O que é marca d'água em LLM (LLM watermarking)? Como funciona, métodos e adoção pelas empresas

Como identificar um texto escrito por IA? Pesquisas mostram que as ferramentas detectoras de IA, que estimam a autoria a partir das características do texto, podem ser facilmente enganadas com uma simples paráfrase. Por isso, vem ganhando atenção a marca d'água em LLM (LLM watermarking), que insere uma marca invisível já no momento em que a IA gera o texto. Depois que o Google começou a usá-la no Gemini em 2024, a Anthropic e a OpenAI também passaram, em 2026, a inserir marcas d'água nos textos das suas IAs, e a tecnologia passou a ser exigida também por regulamentações. Este guia explica como a marca d'água em LLM funciona, os principais métodos, os limites e a adoção pelas empresas, com base em artigos científicos e informações oficiais de 9 de outubro de 2026.

O que é a marca d'água em LLM

A marca d'água em LLM é uma tecnologia que incorpora uma marca estatística, imperceptível para pessoas, nos textos gerados por um LLM (modelo de linguagem de grande escala). Em vez de acrescentar símbolos ou caracteres invisíveis ao texto, ela deixa a marca enviesando levemente a maneira como a IA escolhe a próxima palavra.

Ao gerar um texto, um LLM atribui probabilidades aos candidatos para a próxima palavra (mais precisamente, o próximo token) e escolhe um deles, repetidamente. A marca d'água em LLM acrescenta a essa escolha uma regra baseada em uma chave secreta. Quem conhece a chave consegue confirmar estatisticamente, olhando o texto, que "há palavras que seguem a regra em quantidade grande demais para ser coincidência".

Diferença em relação às ferramentas detectoras de IA e ao C2PA

Além da marca d'água em LLM, existem outras formas de identificar textos de IA, como as seguintes.

Ferramentas detectoras de IA: estimam depois, a partir das características do texto, o quanto ele parece ter sido escrito por IA. Funcionam mesmo sem marca, mas são apenas estimativas. Em um estudo, uma simples paráfrase feita com outra IA reduziu a taxa de detecção de uma dessas ferramentas (o DetectGPT) de 70,3% para 4,6%
C2PA (Content Credentials): anexa ao arquivo informações de procedência assinadas. Serve para arquivos de imagens e documentos, mas não pode ser anexado a textos comuns que são copiados e colados

A Anthropic também separa os usos para os resultados do Claude: marca d'água para textos e C2PA para os arquivos gerados. O C2PA é explicado em "O que é C2PA".

Principais métodos

Há várias linhas de métodos de marca d'água em LLM. Veja os mais representativos.

Método da lista verde

É um método representativo, publicado em 2023 por pesquisadores da Universidade de Maryland (Kirchenbauer et al., ICML 2023).

A cada passo, o vocabulário é redividido em uma "lista verde" e uma "lista vermelha" a partir da palavra anterior e da chave
Um pequeno acréscimo é somado à pontuação das palavras da lista verde, para que elas tenham uma chance um pouco maior de serem escolhidas
Na detecção, conta-se o número de palavras da lista verde e faz-se um teste estatístico para ver se ele é alto demais para ser explicado por acaso

O artigo mostrou taxas de detecção de cerca de 98% ou mais em textos de 200 tokens. O mecanismo é fácil de entender e também está implementado no Transformers, da Hugging Face. Por outro lado, como enviesa a escolha das palavras, pode afetar levemente a qualidade do texto.

Métodos que não alteram a distribuição

Para eliminar o impacto na qualidade do texto, também são pesquisados métodos que inserem a marca d'água sem alterar as probabilidades com que a IA escolheria cada palavra.

