¿Qué es la marca de agua para LLM? Watermark en textos de IA: funcionamiento, métodos y qué hace cada empresa

¿Cómo se puede distinguir un texto escrito por una IA? Varios estudios han demostrado que las herramientas de detección de IA, que lo estiman a partir de las características del texto, pueden eludirse fácilmente con solo parafrasear. Por eso ha ganado atención la marca de agua para LLM (LLM watermarking), que inserta una marca invisible en el momento en que la IA genera el texto. Después de que Google empezara a usarla en Gemini en 2024, en 2026 Anthropic y OpenAI también comenzaron a poner marcas de agua en los textos de su IA, y la regulación también ha empezado a exigirla. En este artículo repasamos cómo funciona la marca de agua para LLM, los principales métodos, sus límites y lo que hace cada empresa, a partir de artículos científicos e información oficial, con datos a 9 de octubre de 2026.

Qué es la marca de agua para LLM

La marca de agua para LLM es una tecnología que incrusta una marca estadística, imperceptible para las personas, en el texto generado por un LLM (modelo de lenguaje de gran tamaño). No añade símbolos ni caracteres invisibles al texto, sino que deja la marca sesgando ligeramente la forma en que la IA elige la siguiente palabra.

Cuando un LLM genera un texto, asigna probabilidades a las candidatas para la siguiente palabra (en rigor, el siguiente token) y elige una de ellas, una y otra vez. La marca de agua para LLM añade a esa elección una regla basada en una clave secreta. Quien conoce la clave puede comprobar estadísticamente, al examinar el texto, que «hay demasiadas palabras que siguen la regla como para ser casualidad».

Diferencias con las herramientas de detección de IA y con C2PA

Además de la marca de agua para LLM, hay otras formas de identificar textos de IA.

Herramientas de detección de IA: estiman después, a partir de las características del texto, si parece escrito por una IA. Funcionan sin ninguna marca, pero solo son una estimación. En un estudio, basta con parafrasear el texto con otra IA para que la tasa de detección de una de estas herramientas (DetectGPT) bajara del 70,3 % al 4,6 %
C2PA (Content Credentials): añade al archivo información firmada sobre su procedencia. Es adecuada para archivos de imagen o documentos, pero no puede añadirse al texto normal que se copia y pega

Anthropic también diferencia los usos en la salida de Claude: marca de agua para el texto y C2PA para los archivos generados. Explicamos C2PA en «¿Qué es C2PA?».

Principales métodos

Existen varias familias de marcas de agua para LLM. Estas son las más representativas.

Método de lista verde

Es un método representativo que presentaron en 2023 investigadores de la Universidad de Maryland (Kirchenbauer et al., ICML 2023).

A partir de la palabra anterior y de la clave, divide cada vez el vocabulario en una «lista verde» y una «lista roja»
Suma un pequeño plus a la puntuación de las palabras de la lista verde para que se elijan un poco más a menudo
Para detectarla, cuenta las palabras de la lista verde y comprueba estadísticamente si son tantas que no pueden explicarse por casualidad

El artículo mostró una tasa de detección de aproximadamente el 98 % o más en textos de 200 tokens. Su mecanismo es fácil de entender y también está implementado en Transformers de Hugging Face. Por otro lado, como sesga la elección de palabras, puede afectar ligeramente a la calidad del texto.

Métodos que no alteran la distribución

Para eliminar el efecto en la calidad del texto, también se investigan métodos que insertan la marca de agua sin cambiar las probabilidades con las que la IA elegiría cada palabra.

