O Mandato de Marca D'Água Que o Texto Não Consegue Carregar

As obrigações de marcação de texto do AI Act europeu passam a ser exigíveis neste mês para sistemas novos, com prazo até dezembro para sistemas já em operação. A obrigação pede dos fornecedores marcação legível por máquina em texto gerado por IA. Sean Goedecke, staff engineer no GitHub, publicou em 2026 um argumento de que o controle exigido não sobrevive ao encontro com a exigência que o define.

A afirmação técnica dele é estreita e verificável. A leitura regulatória em volta escapa da especialidade dele, e ele diz isso: apoia a interpretação jurídica no Considerando 133 e no Código de Práticas, em vez do texto literal do Artigo 50. Trate a fronteira jurídica como contestada. A fronteira de engenharia já está resolvida.

O orçamento para esconder tem a largura de um token

Uma marca d’água precisa morar em algum lugar do artefato. Numa imagem, mora em valores de pixel abaixo do limiar do olho. No áudio, em faixas de frequência que o ouvido descarta. Os dois formatos carregam redundância enorme, que é exatamente o espaço de que um sinal precisa.

Texto oferece quase nada disso. A cada passo de geração, o modelo escolhe um token de um vocabulário de aproximadamente 100 mil. Essa escolha é todo o orçamento disponível para esconder qualquer coisa. Todo o resto da saída é consequência dessa escolha e das anteriores.

O mecanismo que Goedecke descreve para um esquema no estilo SynthID opera dentro desse orçamento. Some o ID do token com os IDs dos três tokens anteriores, tire o resultado módulo 5, e você tem uma pontuação. Entre os cinco tokens mais prováveis, escolha o de maior pontuação. Ao longo de milhares de tokens, o desvio estatístico fica detectável. Ao longo de um parágrafo, some no ruído.

A restrição que limita todo esquema desse formato aparece de forma direta no texto: “você não pode fazer nenhuma mudança em uma frase que um humano não perceberia”. Qualquer perturbação forte o bastante para sobreviver à edição é forte o bastante para degradar a escrita. Qualquer perturbação fraca o bastante para preservar a escrita se dissolve numa reescrita, numa ida e volta de tradução, ou num segundo modelo instruído a dizer a mesma coisa com as próprias palavras.

A interoperabilidade remove a única defesa

Aqui o mandato se volta contra si mesmo. A regulação pede marcação detectável de forma interoperável, para que uma plataforma, um regulador ou um comprador na ponta consiga verificar procedência sem acordo privado com cada fornecedor de modelo. É um pedido razoável de governança. É também o que mata o controle.

Uma marca d’água estatística é uma chave secreta aplicada a um artefato público. A resistência dela à remoção vem inteiramente de o atacante ignorar quais tokens carregam o sinal. Publique o detector, ou padronize o esquema entre fornecedores para que a detecção seja compartilhável, e a receita de remoção fica pública no mesmo movimento. O que um detector consegue achar, um removedor consegue desfazer.

Marca d’água em imagem tolera isso melhor porque o orçamento de pixels absorve redundância: dá para espalhar o sinal a ponto de removê-lo danificar a imagem. Texto carece de equivalente. Sinal e conteúdo ocupam os mesmos tokens.

A família de homoglifos mostra o mesmo formato num nível mais grosseiro. Substituir um espaço padrão (U+0020) por um espaço três-por-eme (U+2004) ou por um espaço ideográfico CJK (U+3000) planta um marcador invisível de um jeito que qualquer leitor passaria batido. Existe precedente documentado da técnica em produção: o Claude Code usou esteganografia por homoglifo no apóstrofo de “Today’s date” para marcar requisições suspeitas, abordagem depois revertida. Substituição de caractere sobrevive a copiar e colar. Não sobrevive a uma única passagem por um normalizador, e normalização é uma função de três linhas.

