11.5 Detekcja i watermarki: ewidencja pochodzenia

Article 50(2) nakłada obowiązek oznaczania na dostawcę (provider) modelu, a rozdział 11.1 powiedział, co to znaczy: nie możesz go spełnić, nie możesz na nim polegać i nie możesz liczyć, że przetrwa repostowanie.

Ten rozdział dotyczy trzech pytań, które z tego wynikają.

1. Czy ktokolwiek rozpozna, że moja treść została wygenerowana? Tak — z wynikiem pewności, nie z wyrokiem. I czasem myli się co do treści, która wcale nie jest wygenerowana.
2. Czy mogę dowieść, co zrobiłem i jak? Tylko zapisami, które kontrolujesz, bo oznaczenia techniczne nie są trwałe.
3. Co robię, gdy klasyfikator myli się co do mnie? Jest procedura i jest szybsza, jeśli przygotowałeś się do niej, zanim się zdarzyła.

Jak faktycznie działa detekcja

W grze są trzy mechanizmy i każdy zawodzi inaczej.

Modele klasyfikujące. Dostawcy tacy jak Hive oferują API do detekcji treści wygenerowanych przez AI i deepfake'ów, które klasyfikuje obraz, wideo i audio i zwraca wynik pewności. Mówi się powszechnie, że usługi detekcji tego rodzaju siedzą w pipeline'ach moderacji platform. [UNVERIFIED] Dla ciebie liczy się kształt wyniku: prawdopodobieństwo, nie fakt. 0,94 to nie rozstrzygnięcie, a właśnie tak potraktuje tę liczbę zespół weryfikacji platformy, jeśli nie dasz mu czegoś lepszego.

Watermarki pikselowe i latentne. SynthID Google'a jest osadzony w pikselach albo w reprezentacji latentnej i ma przetrwać kadrowanie, kompresję i filtry. Wykrywa go własne narzędzie Google'a, i to jest zarazem jego ograniczenie: nie jest standardem ogólnego przeznaczenia. Istnieją otwarte alternatywy — najlepiej znany jest TrustMark — a osobne komercyjne usługi watermarkowania sprzedają jako swoją cechę odporność na kadrowanie i ponowną kompresję.

Manifesty provenance. C2PA Content Credentials opakowują plik w podpisany manifest opisujący, co go stworzyło i co zostało z nim zrobione. Producenci aparatów go dostarczają, niektóre generatory dołączają go, a współpracujące platformy czytają go i wyświetlają.

Wszystkie trzy są probabilistyczne albo kruche. Żaden nie jest gwarancją, a traktowanie któregokolwiek z nich jak gwarancję to sposób, w jaki operator daje się złapać w środku tygodnia.

Dlaczego metadane nie przetrwają i ile cię to kosztuje

Każda ścieżka ponownego wgrania usuwa metadane: wgranie na platformę, która koduje ponownie, zrzut ekranu, nagranie ekranu, pobranie przez narzędzie zewnętrzne, przepuszczenie pliku przez edytor, a nawet niektóre konfiguracje CDN. Manifest C2PA dołączony przez twój generator znika po pierwszym ponownym kodowaniu na platformie, a po pierwszym zrzucie ekranu — bezpowrotnie.

Ma to jedną konsekwencję, która przestawia cały rozdział: oznaczenie techniczne jest dowodem o pierwszej publikacji, nie o każdym egzemplarzu w obiegu.

Oznaczenia więc coś dają — powinieneś mieć je skonfigurowane optymalnie — ale nie mogą być podstawą twojej historii zgodności. Co ci dają:

• Atrybucję na platformach, które czytają manifesty, dla pierwszego wgrania.
• Sygnał detekcji, który pomaga platformom oznaczyć twoją treść poprawnie, zamiast zgadywać.
• Zapis, na który możesz wskazać, jeśli ktoś twierdzi, że wygenerował twoją pracę.

