Las marcas de agua de texto IA se borran al parafrasear — y no valen como prueba judicial

¿De qué se trata?

El 20 de julio de 2026, un artículo titulado AI Watermark Evidence Fails Forensic Readiness: An Empirical Evaluation (arXiv:2607.16010) somete a prueba una suposición regulatoria muy repetida. Los gobiernos exigen cada vez más que los textos generados por IA lleven una marca de agua: la Ley de IA europea pide marcados «suficientemente fiables y robustos», y la ley californiana SB 942 exige una divulgación «permanente o extraordinariamente difícil de eliminar». Ambos mandatos descansan sobre la misma premisa nunca verificada: que la detección de una marca de agua produce una prueba lo bastante fiable para un tribunal o para una auditoría de cumplimiento.

El estudio confronta esa premisa directamente con tres esquemas de marca de agua de texto conocidos —KGW, Unigram y SynthID de Google DeepMind— y demuestra que no se sostiene. Una marca de agua que una persona motivada puede eliminar reformulando un párrafo no es un indicador fiable de procedencia, y un detector que se activa con texto humano no sirve como prueba.

Cómo funciona

Una marca de agua de texto sesga la elección de tokens del modelo según un patrón estadísticamente detectable, de modo que un detector posterior puede estimar si un pasaje procede de un modelo marcado. El procedimiento solo funciona si ese patrón sobrevive a la manipulación ordinaria del texto y si el detector casi nunca se activa con contenido escrito realmente por una persona.

El artículo insiste en ambas exigencias. En cuanto a la robustez, los autores realizaron 846 pruebas de parafraseo válidas sobre 15 prompts variados por método. Todos los pasajes KGW y Unigram detectados inicialmente perdieron su marca de agua tras una sola ronda de parafraseo —una tasa de eliminación condicional del 100 %— y SynthID apenas mejora, con un 98,3 %. No hace falta código de ataque: reformular es una operación de edición corriente al alcance de cualquiera. En cuanto a la fiabilidad, las tasas de falsos negativos ya eran altas antes de cualquier manipulación: en torno al 70 % para KGW, 83 % para Unigram y 80 % para SynthID. La configuración de SynthID además marcó como «generado por IA» el 5,4 % de textos de control humanos parafraseados, y presenta una tasa de «paradoja» del 18,6 % en la que incluso el 80 % de sus propias salidas marcadas intactas cae en una zona de incertidumbre en lugar de un veredicto claro.

Para trasladarlo a términos jurídicos, los autores evalúan cada método frente a los cinco factores Daubert que los tribunales estadounidenses usan para ponderar la prueba científica. Ninguno de los tres esquemas satisface más de dos de los cinco. Un análisis teórico-informativo relacionado, Watermark Forensics for Generative Models (arXiv:2607.13003, 14 de julio de 2026), llega a la misma conclusión desde la teoría: los límites de detección simplemente no son lo bastante ajustados para la certeza que exige una sala de justicia.

Por qué importa

La marca de agua se está inscribiendo en la ley como si fuera un mecanismo de procedencia consolidado, y no lo es. Si un detector devuelve un falso negativo la mayor parte del tiempo, la ausencia de marca de agua casi no dice nada: un documento realmente generado por IA puede presentarse como humano mediante un simple parafraseo. Si un detector se activa con texto genuinamente humano en un pequeño porcentaje de los casos, la presencia de una «marca de agua» puede incriminar por error a quien escribió su propio texto. Cualquiera de esos modos de fallo es grave cuando la salida se usa para resolver una demanda por derechos de autor, un caso de integridad académica, una investigación de desinformación electoral o una auditoría de persistencia bajo la Ley de IA.

Esto tiene efectos para quien construye o compra herramientas de procedencia. Un proveedor que afirma «los contenidos generados por IA llevan marca de agua y son detectables» hace una promesa mucho más débil de lo que parece, y una organización que trate la verificación de una marca de agua como un control de cumplimiento puede estar apoyándose en una señal que un ataque de eliminación elemental derriba. El tema conecta con trabajos regulatorios más amplios, como la clasificación de sistemas agénticos de alto riesgo en la Ley de IA europea: una norma solo vale lo que vale el mecanismo técnico que se supone que la aplica.

Defensas

No trate nunca una marca de agua de texto aislada como prueba de origen, en ninguna de las dos direcciones. Un resultado negativo no debe exculpar un documento, y un resultado positivo no debe condenar a una persona; ambos son probabilísticos y se degradan con una edición normal. Donde la procedencia importa de verdad, prefiera una procedencia firmada y ligada criptográficamente, capturada en el momento de la generación (content credentials y manifiestos), antes que una detección estadística a posteriori, y combine varias señales independientes en lugar de fiarse de un solo detector: el marco probatorio Verifiable Provenance and Watermarking (arXiv:2605.21002, mayo de 2026) muestra que solo una combinación calibrada de métodos se acerca al umbral de suficiencia, y únicamente frente a adversarios más débiles. Comunique las salidas del detector con sus tasas medidas de falsos positivos y falsos negativos y una banda de incertidumbre explícita, para que quien decide vea la tasa de error en lugar de una etiqueta cruda «IA / no IA». Asuma que un adversario motivado parafraseará, traducirá o hará pasar el texto por otro modelo, y pruebe su propia cadena contra exactamente esas transformaciones antes de depender de ella. Para los equipos de cumplimiento, exija que toda obligación de marca de agua vaya acompañada de un umbral de robustez y de tasa de error documentado y medido de forma independiente, y lea el estado real del campo —el Survey on LLM Watermarking de julio de 2026 (arXiv:2607.10103) ofrece un buen mapa— en lugar de suponer que la tecnología ya cumple el texto legal escrito a su alrededor.

Estado

Elemento	Detalle
Divulgación	AI Watermark Evidence Fails Forensic Readiness, preprint de arXiv anunciado el 20 de julio de 2026
Naturaleza	Evaluación empírica de la robustez y fiabilidad de las marcas de agua de texto, referida a la admisibilidad jurídica
Esquemas probados	KGW, Unigram, SynthID
Robustez	Eliminación condicional tras un parafraseo: KGW y Unigram 100 %, SynthID 98,3 % (846 pruebas válidas)
Fiabilidad	Falsos negativos de base ~70 % (KGW), ~83 % (Unigram), ~80 % (SynthID); SynthID marca el 5,4 % de controles humanos, tasa de paradoja 18,6 %
Prueba jurídica	Ninguno de los tres métodos satisface más de dos de los cinco factores Daubert
Contexto regulatorio	Pone a prueba los requisitos «fiable y robusto» (Ley de IA) y «permanente o extraordinariamente difícil de eliminar» (SB 942 de California)

Las cifras proceden de un único preprint que mide configuraciones concretas de tres esquemas y no se generalizan a todo despliegue de marcas de agua. Léanse como una señal fuerte de que las marcas de agua de texto aún no son de calidad forense, no como un veredicto definitivo sobre un producto concreto.