Machine-leesbare markering: hoe computers AI-content herkennen
Stel je een pak melk voor in de supermarkt. Op de verpakking staat een houdbaarheidsdatum die jij met je ogen leest, maar er zit ook een streepjescode op die de kassa automatisch scant. Die code vertelt de computer iets dat voor een mens niet direct zichtbaar is: welk product het is, uit welke fabriek het komt, wanneer het gemaakt is. Machine-leesbare markering werkt volgens hetzelfde principe, maar dan voor digitale bestanden zoals foto's, video's, teksten en audio. Er wordt informatie in of bij het bestand verstopt die software automatisch kan uitlezen, ook als een mens er niets van merkt.
De reden dat dit onderwerp de laatste jaren steeds vaker in het nieuws komt, is de opkomst van kunstmatige intelligentie die overtuigende foto's, video's en teksten kan maken. Een klein 'AI'-label in de hoek van een afbeelding is voor mensen handig, maar zo'n label kan worden weggeknipt, overschreven of simpelweg genegeerd door wie kwaad wil. Machine-leesbare markering probeert dat probleem op te lossen door een signaal te verstoppen dat lastiger te verwijderen is en dat platforms, zoekmachines en detectietools automatisch kunnen herkennen, zelfs nadat een bestand is gedeeld, verkleind of bewerkt.
Wat is het precies?
Er bestaan in de praktijk twee hoofdvormen van machine-leesbare markering, en het is belangrijk ze uit elkaar te houden omdat ze heel verschillend werken.
De eerste vorm is metadata-markering. Metadata is 'data over data': onzichtbare informatie die aan een bestand vastzit, zoals de cameramaker die al jaren de datum en locatie van een foto opslaat. Bij AI-content gaat het om een digitaal, cryptografisch ondertekend label dat vermeldt welk programma het bestand heeft gemaakt of bewerkt, en wanneer. 'Cryptografisch ondertekend' betekent dat er een wiskundige handtekening aan is toegevoegd die aantoont dat het label niet vervalst of stiekem aangepast is. De bekendste standaard hiervoor heet C2PA, de afkorting van Coalition for Content Provenance and Authenticity. Bestanden met zo'n label krijgen vaak een klein pictogram, de zogeheten Content Credentials-badge, waarop je kunt klikken om de herkomstgeschiedenis van het bestand te bekijken.
De tweede vorm is een watermerk dat in de inhoud zelf verwerkt zit, niet in een los metadatablokje ernaast. Bij een afbeelding betekent dit dat de kleurwaarden van individuele pixels op een specifiek, voor het oog onzichtbaar patroon worden aangepast. Bij tekst gaat het om subtiele statistische patronen in de woordkeuze: een taalmodel kiest, telkens als er meerdere vergelijkbare woorden mogelijk zijn, net iets vaker voor een bepaalde subset. Bij audio en video kan een vergelijkbaar patroon in de golfvorm of videoframes verstopt worden. Het grote voordeel van dit soort watermerken is dat ze blijven zitten na een screenshot, een compressie of een formaatwijziging, iets waar metadata juist heel kwetsbaar voor is: knip een schermafbeelding van een foto en de metadata is meteen weg, maar een ingebakken watermerk blijft grotendeels intact.
Beide technieken vullen elkaar aan: metadata is rijk aan informatie (wie, wanneer, met welke tool) maar broos, terwijl een watermerk juist robuust is maar meestal alleen kan aantonen dát iets AI-gegenereerd is, zonder veel extra details.
Wat wil men ermee bereiken?
Het hoofddoel is vertrouwen in digitale content herstellen op het moment dat het steeds moeilijker wordt om met het blote oog een echte foto van een AI-gegenereerde afbeelding te onderscheiden. Nieuwsredacties, factcheckers, sociale platforms en gewone gebruikers willen snel en automatisch kunnen vaststellen of een virale foto of video synthetisch is, zonder daarvoor een forensisch specialist te hoeven inschakelen.
Een tweede doel is het tegengaan van desinformatie en zogeheten deepfakes, video's of audio-opnames waarin iemands gezicht of stem is nagebootst. Wetgevers zoals de Europese Unie zien machine-leesbare markering als een manier om burgers te beschermen zonder generatieve AI helemaal te verbieden: de technologie mag bestaan, zolang duidelijk is wanneer ze gebruikt is.
Daarnaast speelt een praktisch, technisch doel mee: AI-bedrijven trainen hun modellen op enorme hoeveelheden data van het internet. Als AI-gegenereerde content niet herkenbaar is, kan die per ongeluk weer worden gebruikt om nieuwe modellen te trainen, wat op termijn tot kwaliteitsverlies kan leiden, een probleem dat onderzoekers 'model collapse' noemen. Betrouwbare markering helpt om synthetische data uit trainingsverzamelingen te filteren.
Voorbeelden uit de praktijk
C2PA en Content Credentials (vanaf 2021): Adobe, Microsoft, de BBC, Intel, Arm en het bedrijf Truepic bundelden hun eerdere initiatieven tot de Coalition for Content Provenance and Authenticity. Adobe past Content Credentials sindsdien standaard toe op afbeeldingen die met zijn AI-tool Firefly worden gemaakt.