Czego ci nie dają: żadnej kontroli nad egzemplarzami w obiegu, żadnej możliwości dowiedzenia, że plik dalej w łańcuchu jest twój, i żadnej ochrony przed kimś, kto celowo usunie oznaczenie.

Luka prawna, której nikt nie zamyka

Oto niewygodna wersja obowiązku oznaczania. AI Act wymaga, żeby dostawcy (provider) oznaczali wynik. Nie zabrania osobom trzecim usuwania tych oznaczeń. Nie ma przepisu, który czyni usunięcie watermarku albo manifestu C2PA czynem zabronionym, i nie wiąże się z nim żadna odpowiedzialność w tej ustawie.

Kodeks praktyk w sprawie przejrzystości (Code of Practice on Transparency of AI-generated Content) zachęca do zachowywania provenance. Zachęta to nie egzekwowanie zasad.

Praktyczne konsekwencje:

• „Oznaczone" to nie „chronione". Oznaczony plik można pozbawić oznaczenia i wgrać ponownie, a osoba, która to zrobiła, nie ponosi z tego tytułu żadnej konsekwencji z AI Act.
• Nie buduj strategii detekcji na oznaczaniu przez dostawcę. Zasada przenośności z rozdziału 7.5 dotyczy twoich dowodów tak samo jak twoich modeli.
• Twój własny, niezależny zapis provenance to jedyny trwały artefakt. Jest też jedynym pod twoją kontrolą, bo żyje w twoim storage, a nie w czyimś pipeline.

Zapis provenance, który faktycznie prowadzisz

Jeden katalog na personę, jeden podkatalog na opublikowany asset i manifest obok każdego pliku. Minimalna wersja:

Dwie reguły operacyjne zamieniają tę tabelę w coś użytecznego:

Trzymaj wyrenderowany oryginał, nie kopię zakodowaną ponownie. Ponowne kodowanie niszczy watermarki pikselowe. Archiwizuj plik, który wyprodukował generator, zanim dotknie go jakikolwiek edytor albo platforma.

Zapisuj wpis w momencie generowania. Manifest provenance odtworzony z pamięci po sporze to opowieść. Ten zapisany w chwili tworzenia jest dowodem. Jeśli twój pipeline jest już zautomatyzowany — rozdział 7.3 — zapis jest produktem ubocznym runu, a nie osobnym obowiązkiem.

Zrób raz test przetrwania, na każdej platformie. Wgraj oznaczony asset, pobierz go z powrotem i przepuść przez ten sam detektor albo czytnik watermarków. W ciągu godziny dowiesz się, które platformy zachowują oznaczenia pikselowe, które je usuwają, a które kodują ponownie agresywnie. Zrób to, zanim zaczniesz polegać na odpowiedzi. [UNTESTED] — to procedura, nie wynik; rezultat zależy od aktualnego pipeline'u każdej platformy i zmienia się bez ostrzeżenia.

Gdy klasyfikator myli się co do ciebie

Wyniki fałszywie dodatnie nie są hipotetyczne. Autentyczne fotografie dostawały etykietę treści wygenerowanej przez AI, a w przypadku konta persony sprawa jest gorsza niż u fotografa: jeśli w twojej treści występuje realny współpracownik, model albo fotograf, jego prawdziwy wizerunek też może dostać etykietę, a etykieta nie odróżnia go od ciebie.

Szkoda nie polega na samej etykiecie. Polega na zasięgu, który znika, dopóki etykieta stoi.

Procedura, po kolei:

1. Nie usuwaj posta. Usunięcie gubi dowód i nie zdejmuje konsekwencji na poziomie konta.
2. Odwołaj się przez mechanizm platformy — Account Status na Meta, procedura odwoławcza posta gdzie indziej — i powiedz wprost, że treść jest autentyczna, a nie wygenerowana.
3. Dołącz najsilniejszy dowód, jaki masz. W kolejności malejącej: manifest C2PA z aparatu, który go obsługuje, oryginalny plik z osadzonymi metadanymi i nienaruszonym watermarkiem pikselowym, oświadczenie i dokument zgody współpracownika, surowy plik z nagrania.
4. Eskaluj, jeśli odwołanie padnie. Dla konta firmowego ścieżka przez przedstawiciela konta jest szybsza niż pętla w aplikacji.
5. Zapisz to jako incydent w rejestrze z 11.4, z datami i wynikami. Wzorzec wyników fałszywie dodatnich na wielu kontach to problem platformy wart udokumentowania, a tam, gdzie konto jest wystarczająco duże — wart nagłośnienia publicznego.

