Tabla de contenido
Cómo funciona la marca de agua en texto: la estadística detrás
Cómo funciona la marca de agua en texto de IA: del sesgo de palabras verdes a un experimento con monedas en tu mesa, y qué sobrevive de verdad a una edición.
Lanza una moneda justa 100 veces y esperas unas 50 caras. Si salen 70, algo pasa. Esa distancia entre “lo que daría el azar” y “lo que ves de verdad” es todo el mecanismo de cómo funciona la marca de agua en texto, y un niño de diez años lo puede seguir con una moneda real y una hoja de papel.
Lo ingenioso no es la estadística. Es que el patrón se esconde en decisiones que el lector nunca iba a notar: “nublado” en vez de “gris”, “comenzó” en vez de “empezó”.
Puntos clave
- El método fundacional, Kirchenbauer et al. (ICML 2023), parte el vocabulario en una “lista verde” y una “lista roja” pseudoaleatorias antes de cada palabra y favorece suavemente las verdes; el detector cuenta palabras verdes y calcula un puntaje z.
- Qué palabras son verdes lo determina un hash del token anterior más una llave secreta, así que la partición cambia en cada posición y el texto sigue fluido.
- SynthID-Text de Google DeepMind (Nature, 2024) usó muestreo por torneo y se probó en casi 20 millones de respuestas de Gemini sin diferencia estadísticamente significativa de calidad.
- La marca de agua de Claude, anunciada el 11 de agosto de 2026, deriva de SynthID-Text y funciona reemplazando la fuente de aleatoriedad del modelo por una derivada de la llave y las palabras previas.
- La detección necesita volumen: Kirchenbauer et al. (ICLR 2024) encontró que tras una paráfrasis humana agresiva se necesitaban unos 800 tokens en promedio para detección confiable con una tasa estricta de falsos positivos.
Cómo funciona la marca de agua en texto, paso a paso
Empieza por lo que se marca. Un modelo de lenguaje no escribe una oración: elige repetidamente el siguiente token de una distribución de probabilidad sobre todo su vocabulario. En muchas posiciones hay varios candidatos casi empatados: después de “el cielo estaba”, el modelo puede valorar “gris”, “nublado”, “encapotado” y “oscuro” de forma parecida. Ese casi empate es el espacio donde vive la marca de agua.
El método de Kirchenbauer et al., publicado en ICML 2023 por investigadores de la Universidad de Maryland, hace esto: antes de generar cada token, toma un hash del token anterior, lo combina con una llave secreta y con eso parte pseudoaleatoriamente el vocabulario en “lista verde” y “lista roja”. Después suma un bono pequeño al puntaje de las palabras verdes. El modelo sigue eligiendo algo sensato, porque muchas buenas opciones son verdes. Pero a lo largo de cientos de tokens, las palabras verdes aparecen mucho más de lo que el azar predeciría.
La detección es entonces puro conteo. Quien tenga la llave puede recalcular cuáles palabras debían ser verdes en cada posición, contar cuántas lo son y calcular un puntaje z: cuántas desviaciones estándar por encima de lo esperado. Puntaje z alto, marca presente, con un valor p interpretable. El paper original describe la marca como “invisible para los humanos pero detectable algorítmicamente desde un tramo corto de tokens”, con un algoritmo de código abierto que no necesita acceso al modelo.
Dos refinamientos importan. SynthID-Text de Google DeepMind, publicado en Nature en octubre de 2024 por Dathathri y colegas, usa muestreo por torneo en lugar de un bono simple y fue el primer despliegue a escala de producción; la retroalimentación sobre casi 20 millones de respuestas de Gemini no mostró diferencia estadísticamente significativa de calidad entre texto marcado y sin marcar. Y la marca de agua de Claude, anunciada el 11 de agosto de 2026 con detalles el 15, deriva de SynthID-Text: en lugar de un generador de números aleatorios cualquiera, el modelo “usa la llave y unas cuantas palabras anteriores para decidir qué palabra debe elegir”.