OpenAI en DALL-E 3 / Sora: OpenAI voegde C2PA-metadata toe aan afbeeldingen die via DALL-E 3 in ChatGPT en de API worden gegenereerd, en deed hetzelfde bij lanceringen van zijn videogenerator Sora. OpenAI werd ook lid van de C2PA-stuurgroep.
Google DeepMind's SynthID: Google's onderzoekslab presenteerde SynthID als een onzichtbaar watermerk voor door zijn Imagen-model gegenereerde afbeeldingen. De techniek is later uitgebreid naar tekst (gegenereerd door Gemini-modellen), audio en video (waaronder het Veo-model), en een versie voor tekstwatermerken is door Google als open source vrijgegeven zodat andere ontwikkelaars die kunnen inbouwen.
Meta's 'AI info'-labels: Meta begon met het automatisch labelen van AI-gegenereerde afbeeldingen op Facebook, Instagram en Threads, deels op basis van C2PA-metadata en deels op basis van eigen detectiesignalen, en sloot zich aan bij de C2PA-stuurgroep.
Chinese labelplicht: China voerde landelijke regelgeving in die aanbieders van generatieve AI-diensten verplicht zowel zichtbare labels als machine-leesbare metadata toe te voegen aan door AI gegenereerde teksten, afbeeldingen, audio en video, gehandhaafd door de Cyberspace Administration of China.
Hoe ver is de techniek?
De basistechnologie werkt en wordt inmiddels door grote spelers ingezet, maar van een universele, waterdichte standaard is nog geen sprake. Verschillende bedrijven gebruiken verschillende systemen naast elkaar, en niet elk platform leest of toont de labels van een ander op dezelfde manier.
Een fundamenteel obstakel is robuustheid. Metadata-markering zoals C2PA is relatief makkelijk te verwijderen: een simpele schermafbeelding, het opslaan als nieuw bestandsformaat, of het gebruik van een tool die metadata standaard wist (zoals sommige berichten-apps doen om privacyredenen) is al genoeg om het label kwijt te raken. Ingebakken watermerken zoals SynthID zijn taaier, maar ook niet onfeilbaar: onderzoekers hebben laten zien dat stevige compressie, het opnieuw genereren van een afbeelding op basis van een bestaande, of gerichte aanvallen het watermerk kunnen verzwakken of onherkenbaar maken. Bij tekstwatermerken is het probleem nog groter: iemand die AI-tekst herschrijft, vertaalt of parafraseert met een ander taalmodel, wist het statistische patroon vaak zonder het zelfs maar te beseffen.
Een tweede obstakel is dat markering alleen werkt als de makers van content meewerken. Een kwaadwillende partij die specifiek desinformatie wil verspreiden, gebruikt simpelweg geen tool die watermerken toevoegt, of gebruikt een open source AI-model waarin die functie ontbreekt of handmatig is uitgeschakeld. Machine-leesbare markering helpt dus vooral bij het aantonen van herkomst van content van welwillende, grote aanbieders, en veel minder tegen gerichte misleiding door actoren die de regels toch al willen omzeilen.
Op regelgevend vlak zet vooral de Europese Unie druk via de AI-verordening (AI Act), die aanbieders van AI-systemen verplicht om synthetische audio, beeld, video en tekst herkenbaar te markeren, met een technische norm die nog in ontwikkeling is via Europese standaardisatie-organisaties. De exacte handhavingstermijnen en technische invulling worden gefaseerd uitgewerkt, en het is nog niet volledig duidelijk hoe streng en eenduidig dit in de praktijk zal worden gecontroleerd.
Wie werken eraan?
De C2PA-coalitie vormt het belangrijkste industriebrede platform en telt inmiddels grote namen als Adobe, Microsoft, Google, OpenAI, Meta, Amazon, Sony, Intel, Arm, Truepic en de BBC als leden of stuurgroepdeelnemers. Adobe trekt hierin een voortrekkersrol via zijn Content Authenticity Initiative, het bredere netwerk van bedrijven en organisaties dat aan de basis van C2PA stond.
Google DeepMind ontwikkelt met SynthID een eigen watermerktechniek die inmiddels breed binnen Google's eigen producten wordt toegepast. Academische onderzoeksgroepen, onder meer aan Amerikaanse universiteiten, publiceren daarnaast regelmatig over zowel nieuwe watermerktechnieken (zoals de zogeheten Tree-Ring-methode voor beeldgeneratie) als over manieren om diezelfde watermerken te omzeilen, een voortdurende wisselwerking die het veld vooruit helpt maar ook laat zien hoe kwetsbaar de huidige technieken nog zijn.
Op het gebied van standaardisatie speelt de International Press Telecommunications Council (IPTC), van oudsher de organisatie achter metadatastandaarden voor persfoto's, een verbindende rol tussen journalistiek en de technische specificaties van C2PA. Op regelgevend vlak zijn de Europese Unie, met de AI Act, en China, met zijn nationale labelplicht via de Cyberspace Administration of China, de twee meest concrete voorbeelden van overheden die machine-leesbare markering wettelijk verplicht stellen.