LLMウォーターマークとは？AI文章の電子透かし（watermark）の仕組み・方式・各社の対応

AIが書いた文章は、どうすれば見分けられるのでしょうか。文章の特徴から推定するAI判定ツールは、言い換えだけで簡単にすり抜けられることが研究で示されています。そこで注目されているのが、AIが文章を作る段階で見えない印を入れておくLLMウォーターマーク（LLM watermarking）です。Googleが2024年にGeminiで使い始めたのに続き、2026年にはAnthropicとOpenAIも自社のAIの文章に透かしを入れ始め、規制の面でも求められるようになりました。この記事では、LLMウォーターマークの仕組み、主な方式、限界、各社の対応を、論文と公式情報をもとに2026年10月9日時点で整理します。

LLMウォーターマークとは

LLMウォーターマークは、LLM（大規模言語モデル）が生成する文章に、人には気づけない統計的な印を埋め込む技術です。文章に記号や見えない文字を足すのではなく、AIが次の単語を選ぶときの選び方をわずかに偏らせることで印を残します。

LLMは文章を作るとき、次に来る単語（正確にはトークン）の候補に確率を割り当て、その中から1つを選ぶことを繰り返しています。LLMウォーターマークは、この選び方に秘密の鍵にもとづく規則を加えます。鍵を知っている人は、文章を見て「規則に沿った単語が偶然とは思えないほど多い」ことを統計的に確かめられます。

AI判定ツールやC2PAとの違い

AIの文章を見分ける方法には、LLMウォーターマークのほかにも次のようなものがあります。

AI判定ツール：文章の特徴から、あとでAIらしさを推定する。印がなくても使えるが、推定にすぎない。ある研究では、別のAIで言い換えるだけで、判定ツールの1つ（DetectGPT）の検出率が70.3%から4.6%に下がった
C2PA（Content Credentials）：ファイルに署名付きの来歴の情報を付ける。画像や文書のファイルには向くが、コピー＆ペーストされる普通の文章には付けられない

AnthropicもClaudeの出力について、文章には透かし、生成したファイルにはC2PAと使い分けています。C2PAについては「C2PAとは」で解説しています。

主な方式

LLMウォーターマークにはいくつかの系統があります。代表的なものを紹介します。

グリーンリスト方式

2023年にメリーランド大学の研究者らが発表した、代表的な方式です（Kirchenbauerら、ICML 2023）。

直前の単語と鍵から、語彙を「グリーンリスト」と「レッドリスト」に毎回分け直す
グリーンリストの単語が少しだけ選ばれやすくなるよう、スコアに上乗せする
検出するときは、グリーンリストの単語の数を数え、偶然では説明できないほど多いかを統計的に検定する

論文では、200トークンの文章でおよそ98%以上の検出率を示しました。仕組みが分かりやすく、Hugging FaceのTransformersにも実装されています。一方で、単語の選び方を偏らせるため、文章の品質にわずかに影響する可能性があります。

分布を変えない方式

文章の品質への影響をなくすため、AIが本来選ぶ確率そのものは変えずに透かしを入れる方式も研究されています。

Aaronson方式：2022年にOpenAIで研究していた計算機科学者のScott Aaronsonが紹介した方式。鍵から作った乱数で単語の選択を決め、数百トークンで十分な印が得られるとした
頑健な方式：スタンフォード大学の研究者らは、単語の40〜50%がランダムに書き換えられても検出できる方式を示した（Kuditipudiら、2023年）
見分けられない透かし：鍵がなければ、透かし入りの文章と元のAIの文章を区別することが計算上困難であることを理論的に示した研究もある（Christら、2023年）

GoogleのSynthID Textや、OpenAIのtextGrainも、この「品質を保つ」考え方にもとづいています。

そのほかの方式

単語単位ではなく文の意味の単位で透かしを入れて言い換えに強くする方式（SemStampなど）、利用者のIDなどの情報を埋め込む方式、鍵を公開して誰でも検証できるようにする方式なども提案されています。

検出の考え方

LLMウォーターマークの検出には、次のような特徴があります。

鍵が必要：多くの方式では、透かしを入れたときの秘密の鍵がないと検出できません。そのため、検出できるのは基本的に透かしを入れた会社や、鍵を共有された人です。
結果は確率で示される：検出結果は「透かしがある可能性が高い」「ない」「判定できない」といった確率的な判断になります。
ある程度の長さが必要：短い文章では統計的な判断ができません。研究では200トークン前後の文章で評価されることが多く、OpenAIのtextGrainでは、誤判定を1%に抑えた条件で、心理学などの文章の場合、200トークンで約80%、400トークンで約95%の検出率が報告されています。
答えが決まった文章には入りにくい：プログラムのコードや定型文、事実を答える文章のように、次の単語がほぼ1つに決まる場合は、選び方を偏らせる余地が少なく、透かしが弱くなります。