Cómo enseñarle esto a tu hijo
De 5 a 8 años: el juego del color secreto
Escribe diez palabras simples en tarjetas y colorea en secreto el reverso de cuatro de verde. Pídele a tu hijo que elija palabras para armar una oración chistosa, pero empuja discretamente las de reverso verde (“¿y esta?”). Después voltea las tarjetas. Cuatro palabras verdes seguidas se ve sospechoso; una se ve como suerte. Explícale que las computadoras pueden esconder un secreto en cuáles palabras se eligen, no en las palabras mismas.
De 9 a 12 años: la moneda arreglada
Lancen una moneda real 20 veces y anoten caras y cruces. Van a caer cerca de 10-10. Ahora hagan 20 más pero trampeando un poquito: cuando salga cruz, a veces vuelvan a lanzar. Cuenten. El chico ve que un empujón aparece en el conteo sin que ningún lanzamiento individual se vea mal. Ahora la versión matemática: para 100 lanzamientos justos la desviación estándar es 5, así que 60 caras quedan a dos desviaciones, algo que por azar pasa cerca del 2,3% de las veces. Eso es un puntaje z, y es literalmente lo que calcula un detector de marcas de agua.
De 13 en adelante: construir una marca de agua de juguete
Toma un párrafo cualquiera. Parte el alfabeto en dos: de la A a la M es “verde”, de la N a la Z es “roja”. Ahora reescribe el párrafo para que la mayor cantidad posible de palabras empiece con letra verde, sin cambiar el significado. Cuenten la fracción verde antes y después. Luego que explique las dos cosas que un sistema real hace mejor: la partición cambia en cada palabra (así el sesgo es invisible a ojo) y depende de una llave secreta (así nadie la puede falsificar). Pregúntale qué le pasa a su fracción verde si alguien parafrasea la mitad de las oraciones.
La pregunta que debes hacer: “Si el detector mide qué tan improbables eran las elecciones de palabras, ¿qué podría hacer una persona para que un texto marcado parezca sin marcar, y qué perdería en el intento?”
Tres métodos de marca de agua comparados
| Método | Cómo aplica el sesgo | Detección | Publicado | Propiedad destacada |
|---|---|---|---|---|
| Lista verde / lista roja (Kirchenbauer et al.) | Bono pequeño a una mitad pseudoaleatoria del vocabulario, resembrada desde el token anterior | Contar tokens verdes, calcular puntaje z y valor p | ICML 2023 | Detector de código abierto; no necesita acceso al modelo |
| SynthID-Text (Google DeepMind) | Muestreo por torneo entre tokens candidatos | Comparar contra firmas esperadas con y sin marca | Nature, octubre 2024 | Primer despliegue en producción; sin diferencia de calidad en ~20M respuestas |
| Marca de agua de Claude (Anthropic) | Sustitución de aleatoriedad: la llave más las palabras previas determinan la elección | API de detección, vista previa privada para organizaciones elegibles | Agosto 2026 | No agrega tokens ni caracteres ocultos; no codifica identidad del usuario |
| Credenciales C2PA | No es un método de texto: metadatos firmados adjuntos al archivo | Verificar la firma | Estándar de industria | Sobrevive a copiar el archivo; muere con una captura de pantalla |
La última fila está en la tabla a propósito. Los papás suelen confundir las dos cosas y se comportan de forma completamente distinta. La marca de agua de texto vive en las palabras y viaja con copiar y pegar; los metadatos de archivo viven fuera del contenido y mueren en el momento en que alguien toma una captura.
Dónde falla el mecanismo, con honestidad
Cada propiedad de este diseño tiene un costo, y los costos están documentados en la misma literatura que estableció el método.
El texto de baja entropía casi no marca. Si solo hay una respuesta correcta, no hay casi empates que aprovechar. Pregunta la capital de Francia y el modelo tiene que decir París. La propia documentación de SynthID señala menor efectividad en texto corto y en contenido con pocas alternativas de palabra. Anthropic dice lo mismo del código: las marcas aparecen mínimamente porque el modelo tiene poca flexibilidad salvo en los comentarios.