Método de Aaronson: apresentado em 2022 pelo cientista da computação Scott Aaronson, que então pesquisava na OpenAI. A escolha das palavras é decidida por números aleatórios gerados a partir da chave, e algumas centenas de tokens bastariam para obter uma marca suficiente
Métodos robustos: pesquisadores da Universidade Stanford mostraram um método que permite a detecção mesmo quando 40% a 50% das palavras são reescritas aleatoriamente (Kuditipudi et al., 2023)
Marcas d'água indistinguíveis: há também um estudo que mostrou teoricamente que, sem a chave, é computacionalmente difícil distinguir um texto com marca d'água do texto original da IA (Christ et al., 2023)

O SynthID Text, do Google, e o textGrain, da OpenAI, também se baseiam nessa ideia de "preservar a qualidade".

Outros métodos

Também foram propostos métodos que inserem a marca d'água na unidade de significado da frase, e não na de palavra, para resistir a paráfrases (como o SemStamp), métodos que incorporam informações como o ID do usuário e métodos que publicam a chave para que qualquer pessoa possa verificar.

Lógica da detecção

A detecção de marcas d'água em LLM tem as seguintes características.

Exige a chave: na maioria dos métodos, não é possível detectar sem a chave secreta usada para inserir a marca d'água. Por isso, em geral, só a empresa que inseriu a marca d'água ou quem recebeu a chave pode detectá-la.
O resultado é probabilístico: o resultado da detecção é uma avaliação probabilística, como "provavelmente tem marca d'água", "não tem" ou "inconclusivo".
Exige um certo tamanho: em textos curtos, não é possível fazer uma avaliação estatística. Nas pesquisas, a avaliação costuma ser feita com textos de cerca de 200 tokens. No caso do textGrain, da OpenAI, com a taxa de falso positivo limitada a 1%, foram relatadas taxas de detecção de cerca de 80% com 200 tokens e cerca de 95% com 400 tokens em textos de áreas como psicologia.
Difícil de inserir em textos com resposta definida: em código de programação, textos padronizados e respostas factuais, em que a próxima palavra é praticamente determinada, há pouca margem para enviesar a escolha, e a marca d'água fica mais fraca.

Pontos fracos e ataques

A marca d'água em LLM tem pontos fracos conhecidos pelas pesquisas.

Paráfrase: parafrasear o texto com outra IA enfraquece muito a marca d'água. A OpenAI divulgou que substituir 25% das palavras por sinônimos reduz a taxa de detecção do textGrain para 17%.
Tradução: foi demonstrado que gerar o texto primeiro em outro idioma e depois traduzi-lo faz a marca d'água desaparecer.
Ataque com emojis: também é conhecida a tática de instruir a IA a inserir um emoji entre cada palavra e depois apagar os emojis, desfazendo a marca d'água.
Falsificação (spoofing): também são pesquisados ataques que estimam a regra da marca d'água e falsificam a marca em textos escritos por pessoas. Em um estudo, a regra foi estimada por meio de consultas à API, e tanto a falsificação quanto a remoção tiveram taxa de sucesso acima de 80%, a um custo de menos de 50 dólares.
Modelos abertos: em modelos que qualquer pessoa pode executar, é possível remover o processamento que insere a marca d'água.

Situação de adoção pelas empresas

Depois do Google, a Anthropic e a OpenAI também começaram, em 2026, a inserir marcas d'água nos textos das suas IAs.

OpenAI: em 2024, mostrava cautela em adotar marcas d'água em textos, citando a facilidade de contorná-las com tradução, entre outros meios, e o risco de que o uso por pessoas que não têm o inglês como língua materna fosse injustamente posto sob suspeita. Em 5 de outubro de 2026, mudou de posição e anunciou sua própria marca d'água, o "textGrain". Ela é adotada no ChatGPT e no Codex na UE e, na API, pode ser usada opcionalmente no mundo todo. Os detalhes estão em "O que é textGrain".
Google: desenvolveu o SynthID Text e anunciou em 2024 que o usava no Gemini. Ele está disponível como código aberto. Os detalhes estão em "O que é SynthID Text".
Anthropic: insere uma marca d'água nos textos gerados pelo Claude. Os modelos lançados a partir de 2 de agosto de 2026 já oferecem esse recurso desde o lançamento, e os modelos anteriores também recebem a marca d'água nos próprios serviços da Anthropic. O método é baseado no SynthID Text e, como não há uma forma confiável de aplicá-lo separadamente por região, é aplicado igualmente no mundo todo.
Meta: disponibilizou como código aberto o "TextSeal", uma ferramenta de pesquisa para marcas d'água em textos.

