Oh-My-NavLogg inn
Nyheter
Praksis

24. august 2026

Claude vannmerker teksten sin, men den sporer ikke deg

Anthropic har begynt å merke tekst generert av Claude med et vannmerke. Flere har spurt om dette betyr at Nav-utviklere kan spores gjennom koden og teksten de får fra Claude i Copilot.

Kortversjonen: nei. Vannmerket inneholder ingen bruker-, konto- eller sesjons-ID. Det legger ingenting til i teksten, koster ingenting ekstra, treffer kode nesten ikke, og du trenger ikke gjøre noe. Under følger mekanismen, de uavhengige kildene som underbygger det, og det vi ikke kan verifisere.

Hva vannmerket faktisk er

Vannmerket er statistisk og settes mens modellen genererer tekst. Når Claude skal velge neste token, finnes det ofte flere valg som er omtrent like gode. Vannmerket vrir dette valget systematisk, slik at teksten får et mønster noen med nøkkelen kan kjenne igjen statistisk.

Anthropic er eksplisitte på hva dette ikke innebærer: «Nothing is added to the text and there are no hidden characters.» Det er ingen usynlige Unicode-tegn, ingen metadata i teksten, ingen skjult streng. Merkingen «doesn't require extra tokens, and will not be more expensive» (Anthropic).

Anthropic beskriver løsningen som «a version of the SynthID-Text approach». Den metoden er publisert og fagfellevurdert: Dathathri m.fl., «Scalable watermarking for identifying large language model outputs», Nature 634, 818–823 (2024). Hvem som helst kan altså lese og etterprøve grunnkonstruksjonen. Du er ikke henvist til å ta leverandøren på ordet.

Gjelder det oss i Copilot?

Anthropic sier merkingen skjer «at the model level» og dekker Claude Platform (API), Claude, Claude Code, Claude Cowork og Claude Tag, og i tillegg «when supported Claude models are accessed through AWS, Google Cloud, or Microsoft Foundry».

GitHub oppgir på sin side at Copilots modeller «are hosted by Amazon Web Services, Anthropic PBC, and Google Cloud Platform» (GitHub Docs). Det er nøyaktig de kanalene Anthropic lister opp.

Dette er en slutning, ikke et sitat. Anthropic nevner ikke GitHub Copilot noe sted. Men når merkingen skjer på modellnivå og dekker akkurat de vertskapene Copilot bruker, er det rimelig å konkludere med at Claude-output gjennom Copilot CLI, IDE-ene og OpenCodes github-copilot-provider blir merket på lik linje.

Tidspunkt, også en slutning: modeller lansert i EU 2. august 2026 eller senere merkes fra lansering. Eldre modeller etterfylles «over the coming months». Alle Claude-modellene som i dag ligger i Copilot, ble lansert før den datoen. Sannsynligvis er merkingen derfor ikke aktiv ennå. Det finnes ingen statusside per modell, så regn med at det slås på uten at noen sier fra.

Hva med koden min?

Lite skjer. Vannmerket krever at det finnes flere likeverdige valg å vri mellom. Anthropic sier merkingen ikke brukes «where there isn't a choice, and something would be factually wrong or a piece of code would break». Kode har «generally less watermarking», og effekten på faktisk kode beskrives som «negligible» (Anthropic).

Der det får noe utslag, er i prosa: kommentarer, docstrings, README-er, ADR-er, commit-meldinger og PR-beskrivelser. Kompilert kode, tester og API-er er upåvirket.

Sporer det meg? Mekanismen og de uavhengige kildene

Dette er spørsmålet artikkelen finnes for.

Slik ser seed-funksjonen ut

Den fagfellevurderte Nature-artikkelen beskriver hvordan tilfeldigheten ved hvert token bestemmes: seed er «a hash of the most recent H tokens (we use H = 4) along with the watermarking key».

Funksjonen tar altså nøyaktig to argumenter: de foregående tokenene i teksten, og en fast hemmelig nøkkel. Ingen bruker-ID, ingen konto, ingen sesjon og ingen samtale-ID inngår. Vannmerket har ingen payload og ingen dekoder. Deteksjon gir én tallverdi som måles mot en terskel. Utfallet er «sannsynligvis maskingenerert» eller «sannsynligvis ikke». Det er alt konstruksjonen kan produsere.

Anthropic formulerer konsekvensen selv: vannmerket «carries no identifying information and can't be traced to a specific person, organization, or chat». Du trenger ikke stole på den setningen. Den følger av algoritmen som er beskrevet i Nature.

Det kan etterprøves uavhengig

Referanseimplementasjonen er åpen kildekode (google-deepmind/synthid-text) og er tatt inn i Hugging Face Transformers som SynthIDTextWatermarkLogitsProcessor. Parameterlista er dokumentert: ngram_len, keys, sampling_table_size og noen flere. Det finnes ingen parameter for melding, payload eller bruker-ID. keys er én nøkkel per turneringslag i algoritmen, ikke én nøkkel per bruker.