Método de Aaronson: lo presentó en 2022 Scott Aaronson, informático teórico que investigaba en OpenAI. La elección de palabras se decide con números aleatorios generados a partir de una clave, y según él bastan unos cientos de tokens para obtener una marca suficiente
Métodos robustos: investigadores de la Universidad de Stanford presentaron un método que permite detectarla aunque se reescriban al azar entre el 40 % y el 50 % de las palabras (Kuditipudi et al., 2023)
Marcas de agua indistinguibles: un estudio demostró teóricamente que, sin la clave, distinguir un texto con marca de agua del texto original de la IA es computacionalmente difícil (Christ et al., 2023)

SynthID Text de Google y textGrain de OpenAI también se basan en esta idea de «mantener la calidad».

Otros métodos

También se han propuesto métodos que insertan la marca de agua a nivel del significado de la frase, no de la palabra, para resistir mejor las paráfrasis (como SemStamp), métodos que incrustan información como el ID del usuario y métodos que publican la clave para que cualquiera pueda verificarla.

Cómo se detecta

La detección de marcas de agua para LLM tiene las siguientes características.

Se necesita la clave: en la mayoría de los métodos, no se puede detectar sin la clave secreta usada al insertar la marca de agua. Por eso, en principio solo pueden detectarla la empresa que la insertó o quienes hayan recibido la clave.
El resultado se expresa en probabilidades: el resultado de la detección es un juicio probabilístico como «es muy probable que haya marca de agua», «no la hay» o «no concluyente».
Se necesita cierta longitud: en textos cortos no es posible un juicio estadístico. En la investigación se suele evaluar con textos de unos 200 tokens, y para textGrain de OpenAI, con los falsos positivos limitados al 1 %, se han publicado tasas de detección de alrededor del 80 % con 200 tokens y del 95 % con 400 tokens en textos de psicología y otros temas.
Cuesta insertarla en textos con respuesta fija: cuando la siguiente palabra está casi determinada, como en el código de programación, los textos estándar o las respuestas sobre hechos, hay poco margen para sesgar la elección y la marca de agua se debilita.

Puntos débiles y ataques

La investigación ha identificado varios puntos débiles de la marca de agua para LLM.

Paráfrasis: si se parafrasea el texto con otra IA, la marca de agua se debilita mucho. OpenAI ha publicado que, al sustituir el 25 % de las palabras por sinónimos, la tasa de detección de textGrain baja al 17 %.
Traducción: se ha demostrado que, si se hace generar el texto en otro idioma y luego se traduce, la marca de agua desaparece.
Ataque de emojis: también se conoce la técnica de pedir a la IA que intercale un emoji entre cada palabra y luego borrar los emojis para romper la marca de agua.
Suplantación: también se investigan ataques que deducen las reglas de la marca de agua y la falsifican en textos escritos por personas. Un estudio dedujo las reglas mediante consultas a la API y logró tasas de éxito superiores al 80 % tanto en la falsificación como en la eliminación, con un coste inferior a 50 dólares.
Modelos abiertos: en los modelos que cualquiera puede ejecutar, el proceso de inserción de la marca de agua puede desactivarse.

Qué hace cada empresa

Tras Google, en 2026 Anthropic y OpenAI también empezaron a poner marcas de agua en los textos de su IA.

OpenAI: en 2024 se mostraba prudente con la introducción de marcas de agua en el texto, porque se podían eludir fácilmente con traducciones y otros métodos y porque podían hacer recaer sospechas injustas sobre el uso por parte de personas que no tienen el inglés como lengua materna. El 5 de octubre de 2026 cambió de postura y anunció su propia marca de agua, «textGrain». La aplica en ChatGPT y Codex en la UE, y en la API puede usarse de forma opcional en todo el mundo. Lo explicamos en detalle en «¿Qué es textGrain?».
Google: desarrolló SynthID Text y en 2024 anunció que lo usaba en Gemini. Lo ha publicado como código abierto. Lo explicamos en detalle en «¿Qué es SynthID Text?».
Anthropic: inserta una marca de agua en el texto que genera Claude. Los modelos publicados a partir del 2 de agosto de 2026 la admiten desde su lanzamiento, y los modelos anteriores también llevan marca de agua en los servicios de la propia Anthropic. El método se basa en SynthID Text y se aplica en todo el mundo por igual, porque no hay una forma fiable de aplicarlo por separado según la región.
Meta: ha publicado como código abierto «TextSeal», una herramienta de investigación para marcas de agua en texto.