La paráfrasis degrada la señal. Kirchenbauer et al. (ICLR 2024) estudió esto directamente y encontró que las marcas siguen detectables después de paráfrasis humana y automática, pero debilitadas: tras una paráfrasis humana agresiva con una tasa estricta de falsos positivos, se necesitaban unos 800 tokens en promedio para detección confiable. Detectable, pero solo con volumen.
La eliminación decidida funciona. Sadasivan et al. (2023), en Transactions on Machine Learning Research, demostró un ataque de paráfrasis recursiva que reduce significativamente las tasas de detección en esquemas de marca de agua, clasificadores neuronales, detectores sin entrenamiento y sistemas de recuperación; también demostró la suplantación: inferir la firma oculta lo suficiente para que un texto humano parezca generado por IA. Conectaron el desempeño de los detectores con la distancia de variación total entre las distribuciones de texto humano y de IA, un argumento de que la detección confiable se vuelve más difícil a medida que los modelos mejoran.
Solo el laboratorio emisor puede detectar su propia marca. Una marca de Claude no dice nada del texto de Gemini, y ninguna de las dos dice nada de un modelo abierto instalado en tu propia máquina. Hasta agosto de 2026, la marca de agua en texto confirmada públicamente existía para Claude y para Gemini vía SynthID; OpenAI construyó un sistema en 2024 y decidió no desplegarlo, citando preocupación por acusaciones falsas contra escritores no nativos de inglés y riesgo competitivo.
En conjunto: una marca es evidencia fuerte de participación cuando está presente en un pasaje largo, evidencia débil en uno corto y ninguna evidencia cuando está ausente. Por eso es una herramienta de procedencia y no un detector de trampas, algo que desarrollamos en la marca de agua no prueba trampa.
¿Y en América Latina?
Hay un detalle del mecanismo que aterriza distinto en la región, y vale que tu hijo lo sepa antes de que le importe: la traducción. Como cada palabra de una traducción la elige el modelo, un texto traducido por IA lleva la marca con fuerza, aunque las ideas sean enteramente del estudiante. Un chico en Medellín que escribe su ensayo en español y lo traduce con Claude para una materia bilingüe o una aplicación universitaria produce exactamente el texto más marcado posible, haciendo un trabajo que es todo suyo.
Y el otro lado del mismo problema es más viejo. Liang et al. (2023), en Patterns, encontró que los detectores tradicionales clasifican sistemáticamente la escritura de hablantes no nativos de inglés como generada por IA, porque penalizan la expresión lingüística más contenida. Los dos mecanismos, el nuevo estadístico y el viejo heurístico, terminan apuntando al mismo estudiante latinoamericano que escribe con cuidado en su segundo idioma. La defensa es la misma en los dos casos y no es técnica: declarar el uso por escrito y conservar el historial de versiones del borrador original.
Qué hacer en casa, de verdad
Hagan el experimento de la moneda una vez
Quince minutos con una moneda real enseñan el concepto mejor que cualquier explicación. En el momento en que un chico calcula un puntaje z para una moneda arreglada, entendió la detección de marcas de agua.
Conéctalo con la conversación del colegio, con cuidado
Un chico que entiende que la detección necesita volumen y falla en texto corto no va a suponer que una respuesta de un párrafo es rastreable. Uno que entiende que la marca prueba participación y no autoría no va a entrar en pánico. Las dos mitades importan, y la versión escolar está en la marca de agua en texto de IA para papás y estudiantes.
Señala dónde falla la analogía
Las monedas son independientes; las elecciones de palabras no, y por eso la matemática real es más sucia que un 50-50. Decirlo en voz alta enseña más que una analogía perfecta.
Déjalos intentar romperla
Pregúntale a tu adolescente cómo derrotaría una marca de agua y después lean juntos los hallazgos de Sadasivan. La paráfrasis recursiva funciona, y también degrada la escritura. Ese intercambio es la conclusión honesta, no una rendija para aprovechar.
Qué observar en los próximos 3 meses
- Semana 4: Pídele a tu hijo que explique un puntaje z en una oración. Si puede, la estadística aterrizó.
- Señales de alerta en el mes 2: Creer que las marcas de agua son magia infalible, o creer que son inútiles; las dos ideas están mal de la misma manera.