Det ærlige forbeholdet: sporende vannmerker finnes faktisk

Her skal vi ikke overselge. Det er fullt mulig å lage vannmerker som bærer informasjon om hvem som genererte teksten, og det er aktiv forskning på det:

Så påstanden «denne teknologiklassen kan aldri identifisere noen» er feil, og vi skal ikke fremme den.

Den riktige påstanden er snevrere og sterkere: dette er multi-bit-vannmerking, en strukturelt annen konstruksjon enn den SynthID-Text bruker. SynthID-Text er zero-bit og koder ingen melding, bare tilstedeværelse. Å gjøre om et zero-bit-vannmerke til et sporende multi-bit-vannmerke er ikke en konfigurasjonsendring, men en annen algoritme.

Og det koster: de multi-bit-artiklene vi har gjennomgått, rapporterer at deteksjonspåliteligheten går ned når vannmerket i tillegg skal bære en melding. Three Bricks sier det rett ut: «by giving the possibility to encode several messages, we trade some accuracy of detection against the ability to identify users». Zero-bit-linja er godt etablert i litteraturen. Se Kirchenbauer m.fl., ICML 2023, Kuditipudi m.fl. og Christ, Gunn og Zamir.

Hva kritikken faktisk handler om

Et nyttig signal: forskningsmiljøet som er skeptisk til LLM-vannmerking, er opptatt av noe helt annet enn sporing. Kritikken dreier seg om robusthet og fjerning («Watermarks in the Sand», «Can AI-Generated Text be Reliably Detected?»), om forfalskning («Watermark Stealing in Large Language Models») og om falske positiver.

Ingen av disse handler om at vannmerket identifiserer brukeren. At hovedkritikken peker et helt annet sted, er i seg selv et argument. Vi har heller ikke funnet noen dokumenterte tilfeller (verken reelle eller demonstrerte) der et LLM-vannmerke har identifisert en bruker.

En vanlig sammenblanding, relevant for norske utviklere

Det er godt kjent at AI-detektorer slår ut skjevt mot folk som skriver engelsk som andrespråk (Liang m.fl.). Det funnet siteres ofte i vannmerkediskusjoner, og det er feil bruk: studien handler om post-hoc-klassifikatorer som gjetter ut fra stil, ikke om vannmerker.

En nøkkelbasert statistisk test har en falsk positiv-rate som kan regnes ut på forhånd og som ikke avhenger av forfatterens morsmål. Testen gir «interpretable p-values» (Kirchenbauer m.fl.). For et norsk fagmiljø som skriver mye dokumentasjon på engelsk, er dette en reell forskjell.

Hva vi ikke kan verifisere

To ting, sagt rett ut:

  1. Nøkkelen er hemmelig. Det er selve poenget med konstruksjonen, men det betyr at ingen utenforstående kan revidere Anthropics konkrete produksjonsoppsett. Vi kan verifisere at SynthID-Text-metoden er zero-bit. Vi kan ikke inspisere det som faktisk kjører hos Anthropic.
  2. Anthropic sier «a version of» SynthID-Text. Hva som ligger i «a version of» er ikke spesifisert i detalj.

Det er grensene for hva som kan etterprøves.

«Hva hindrer dem i å bytte til et sporende vannmerke i det stille?»

Det er det egentlige spørsmålet, og det fortjener et ordentlig svar. Tre ting står i veien:

  1. Det er en annen algoritme, ikke en innstilling. Å gå fra zero-bit til multi-bit betyr å bygge om konstruksjonen: du må ha en melding å kode, kanalkoding som tåler redigering, og en dekoder i deteksjonen. Ingen av delene finnes i SynthID-Text. Det er ikke et flagg noen skrur på.
  2. Det koster deteksjonskvalitet. Se sitatet fra Three Bricks over. Kapasiteten til å identifisere betales med presisjon i deteksjonen. Anthropics uttalte formål er å kjenne igjen Claude-tekst. Et sporende vannmerke ville gjort produktet dårligere til nettopp det de bygde det for.
  3. Det ville stått i direkte motstrid til publiserte påstander. «Carries no identifying information» er en konkret påstand fra et selskap som selv varsler et deteksjons-API, altså en påstand andre etter hvert får anledning til å teste.

Sannsynligheten er derfor lav. Men nøkkelen er fortsatt hemmelig, og «lav» er ikke «utelukket». Det skal ikke fremstilles som noe annet.

Hva vannmerket ikke er

  • Ikke en AI-detektor. Anthropic er tydelig på at det «cannot distinguish 'Claude wrote this' from 'Claude heavily edited this'».
  • Ikke bevis på menneskelig forfatterskap ved fravær. Fravær av merking betyr ikke at teksten er skrevet av et menneske.
  • Ikke skjulte tegn. Ingen usynlig Unicode, ingen metadata i teksten.
  • Ikke lisens, attribusjon eller eierskap. Det sier ingenting om rettigheter til teksten.
  • Ikke tregere eller dyrere. Ingen ekstra tokens.

Og ikke det samme som C2PA. C2PA er provenance-metadata som legges på filer (Anthropic navngir .svg, .png og .jpg), ikke på kildekode eller .md. Anthropic beskriver selv C2PA som «very different from a watermark». C2PA er faktisk personvernsensitivt, fordi slike metadata kan bære GPS-, enhets- og skaperinformasjon. Tekstvannmerket er det ikke. Skill mellom de to i enhver diskusjon.