Los detectores de OpenAI y Anthropic solo se ofrecen a investigadores aprobados tras una evaluación, autoridades reguladoras y organismos similares; el público general no puede usarlos libremente.

Novedades regulatorias

Una razón importante de la expansión de la marca de agua para LLM es la regulación.

UE: el artículo 50 de la Ley de IA exige a los proveedores de IA que generan contenidos, incluido el texto, que marquen sus resultados en un formato legible por máquina para que pueda detectarse que se crearon con IA. Esta disposición se aplica desde el 2 de agosto de 2026. No obstante, la modificación de la Ley de IA de 2026 (Digital Omnibus) concede, solo a los sistemas de IA comercializados antes de esa fecha, un plazo de gracia hasta el 2 de diciembre de 2026 para la obligación de marcado legible por máquina. OpenAI, Google, Anthropic, Meta, Microsoft y Mistral, entre otros, han firmado el código de buenas prácticas que concreta los métodos.
China: desde el 1 de septiembre de 2025 está en vigor una norma que obliga a etiquetar el contenido generado con IA. Exige añadir una indicación visible a los textos e incluir una indicación invisible en los metadatos de los archivos. Añadir marcas de agua digitales solo se recomienda.
Japón: las «Directrices de IA para empresas» (AI Guidelines for Business) del Ministerio del Interior y Comunicaciones (MIC) y el Ministerio de Economía, Comercio e Industria (METI) piden a las organizaciones que desarrollan IA avanzada que, cuando sea técnicamente posible, introduzcan mecanismos que permitan identificar el contenido generado por IA, como las marcas de agua digitales (sin carácter jurídicamente vinculante).

Precauciones según el perfil

Usuarios y profesionales de la educación

Como los detectores de marcas de agua en texto solo están disponibles para un número limitado de organizaciones, el público general prácticamente no puede comprobar los textos que tiene a mano. Además, no encontrar una marca de agua no demuestra que el texto lo haya escrito una persona. Los resultados de las herramientas de detección de IA también son solo estimaciones, así que conviene no usarlos como prueba para afirmar que el texto de un alumno o de un candidato lo ha escrito una IA.

Desarrolladores

Si creas tu propio servicio con modelos abiertos, puedes insertar marcas de agua con herramientas como estas.

Hugging Face Transformers: admite tanto el método de lista verde como SynthID Text, y basta con pasar la configuración al generar el texto
vLLM: desde la versión 0.30.0 de septiembre de 2026 incluye de serie una función de marca de agua (método Gumbel-max). El método y la clave se configuran al iniciar el servidor. Sin embargo, la generación con temperatura 0 y la búsqueda en haz (beam search) no llevan marca de agua
MarkLLM: un kit de herramientas de investigación para probar muchos métodos a la vez

Si la clave se filtra, la marca de agua puede falsificarse, así que hay que gestionarla con cuidado.

Conclusión

La marca de agua para LLM es una tecnología que deja una marca invisible en el proceso por el que la IA elige las palabras, para poder comprobarla después con una clave. Después de que Google empezara a usarla en Gemini en 2024, en 2026 Anthropic y OpenAI, impulsadas por la regulación de la UE, también empezaron una tras otra a poner marcas de agua en sus textos.

Sin embargo, cuesta insertarla en textos cortos o con respuesta fija, se debilita con paráfrasis y traducciones, y pocos pueden detectarla. Más que una prueba definitiva para identificar textos de IA, conviene entender la marca de agua para LLM como un mecanismo más para que quienes ofrecen IA cumplan con su responsabilidad. Resumimos las diferencias entre las distintas tecnologías en «Comparativa de marcas de agua de IA (watermark)».