欧盟 ChatGPT 文本开始带隐形水印：出海内容怎么防误判，怎么别白忙一场

一个做跨境独立站的朋友，上周团队刚把文案流程换成 AI 辅助：先用模型出初稿，编辑再做事实核对和润色，效率翻了一倍多。结果这两天欧洲那边的合作方突然发来一封邮件，问他们交付的英文稿件有没有 AI 生成的成分、能不能提供可核验的标记。他们翻遍后台也找不到开关，只能临时手工补一份说明。

这不是孤例。10 月 5 日，OpenAI 宣布开始在欧盟地区为 ChatGPT 和 Codex 生成的文本加入隐形水印，技术方案名叫 textGrain。这件事表面上只针对欧盟用户，实际上对任何往外输出英文内容、或者给欧洲客户供货的团队都有直接影响。更麻烦的是，很多人对这个水印的想象是错的——要么以为它会像图片水印一样肉眼可见，要么以为它能一锤定音地证明「这是 AI 写的」。这两种理解都会让你在真正需要应对的时候做出错误决策。

下面把这事的边界讲清楚：它加了什么、能检出到什么程度、什么情况下会失效、以及你现在该做什么准备。

先说结论：它加的不是隐藏字符，是选词概率

很多人第一反应是「是不是在文本里塞了不可见空格」。不是。textGrain 的做法是在生成阶段动手：模型每一步挑下一个词的时候，会从一个候选词表里按某种方式排序，然后倾向于选中排在前面的那批词。单个词的变化你完全察觉不到——「重要的」换成「关键的」，读者不会有任何感觉。但当几百个词连起来，就会形成一份统计上的偏移，检测器手里拿着同一份排序规则，就能从文本本身算出这份偏移是否存在。

所以你复制 ChatGPT 的输出粘贴到任何地方，都不会带出额外字符。粘贴到 Word、粘贴到邮件、转 PDF、再 OCR 回来，只要词语没被替换，理论上信号都还在。这一点比常见的「隐藏字符」方案牢固得多。

真正脆弱的地方在别处：这个信号建立在「模型原本可以自由选词」的前提上。一旦有人在中间动刀，把词换掉，统计模式就被打散了。

检出率这条曲线，决定了它不能被当成判决书

OpenAI 公布的数据里，最关键的一条是长度和检出率的关系。在把误报率控制在 1% 的前提下，200 个 token 左右的段落，检出率大约是 80%；到 400 个 token 左右，能到 95% 附近。再往下，题材的影响非常大——数学类内容因为模型本来就没多少选词自由，检出率明显偏低，官方自己的图表里 400 token 的数学段落只有六成上下。

这条曲线说明一件事：短文本基本不可判定。你写一封 80 字的英文邮件、一条产品描述、一段社媒文案，长度远低于 200 token，落在规则里连强制加水印的门槛都够不到。欧盟的透明度规范本身就给了一个明确豁免：少于 200 个 token（大约 150 个英文单词）的输出，以及代码片段，不要求加 C2PA 之外的文本标记。

反过来说，长文才是这套机制真正起作用的场景。一篇两三千词的技术白皮书、一份完整的产品说明书、一封结构化的商务提案，才是会被稳定识别的对象。如果你团队靠 AI 批量生产这类长稿件，就要认真对待。

换掉 10% 的词，命中率从 92% 掉到 66%

这是整份技术报告里最值得记住的一组数字。改动文本对水印的破坏是断崖式的：

• 原样输出：400 token 段落约 92% 到 95% 可检出
• 替换 10% 的词（换成意思相近的同义词）：降到约 66%
• 替换 25% 的词：掉到约 17%

翻译和大幅重写同样会削弱信号。也就是说，一个负责任的编辑流程——拿到 AI 初稿之后重写结构、换成自己的表达、补充一手材料——天然就会把水印冲掉大半。这不是缺陷，某种程度上是设计者承认的现实：水印只能告诉你「这段文本有多少没被动过」，不能告诉你「有多少是人的创造」。

这组数字最有杀伤力的地方在于：OpenAI 自己在文档里写了一句很克制的话——没有检出到水印，并不能证明这是人写的。文本可能太短、被编辑过、被翻译过，或者来自检测器不支持的模型。

记住这句话，能省掉未来很多争执

「检测不到水印 ≠ 人写的，检测到水印 ≠ 没有人类贡献」。

这两句否定句才是 textGrain 的真实边界。它回答的是一个很窄的问题：这段文本里有没有 OpenAI 系统生成或处理过的痕迹。它不回答创作占比、不指认是哪个账号写的、不判定内容是否准确、也不涉及版权归属。

为什么这很重要？因为凡是做内容交付、做招聘、做学术审查的组织，最容易犯的错误就是拿检测结果当判决书。一个学生交上来的作业如果带水印，只能说明它经过某个模型；至于这个学生是把 AI 输出原样抄了，还是拿它做了语法校对，抑或只是用模型润色了自己写的段落，水印一概区分不了。任何以此为依据的处罚，逻辑上都是站不住的。

