Marca d'água de texto gerado por IA não resiste a paráfrase e falha em critérios legais de admissibilidade forense

Reguladores como a União Europeia (AI Act) e a Califórnia (SB 942) já exigem que conteúdo gerado por LLM carregue marcações 'suficientemente confiáveis e robustas' ou 'extraordinariamente difíceis de remover'. Ambos os mandatos partem de um pressuposto nunca antes testado diretamente: que a detecção de watermark produz evidência confiável o bastante para sustentar decisões em tribunal. Este é o primeiro estudo a testar esse pressuposto de forma sistemática.

Os autores avaliam três métodos representativos de watermarking de LLM — KGW, Unigram, e a implementação MarkLLM do SynthID-Text — contra os critérios de admissibilidade Daubert usados em cortes dos EUA e o processo forense digital NIST SP 800-86, usando um framework próprio chamado Forensic Readiness Score (FRS), com 12 critérios, três portões obrigatórios e pontuação de até 60 pontos. O vetor de ataque escolhido foi a paráfrase que preserva o significado do texto, selecionado deliberadamente por ser legalmente realista e difícil de descartar como adulteração de evidência em um processo judicial.

Os resultados são contundentes: em 846 execuções válidas de paráfrase sobre 15 prompts distintos por método, todo texto do KGW e do Unigram inicialmente detectado como marcado perdeu completamente a marca d'água após a paráfrase — 100% de remoção condicional. O SynthID teve desempenho apenas ligeiramente melhor, com 98,3% de remoção. Mesmo antes de qualquer ataque, as taxas de falso negativo já eram altas (70% para KGW, 83% para Unigram, 80% para SynthID), e a configuração do SynthID ainda classificou 5,4% de textos escritos por humanos e depois parafraseados como gerados por IA, com 18,6% de taxa de 'paradoxo' — casos em que a própria saída pristina e marcada do sistema cai na zona de incerteza. Nenhum dos três métodos atendeu a mais de dois dos cinco fatores Daubert de admissibilidade.

Há uma lacuna prática relevante entre a exigência regulatória de marcas d'água 'robustas' e o estado real da técnica: se uma paráfrase trivial e barata remove a marca com quase certeza, o watermarking hoje não pode sustentar sozinho decisões legais, de moderação de conteúdo ou de responsabilização que dependam de atribuir um texto a um LLM específico. Isso interessa tanto a quem constrói sistemas de detecção de conteúdo sintético para combater desinformação e fraude, quanto a quem, na prática, já depende dessa detecção como um controle de segurança — um controle que este estudo mostra ser, no estado atual, facilmente evadido.