Deteksjon

Det finnes ingen offentlig detektor i dag. Bare de som har nøkkelen, kan kontrollere teksten. Anthropic sier et deteksjons-API kommer, uten nærmere detaljer.

Vannmerket overlever kopiering og liming. Anthropic skriver at «light editing probably won't remove the watermark completely», mens en full omskriving der hvert ord byttes ut, fjerner det.

Jussen, kort og adskilt

Dette avsnittet er juridisk kontekst, ikke teknisk vurdering. Hold delene fra hverandre.

Nav er deployer, ikke provider. EU AI Act artikkel 50(2), som pålegger maskinlesbar merking av AI-generert innhold, retter seg mot tilbyderne, altså Anthropic og GitHub. Navs plikt som deployer etter artikkel 50(4) er snever: den gjelder deepfakes og AI-generert tekst som «publiseres med formål å informere allmennheten om saker av allmenn interesse», og den slår ikke inn når et menneske har gått gjennom innholdet og noen har redaksjonelt ansvar (artikkel 50). Kode og intern dokumentasjon faller utenfor.

I Norge gjelder ikke artikkel 50 ennå. AI Act er verken innlemmet i EØS-avtalen eller gjennomført i norsk rett, og artikkel 50 «gjelder derfor foreløpig ikke generelt i Norge» (Nkom). Ett unntak: norske virksomheter kan likevel bli omfattet «dersom de tilbyr KI-systemer i EU, eller dersom resultatet fra et KI-system brukes i EU», og det treffer ikke intern utvikling. Regjeringen tar sikte på å fremme en norsk KI-lov for Stortinget våren 2027. GDPR gjelder uansett.

GDPR: et zero-bit-vannmerke koder en egenskap ved modellen, ikke ved en person. Det er ikke en identifikator, og dermed ikke personopplysninger. Et multi-bit-vannmerke per bruker ville vært pseudonyme personopplysninger, nok en grunn til at skillet betyr noe. Det britiske ICO behandler spørsmålet betinget i Tech Horizons Report 2025: personopplysninger oppstår hvis identiteten til den som skapte innholdet registreres, eller hvis lokasjonsdata registreres. Ingen EU/EØS-tilsynsmyndighet har publisert veiledning spesifikt om tekstvannmerking.

Kommisjonens egen retning peker samme vei. Europakommisjonens retningslinjer til artikkel 50 (C(2026) 5054, 20. juli 2026, punkt 94) sier at plikten «focuses on how the content has been created and its artificial origin, not on who created the content», og at det ved merking og deteksjon «should not be processed» informasjon om den som skapte innholdet. Innholdet er godkjent; formell vedtakelse avventer oversettelser.

Hva Nav-team bør gjøre

For vannmerket: ingenting. Ingen konfigurasjon, ingen policy, ingen tiltak. Det påvirker ikke kode, kostnad eller ytelse.

To ting bør du likevel kjenne til:

1. Et deteksjons-API er personvernspørsmålet, ikke vannmerket. Fordi deteksjon krever leverandørens nøkkel, betyr det å sjekke et dokument i praksis at dokumentet sendes til leverandøren. EFF har pekt på dette som den reelle svakheten ved vannmerkeordninger (EFF). Skulle Nav noen gang ta i bruk en slik tjeneste på interne eller innbyggerrettede dokumenter, hører det hjemme i en DPIA. Dette er stikk motsatt av frykten folk har: risikoen ligger i å bruke detektoren, ikke i å bli merket.

2. Et deteksjonstreff er ikke bevis på forfatterskap. Et positivt utslag sier «denne teksten er sannsynligvis generert av en Claude-modell». Det sier ikke hvem som ba om den, ikke hvor mye et menneske har bearbeidet den, og ikke om noe kritikkverdig har skjedd. Det må aldri brukes som bevis i personalsaker eller i saksbehandling.

En helt annen sak, som er større: GitHubs avtaler om null datalagring dekker Claude-modellene i Copilot, med unntak av Claude Fable 5, der Anthropic beholder prompts og output for å kjøre sikkerhetsklassifikatorer. Det er et vesentlig større styringsspørsmål enn vannmerket, og et annet tema. Sjekk Navs retningslinjer for hvilke Copilot-modeller som er godkjent.

Kortversjonen

Vannmerket inneholder ingen bruker-ID. Seed-funksjonen tar bare de foregående tokenene og en fast nøkkel. Det står i den fagfellevurderte artikkelen, ikke bare i leverandørens markedsføring. Det er zero-bit: det kan svare «merket» eller «ikke merket», ingenting mer. Sporende multi-bit-vannmerker finnes i forskningen, men det er en annen algoritme. Nøkkelen er hemmelig, så Anthropics konkrete oppsett kan ikke revideres utenfra. Det er grensen for hva vi kan verifisere. Kode påvirkes nesten ikke. Du trenger ikke gjøre noe.

Kilder:

Alle nyheter