对企业团队来说，同样的道理适用于供应商管理。如果欧洲客户要求你「证明内容不是 AI 生成的」，请意识到这个要求在技术上就无法被满足——你需要的是流程留痕（版本历史、写作记录、事实核对清单），而不是一个水印检测报告。

语言差异不小：西班牙语 69%，罗马尼亚语 42%

OpenAI 测试了欧盟全部 24 种官方语言。在 1% 误报率的设定下，表现最好的是西班牙语，检出率约 69%；罗马尼亚语只有 42.2%。差距接近一倍。

官方的说法是，对检测效果偏弱的语言可以提高水印强度来补。这意味着同一套系统会针对不同语言有不同的「力度」设置，而这个力度本身会影响生成质量的可感知程度。

对中文团队的直接意义有限——中文不在欧盟官方语言列表里，这一轮部署暂时不涉及中文输出。但间接影响很实在：如果你的英文稿是用 AI 辅助写、然后翻译成 Multilingual 版本交付给欧洲客户，翻译这一道就会大幅削弱信号。别假设「加了水印就一定查得到」，也别假设「查不到就是安全的」。

ChatGPT 侧默认开，API 侧是选配，这个区别很关键

部署分两条线，规则完全不一样：

• 欧盟的 ChatGPT 和 Codex 用户：未来几周内逐步推开，覆盖所有套餐，不止付费档。
• 全球 API 客户：可以选择开启，但默认是关闭的。微软 Azure 等云伙伴渠道也会在几周后提供这个开关。

这个差异是有来由的。Anthropic 在 8 月 2 日就已经对 Claude 的文本做全球水印且不可关闭，当时引发了不小的用户反弹——用户的理由是「提示词是我写的、上下文是我给的、判断是我做的，AI 只是个工具」。OpenAI 显然观察到了这一幕，选择了在 API 侧留一个退出口。

对开发者的实用结论：如果你在做一个面向欧盟、需要合规标记的产品，现在有了一条厂商支持的现成路径，不用自己造一套水印方案。但要注意，因为 textGrain 本质上给生成过程加了一个约束——它在影响选词——所以对措辞极度敏感的场景（法务文书、需要精确术语的技术文档、某些代码生成任务），上线前必须在开启状态下实测一遍再决定是否采用。

检测器不公开，现阶段你能验证到的边界

目前 检测器只对经过申请的研究者和专业机构开放，逐案审批，走的是欧盟行为准则框架。工具只回答「有没有检出 OpenAI 水印」，不会指认用户、不会泄露提示词和会话内容。理由是检测器本身存在误报和漏检，开放给公众容易被滥用。

这个决定可以理解，但也带来一个现实问题：作为内容接收方，你现在拿不到自检工具。如果客户问你要一份 AI 成分报告，你给不出来；如果平台对你的账号做判定，你也没有对称的手段去申诉。

OpenAI 的说法是等结果可靠性提升到「可以被负责任地解读」的程度再扩大开放，没有给时间表。图像和音频侧的验证工具依然是公开的，包括 Content Provenance API，这部分没有被收回去。

现在就该做的四件事

第一，盘一遍你的内容流水线里哪一段会碰到欧盟。 不是看你的公司在哪，而是看你的输出最终被谁读、在什么法域被使用。给欧洲客户供货的外包文案、投放到欧洲市场的英文独立站、在欧盟有业务的品牌社媒账号，都算。

第二，把 AI 参与程度写进交付物。 与其等对方来问，不如主动在交付说明里标注「AI 辅助起草 + 人工事实核对 + 人工终稿」，并附上可追溯的版本记录。这套流程留痕比任何技术标记都更经得起追问，而且不分语言、不会被编辑冲掉。

第三，如果你用 API 且有合规需求，去实测一遍。 在 Azure 或 OpenAI 后台打开水印选项，用你真实的提示词跑一批样例，重点看成品在措辞层面是否有肉眼可见的变化。别等到客户验收当天才发现某些术语被替换了。

第四，别把「过检测」当成工作流目标。 那 25% 同义词替换就能把检出率打到 17% 的现实说明，任何以规避检测为核心的方案都是在把自己往造假的路径上推。真正站得住的做法是：AI 生成的确定性事实由人来核实，关键判断由人来签字，交付时对参与到什么程度保持诚实。

最后一件事值得单独提醒：这套技术在测试评价指标上没有表现出明显损耗，OpenAI 称在多个基准上开关水印的差异处于正常波动范围内，生成速度受影响也很小。也就是说，未来一段时间里，你大概率察觉不到它的存在——但它确实在那儿了。从「不知道」到「知道但要假装不知道」，只差这一篇的距离。