する場合はAI Actの適用対象となりうるため、国内法のみを基準に判断するのは危険である。

残る構造的な抜け穴

規制の実効性には、解消の見通しが立っていない問題がある。

最大のものがオープンウェイトモデルである。重みが公開された時点で、提供者による出力制御は不可能になる。API経由のクローズドモデルには生成レイヤーへの透かし実装を義務づけられるが、公開モデルを自前で動かす利用者に同じ義務を技術的に課す手段がない。悪用を意図する主体ほど、透かしのないモデルを選ぶ動機を持つ。規制に従う事業者の出力にだけ印が付き、従わない側の出力は無印のまま流通するという非対称が生じている。

プライバシーとの関係も論点として残る。透かし自体は鍵による検証で完結するため、必ずしも利用者情報の保管を伴わない。ただし、誰が生成したかを識別する情報を透かしに埋め込むマルチビット方式を採用した場合、そのデータはGDPRの個人データに該当しうる。来歴追跡能力が高い実装ほど、監視目的への転用リスクとプライバシー規制との緊張が高まるという逆説がある。

コンテンツ制作者・SEO担当者が取るべき対応

コンテンツ制作におけるウォーターマーキングへの実務対応

ここまでは技術と規制の話だが、実務への影響が最も大きいのはAIを使ってコンテンツを制作している側である。生成AIで記事やコピーを作っている場合、その出力にはすでに透かしが入っている可能性がある。

まず把握すべきこと

  • 使用しているモデルが透かし対象かを確認する：2026年8月2日以降にリリースされたClaudeモデル、およびGeminiは対象となる。APIから利用している場合も同様である
  • 透かしは「AIが関与した」を示すに過ぎない：AIに構成案だけ作らせた記事も、校正だけ依頼した記事も、同じように透かしが付きうる。全文をAIが書いた場合と区別されない
  • 現時点で第三者が判定する手段は限られている：検出APIが未公開である以上、外部から一般に検証できる状態にはなっていない

過度に恐れる必要はない理由

透かしが検索順位に直接影響するという事実は確認されていない。検索エンジンが評価しているのは制作手段ではなく、コンテンツの有用性と独自性である。AI利用そのものを理由にペナルティが課されるという公式見解は出ていない。

また透かしは検索エンジンが読み取る種類のシグナルではなく、鍵を持つ提供者側の検出器を通して初めて判定できるものだ。「AI記事だと検索エンジンにバレる」という文脈で心配する類の技術ではない。

それでも見直すべき3点

むしろ透かしの登場は、コンテンツ制作の体制を点検する機会と捉えたほうが建設的である。

  • AI利用の開示方針を決める：EU域内に読者・顧客がいる場合、AI生成コンテンツの表示義務が関わりうる。開示するか否かを場当たりではなくポリシーとして定めておく。BtoBや専門領域では、開示が信頼向上に働くケースもある
  • 一次情報の比率を上げる：AIが生成できない自社データ・取材・実績を核に据える。これは透かし対策としてではなく、AI検索時代に引用・推薦される条件として本質的に重要である
  • クライアント納品物の扱いを明確にする：制作を受託している場合、AI利用の範囲と開示方針を契約段階で合意しておく。後から問題化するリスクを避けられる

まとめ

  • LLMウォーターマーキングは、生成時のトークン選択に統計的な偏りを作り込み、後から検定によって検出する技術である
  • 手法はグリーンリスト型・サンプリング操作型（歪みなし）・意味的埋め込み型の3系統に分かれる。実運用の主流はサンプリング操作型
  • 信頼性は検出精度とロバスト性で評価する。ロバスト性は「消える／消えない」の二値ではなく、検出に必要なトークン数がどれだけ増えるかという連続量である
  • パラフレーズ後も透かしは完全には消えないが、短文では判定が困難になる。偽装攻撃は低コストで成立し、強い透かしの構築には理論的な不可能性も示されている
  • 陽性は比較的強い証拠、陰性はほぼ無意味という非対称性がある。また透かしが示すのは「AIが処理した」ことであり、「AIが書いた」ことではない
  • EU AI Act第50条の透明性義務は2026年8月2日に発動済み。高リスク義務は延期されたが、第50条は延期の対象外である
  • Googleに続き、Anthropicも2026年8月2日以降のClaudeモデルでテキスト透かしを全世界に適用した。ただし第三者向けの検出手段は未公開である
  • オープンウェイトモデルには同じ義務を課せず、規制に従う事業者の出力にだけ印が付くという非対称が構造的に残る

ウォーターマーキングは、AI生成か否かを断定する装置ではない。来歴を示す一つのシグナルであり、他の情報と組み合わせて初めて意味を持つ。過信も過度な警戒も、どちらも実態から離れている。

自社のコンテンツ制作でAIをどこまで使い、どう開示するか。AI検索時代に評価されるコンテンツをどう設計するか。方針の整理からご相談いただければ、貴社の状況に合わせてご提案します。

SEO・AIOの無料相談はこちら

【参考】Kirchenbauer et al., “A Watermark for Large Language Models”（ICML 2023, arXiv:2301.10226）／同 “On the Reliability of Watermarks for Large Language Models”（ICLR 2024, arXiv:2306.04634）／Krishna et al.（NeurIPS 2023, arXiv:2303.13408）／Jovanović et al., “Watermark Stealing in Large Language Models”（ICML 2024）／Zhang et al., “Watermarks in the Sand”（ICML 2024）／Dathathri et al., “Scalable watermarking for identifying large language model outputs”（Nature 634, 2024年10月）／欧州連合 AI Act（規則(EU) 2024/1689）第50条および AI生成コンテンツの表示に関する行動規範／Anthropic ヘルプセンター（2026年8月）。規制・各社実装は流動的なため、最新情報は各一次情報源をご確認ください。

Post Views: 14