Os detectores da OpenAI e da Anthropic são oferecidos apenas a pesquisadores aprovados em avaliação, órgãos reguladores e entidades semelhantes, e não estão disponíveis para uso livre pelo público em geral.

Movimentos regulatórios

Um grande motivo da difusão da marca d'água em LLM é a regulamentação.

UE: o artigo 50 da Lei de IA exige que os fornecedores de IA que geram conteúdos, incluindo textos, indiquem seus resultados em formato legível por máquina, de modo que seja possível detectar que foram criados por IA. Essa disposição se aplica desde 2 de agosto de 2026. No entanto, a alteração da Lei de IA aprovada em 2026 (o Digital Omnibus) concedeu um prazo de carência até 2 de dezembro de 2026 para a obrigação de marcação identificável por máquina apenas aos sistemas de IA já colocados no mercado antes dessa data. O código de conduta que indica os métodos concretos foi assinado por OpenAI, Google, Anthropic, Meta, Microsoft, Mistral e outras empresas.
China: desde 1º de setembro de 2025, está em vigor uma norma que obriga a identificar conteúdos gerados por IA. Ela exige uma indicação visível nos textos e uma indicação invisível nos metadados dos arquivos. O acréscimo de marcas d'água digitais é apenas recomendado.
Japão: as "Diretrizes de IA para Empresas (AI Guidelines for Business)" do Ministério de Assuntos Internos e Comunicações (MIC) e do Ministério da Economia, Comércio e Indústria (METI) pedem que as organizações que desenvolvem IA avançada adotem, quando tecnicamente possível, mecanismos que permitam identificar conteúdos gerados por IA, como marcas d'água digitais (sem força jurídica vinculante).

Cuidados para cada perfil

Usuários e profissionais da educação

Como os detectores de marca d'água em textos estão disponíveis apenas para organizações restritas, o público em geral praticamente não consegue verificar os textos que tem em mãos. Além disso, não encontrar a marca d'água não prova que o texto "foi escrito por uma pessoa". Como os resultados das ferramentas detectoras de IA também são apenas estimativas, deve-se evitar usá-los como base para concluir que textos de alunos ou candidatos foram escritos por IA.

Desenvolvedores

Ao criar seus próprios serviços com modelos abertos, é possível inserir marcas d'água com ferramentas como as seguintes.

Hugging Face Transformers: suporta tanto o método da lista verde quanto o SynthID Text, e basta passar a configuração na hora de gerar o texto
vLLM: na versão 0.30.0, de setembro de 2026, passou a incluir nativamente um recurso de marca d'água (método Gumbel-max). O método e a chave são definidos ao iniciar o servidor. Porém, gerações com temperatura 0 e beam search não recebem a marca d'água
MarkLLM: um kit de ferramentas de pesquisa que permite testar vários métodos em um só lugar

Se a chave vazar, a marca d'água pode ser falsificada, por isso a chave precisa ser gerenciada com cuidado.

Resumo

A marca d'água em LLM é uma tecnologia que deixa uma marca invisível no processo em que a IA escolhe as palavras, permitindo verificá-la depois com uma chave. Depois que o Google começou a usá-la no Gemini em 2024, a Anthropic e a OpenAI, em 2026, impulsionadas pela regulamentação da UE, também passaram uma após a outra a inserir marcas d'água nos seus textos.

Por outro lado, ela é difícil de inserir em textos curtos ou com resposta definida, enfraquece com paráfrases e traduções, e poucas pessoas podem detectá-la. O melhor é entender a marca d'água em LLM não como uma prova definitiva para identificar textos de IA, mas como um dos mecanismos para que quem oferece a IA cumpra suas responsabilidades. As diferenças entre as tecnologias estão reunidas em "Comparação de marcas d'água digitais (watermarks) de IA".