- Autoevaluación del mes 3: La actualización de los modelos anteriores a agosto apunta al 2 de diciembre de 2026 y el acceso a detección se está ampliando. Vigila las primeras tasas publicadas de falsos positivos y negativos, que nadie ha divulgado todavía.
Preguntas frecuentes
¿Cómo funciona la marca de agua en texto de IA en una oración?
El modelo sesga en secreto su elección entre palabras casi igual de buenas usando una llave oculta, así que el texto se lee normal pero contiene patrones de palabras estadísticamente improbables que un detector con la llave puede medir.
¿Un humano puede ver la marca de agua?
No. El sesgo se aplica solo donde varios candidatos están casi empatados en calidad, así que la salida se lee natural. La prueba en vivo de SynthID-Text sobre casi 20 millones de respuestas de Gemini no mostró diferencia estadísticamente significativa de calidad.
¿Qué es una lista verde?
En el método original de Kirchenbauer et al., el vocabulario se parte pseudoaleatoriamente en cada posición en lista verde y lista roja usando un hash del token anterior más una llave secreta. Las palabras verdes reciben un bono pequeño, y la detección cuenta cuántas verdes aparecen.
¿Cuánto texto se necesita para detectar una marca?
El suficiente para acumular señal. Kirchenbauer et al. (ICLR 2024) encontró que se requerían unos 800 tokens en promedio para detección confiable tras paráfrasis humana agresiva con una tasa estricta de falsos positivos. Un texto sin editar detecta con mucho menos; un texto muy corto puede no detectar.
¿Parafrasear la elimina?
Una edición ligera normalmente no. La paráfrasis recursiva, estudiada por Sadasivan et al. (2023), reduce significativamente las tasas de detección en métodos de marca de agua y de detección. La traducción también borra una marca, mientras que una traducción producida por la IA lleva una muy fuerte.
¿Todas las empresas de IA marcan el texto?
No. Hasta agosto de 2026, la marca de agua en texto confirmada públicamente existía para Claude de Anthropic y para Gemini de Google vía SynthID. OpenAI construyó un sistema en 2024 pero no lo desplegó, citando preocupación por acusaciones falsas contra escritores no nativos de inglés. Los modelos abiertos instalados por uno mismo generalmente no marcan nada.
Sobre el autor
Ricky Flores es el fundador de HiWave Makers e ingeniero eléctrico con más de 15 años de experiencia desarrollando tecnología de consumo en Apple, Samsung y Texas Instruments. Escribe sobre cómo los niños aprenden a construir, pensar y crear en un mundo saturado de tecnología. Lee más en hiwavemakers.com.
Fuentes
- Kirchenbauer, J., Geiping, J., Wen, Y., Katz, J., Miers, I., & Goldstein, T. (2023). “A Watermark for Large Language Models.” ICML 2023. https://arxiv.org/abs/2301.10226
- Kirchenbauer, J., Geiping, J., Wen, Y., et al. (2024). “On the Reliability of Watermarks for Large Language Models.” ICLR 2024. https://arxiv.org/abs/2306.15666
- Dathathri, S., Kohli, P., et al. (2024). “Scalable watermarking for identifying large language model outputs.” Nature. https://deepmind.google/technologies/synthid/
- Anthropic. (2026, 14 de agosto). “How Claude’s text watermark works.” https://www.anthropic.com/news/claude-text-watermark
- Sadasivan, V. S., Kumar, A., Balasubramanian, S., Wang, W., & Feizi, S. (2023). “Can AI-Generated Text be Reliably Detected?” Transactions on Machine Learning Research. https://arxiv.org/abs/2303.11156
- Liang, W., Yuksekgonul, M., Mao, Y., Wu, E., & Zou, J. (2023). “GPT detectors are biased against non-native English writers.” Patterns. https://arxiv.org/abs/2304.02819
- Wikipedia. (2026). “Text watermarking.” https://en.wikipedia.org/wiki/Text_watermarking
- TechCrunch. (2026, 15 de agosto). “Anthropic shares more details about how Claude’s new watermarks will work.” https://techcrunch.com/2026/08/15/anthropic-shares-more-details-about-how-claudes-new-watermarks-will-work/