O C2PA assina arquivos, e saída de agente não é arquivo

O trabalho de procedência que a maioria das empresas está de fato financiando é o C2PA: manifestos criptográficos ligados a arquivos de mídia, rastreando captura, edições e cadeia de ferramentas. É real, está em produção e deixa de fora a superfície que mais importa para operação de agentes.

Goedecke desenha a fronteira com precisão: “C2PA não substitui marca d’água em texto… A saída de ferramentas de chat (e a maior parte da saída de agentes de IA) não é texto conteinerizado, é texto comum e simples, e portanto não pode ser assinada. Como seria assinar as saídas do ChatGPT? Não existe artefato para passar adiante.”

Repare no que isso deixa de fora. A descrição de pull request que um agente escreveu. O comentário no Jira. A mensagem no Slack. A linha inserida num registro de cliente. O resumo colado num deck de conselho. Nenhum desses é um arquivo com um contêiner para guardar manifesto. Todos são lugares onde a pergunta “um humano escreveu isso, e um humano conferiu?” tem peso operacional real.

Uma empresa pode estar plenamente aderente ao C2PA nos ativos de marketing e ter cobertura zero de procedência no texto que os agentes dela produzem dentro dos próprios sistemas. Essa é a exposição prática, e ela existe independentemente de a obrigação europeia ser ou não aplicada contra alguém.

O que de fato carrega procedência

Se o artefato não consegue carregar o sinal, o sistema em volta precisa carregar. Isso desloca o controle da criptografia para o registro, e registro é um problema resolvido que a maioria dos times ainda deixa de aplicar à saída de agentes.

Procedência defensável tem três propriedades. É gravada no momento da geração, pelo sistema que gerou o texto, em vez de inferida depois a partir do próprio texto. É vinculada a uma identidade, então o registro nomeia qual agente, sob qual tarefa, com autoridade de quem. E viaja com o destino, não com a string: o commit, o ticket, a linha do banco carrega a referência.

Argumentamos o lado do registro em o diário do agente como trilha de auditoria. O lado da divulgação é a mesma disciplina que faz model cards funcionarem como superfície de produto em vez de PDF que ninguém abre. E, na hora de comprar uma plataforma de agentes, isso pertence ao mesmo conjunto de cláusulas de guardrails como variável de aquisição: pergunte ao fornecedor qual registro existe no momento da geração, e onde ele é escrito.

O fornecedor que responde “colocamos marca d’água na saída” está descrevendo um controle que uma paráfrase derruba. O fornecedor que responde “cada geração escreve um evento assinado no seu coletor de logs, com identidade do agente e referência da tarefa” está descrevendo algo que um auditor consegue usar.

Faça isso agora

Pegue um sistema em que agentes escrevem texto num lugar que humanos leem como autoridade. Um corpo de pull request, uma resposta a cliente, um campo de registro. Depois responda duas perguntas com evidência, em vez de intenção.

Primeira: se alguém perguntar daqui a seis meses se um agente escreveu um trecho específico desse texto, qual artefato responde? Se a resposta for “teríamos que adivinhar pelo estilo da escrita”, você não tem procedência nessa superfície, e nenhum esquema de marca d’água no roadmap vai lhe dar uma.

Segunda: essa resposta sobrevive a um copiar e colar? Mova o texto para outro sistema e verifique se o registro acompanha. Se a procedência mora dentro dos caracteres, ela já se foi.

Orçamente o trabalho de conformidade com a obrigação europeia assumindo que a exigência de marcação será cumprida formalmente e derrubada com facilidade. Gaste o esforço real em registros no momento da geração, porque essa é a camada que continua funcionando depois que o texto foi editado, traduzido e colado em algum lugar que ninguém previu.

---

Fontes

• Sean Goedecke. “Text AI watermarks will always be trivial to remove.” 2026.

A Victorino ajuda organizações de engenharia a construir procedência no momento da geração para saída de agentes, para que perguntas de auditoria tenham resposta depois da edição: contato@victorino.com.br | www.victorino.com.br