弱点と攻撃

LLMウォーターマークには、研究で知られている弱点があります。

言い換え：別のAIで言い換えると、透かしは大きく弱まります。OpenAIは、単語の25%を同義語に置き換えるとtextGrainの検出率が17%まで下がると公表しています。
翻訳：いったん別の言語で生成させてから翻訳すると、透かしが消えることが示されています。
絵文字攻撃：単語ごとに絵文字を挟むようAIに指示し、あとで絵文字を消すことで透かしを崩す手口も知られています。
なりすまし：透かしの規則を推定し、人が書いた文章に透かしを偽造する攻撃も研究されています。ある研究では、APIへの問い合わせで透かしの規則を推定し、50ドル未満の費用で偽造と除去のどちらも80%を超える成功率を示しました。
オープンなモデル：誰でも動かせるモデルでは、透かしを入れる処理を外せてしまいます。

各社の対応状況

Googleに続き、2026年にはAnthropicとOpenAIも自社のAIの文章に透かしを入れ始めました。

OpenAI：2024年には、翻訳などで回避されやすいことや、英語を母語としない人の利用が不当に疑われるおそれを理由に、文章の透かしの導入に慎重な姿勢を示していました。2026年10月5日に方針を変え、独自の透かし「textGrain」を発表しました。EUのChatGPTとCodexで導入し、APIでは世界中で任意に使えます。詳しくは「textGrainとは」で解説しています。
Google：SynthID Textを開発し、2024年にGeminiで使っていると発表しました。オープンソースとして公開しています。詳しくは「SynthID Textとは」で解説しています。
Anthropic：Claudeが生成する文章に透かしを入れています。2026年8月2日以降に公開したモデルは公開時から対応し、それより前のモデルにもAnthropic自身のサービスでは透かしが入っています。方式はSynthID Textをもとにしたもので、地域ごとに分けて適用する確実な方法がないため、世界共通で適用しています。
Meta：文章の透かしの研究用ツール「TextSeal」をオープンソースで公開しています。

OpenAIとAnthropicの検出器は、いずれも審査を通った研究者や規制当局などに限って提供されており、一般の人が自由に使える状態ではありません。

規制の動き

LLMウォーターマークが広がった大きな理由は、規制です。

EU：AI法の第50条は、文章を含むコンテンツを生成するAIの提供者に、出力を機械で読み取れる形で示し、AIで作られたことを検出できるようにすることを求めています。この規定は2026年8月2日から適用されています。ただし2026年のAI法の改正（デジタル・オムニバス）により、同日より前に市場に出ていたAIシステムに限り、機械で判別できる表示の義務に2026年12月2日までの猶予が設けられています。具体的な方法を示す行動規範には、OpenAI、Google、Anthropic、Meta、Microsoft、Mistralなどが署名しています。
中国：2025年9月1日から、AIで生成したコンテンツへの表示を義務づける規則が施行されています。文章には目に見える表示を付け、ファイルのメタデータには見えない表示を入れることを義務づけています。電子透かしの追加は推奨にとどまります。
日本：総務省と経済産業省の「AI事業者ガイドライン」では、高度なAIを開発する組織に対し、技術的に可能な場合は電子透かしなどを使い、AIが生成したコンテンツを識別できる仕組みを導入するよう求めています（法的な拘束力はありません）。

立場別の注意点

利用者・教育関係者

文章の透かしの検出器は限られた組織にしか公開されていないため、一般の人が手元の文章を確かめることはほぼできません。また、透かしが見つからないことは「人が書いた」証明にはなりません。AI判定ツールの結果も推定にすぎないため、生徒や応募者の文章をAIによるものと決めつける根拠として使うのは避けるべきです。

開発者

オープンなモデルで自社のサービスを作る場合は、次のようなツールで透かしを入れられます。

Hugging Face Transformers：グリーンリスト方式とSynthID Textの両方に対応し、文章の生成時に設定を渡すだけで使える
vLLM：2026年9月のバージョン0.30.0で、透かしの機能（Gumbel-max方式）が標準で入った。サーバーの起動時に方式と鍵を設定する。ただし、温度を0にした生成やビームサーチには透かしが入らない
MarkLLM：多くの方式をまとめて試せる研究用のツールキット

鍵が漏れると透かしを偽造されるため、鍵の管理は慎重に行う必要があります。

まとめ

LLMウォーターマークは、AIが単語を選ぶ過程に見えない印を残し、あとで鍵を使って確かめられるようにする技術です。Googleが2024年にGeminiで使い始めたのに続き、2026年にはEUの規制を背景に、AnthropicとOpenAIも相次いで自社の文章に透かしを入れ始めました。

一方で、短い文章や答えが決まった文章には入りにくく、言い換えや翻訳で弱まり、検出できる人も限られています。LLMウォーターマークは、AIの文章を見分ける決め手ではなく、AIを提供する側が責任を果たすための仕組みの1つとして理解しておくのがよいでしょう。各技術の違いは「AI電子透かし（ウォーターマーク）の比較」でまとめています。