Przygotowanie, które to wszystko przyspiesza, jest mało efektowne: trzymaj oryginały, trzymaj sumę kontrolną i wiedz, który z twoich współpracowników dostarczy oświadczenie w ciągu dnia.

Konsekwencja projektowa

Złóż te trzy mechanizmy razem i wypada z nich reguła, która kształtuje twój kierunek wizualny.

Detekcja jest probabilistyczna, oznaczenia da się usunąć, a etykieta, która trafi na autentyczną treść, zostaje na niej, dopóki się odwołujesz. W takim otoczeniu fotorealizm to obciążenie, które sam wybierasz. Im bardziej twoja treść czyta się jako autentyczny zapis realnej osoby, tym częściej klasyfikatory się nią zajmą i tym bardziej zależysz od tego, czy zespół weryfikacji zgodzi się z tobą.

Trzy uprawnione odpowiedzi, z których żadna nie brzmi „zrób to gorzej":

• Utrzymaj rozpoznawalny rejestr wizualny. Ilustrowany, stylizowany albo w inny sposób wyraźnie autorski wygląd leży poza wyzwalaczem realizmu na TikToku i YouTube, jak opisuje rozdział 11.2, i ogranicza przypadkowe zainteresowanie klasyfikatorów.
• Deklaruj najpierw i deklaruj zawsze. Zadeklarowana etykieta to fakt o twoim koncie; niezadeklarowana, narzucona przez klasyfikator, to oskarżenie — i przychodzi w terminie platformy.
• Prowadź zapisy provenance niezależnie od stylu. Zapis kosztuje minuty na asset i jest jedyną rzeczą, która odpowiada na zakwestionowanie z każdej strony.

Gdzie to się psuje

Traktowanie metadanych C2PA jako trwałych. Przetrwają do pierwszego ponownego kodowania. Planuj drugą publikację, nie pierwszą.

Zakładanie, że oznaczony plik jest chroniony. Ustawa wymaga oznaczania i nie karze usuwania.

Watermarkowanie bez testu przetrwania. Watermark, który twoja platforma usuwa przy wgraniu, to koszt bez korzyści. Zrób test.

Ponowne kodowanie mastera. Każde przejście przez edytor degraduje oznaczenia pikselowe. Archiwizuj oryginał z generatora.

Usuwanie błędnie oznaczonego posta. Tracisz dowód, a decyzja o etykiecie zostaje.

Wybór fotorealizmu bez uwzględnienia klasyfikatora. Tier realizmu kosztuje zasięg, gdy coś idzie nie tak, a psuje się probabilistycznie.

Bramka

1. Które twoje assety są oznaczone, gdzie i przez który mechanizm — deklarację, klasyfikator czy manifest?
2. Czy zrobiłeś test przetrwania na każdej platformie, na którą publikujesz, i co pokazał?
3. Gdzie jest zapis provenance i czy trzyma oryginalny plik oraz sumę kontrolną?
4. Jaki jest twój stos dowodów do odwołania i jak szybko potrafisz go złożyć?
5. Które z twoich formatów uruchamiają test realizmu i czy to wybór podjęty celowo?

Z czym wychodzisz

Realistyczny obraz detekcji — probabilistyczne klasyfikatory, manifesty, które da się usunąć, oznaczenia pikselowe działające do momentu, w którym przestają — zapis provenance, który faktycznie jest pod twoją kontrolą, procedura odwoławcza na dzień, w którym klasyfikator się myli, i reguła projektowa, że fotorealizm to decyzja o zgodności tak samo jak decyzja estetyczna.