Claudes KI-Markierung fällt weg, wenn man eine Einstellung ändert

Eine Routineeinstellung

Nehmen wir einen Fall an. Ein Start-up verkauft Händlern unter eigener Marke einen Assistenten, der Antworten auf Kundenbewertungen formuliert. Er läuft auf Claude Sonnet 4.6. Der Entwickler hat die Temperatur gesenkt, eine gängige Einstellung, damit die Antworten von Tag zu Tag gleichmäßig bleiben. Von Europa steht nirgends etwas in seinem Code.

Laut einer E-Mail, die Anthropic gerade an die Kunden seiner API geschickt hat, genügt diese Einstellung dennoch, um diese Texte um die unsichtbare Markierung zu bringen, die der AI Act verlangt. Das Fachportal The Decoder, dem die Mail vorliegt, zitiert die Vorgabe: Wer für die eigene Konformität auf das Wasserzeichen setzt, soll diese Einstellungen auf ihrem Standardwert belassen.

Der Satz ist kurz. Er sagt viel darüber, wie sich die europäische Pflicht verteilt.

Was Anthropic angekündigt hat

Laut The Decoder weitet Anthropic sein Text-Wasserzeichen auf vier ältere Modelle aus: Claude Mythos 5, Opus 4.7, Opus 4.6 und Sonnet 4.6. Neuere Modelle tragen es bereits.

Die Bedingung betrifft nur zwei Modelle. Bei Opus 4.6 und Sonnet 4.6 würde die Markierung nur greifen, wenn die drei Parameter temperature, top_p und top_k auf ihrem Standardwert bleiben. Schon eine einzige Änderung genügt, um sie zu umgehen, fasst das Portal zusammen.

Diesen Vorbehalt findet man sonst nirgends. Weder die Hilfeseite von Anthropic zur Kennzeichnung noch der Blogbeitrag, der das Wasserzeichen erklärt, noch die API-Dokumentation erwähnen ihn. Am 1. November hakt die Hilfeseite für diese vier Modelle zudem noch kein Text-Wasserzeichen ab: Die Ankündigung kommt vor der Freischaltung.

Zum Prinzip haben wir bei der Ankündigung im August berichtet: eine statistische Signatur, in die Wortwahl eingewoben, unsichtbar, auf Modellebene und weltweit angewendet. Der Kunde kann sie nicht abschalten, so The Decoder. Es sei denn, wie sich zeigt, über einen Umweg.

Drei Regler für den Zufall

Ein Modell schreibt Wort für Wort. In jedem Schritt zieht es das nächste aus mehreren plausiblen Kandidaten. Die Temperatur dosiert den Zufall dieser Ziehung; top_p und top_k legen fest, wie groß der Hut ist, aus dem gezogen wird. Anthropic erklärt, sein Wasserzeichen ändere nur die Quelle dieses Zufalls: statt eines gewöhnlichen Würfels ein geheimer Schlüssel.

Warum eine Änderung die Markierung bei diesen beiden Modellen kappt, sagt das Unternehmen nicht. Seine Dokumentation zeigt aber, dass sich die Frage nur dort stellen kann. Bei Mythos 5, Opus 4.7 und allen Nachfolgern führt ein Wert abseits des Standards zu einem Fehler: Am Würfel lässt sich nicht mehr drehen. Opus 4.6 und Sonnet 4.6 sind in der Einführungsliste die beiden einzigen, bei denen der Regler noch beweglich ist.

Und er verschwindet gerade. Die neue API-Version mit der Bezeichnung 2026-10-21 streicht die drei Parameter bei allen Modellen. Anthropic beschreibt dort genau den Fall unseres Start-ups: Bei Sonnet 4.6 verliert eine Anfrage, die die Temperatur für gleichmäßigere Ausgaben senkte, diese Wirkung, und nichts ersetzt sie.

Wer daran hängt, kann die alte Version behalten. Die Lücke besteht also nur bei Integrationen, die zurückgeblieben sind. Das Zeitfenster ist eng, aber nicht leer.

Zwei Stockwerke der Pflicht

Hier kommt der AI Act ins Spiel. Sein Artikel 50 verpflichtet die Anbieter generativer KI-Systeme, ihre Inhalte maschinenlesbar zu markieren.

Die Europäische Kommission erinnert jedoch daran, wer Anbieter ist: wer ein System unter eigenem Namen in Verkehr bringt, ob in der Union ansässig oder nicht. Das Start-up, das einen auf Claude gebauten Assistenten verkauft, ist damit nicht nur Kunde. Nach dieser Definition erfüllt es alle Merkmale des Anbieters seines eigenen Systems.

Anthropic sagt es auf seine Weise. Die Hilfeseite fordert alle, die Claude in ihre Produkte einbauen, auf, selbst zu prüfen, was Artikel 50 von ihnen verlangt. Und die Vorgabe der Mail spricht von deren Konformität, nicht von der Konformität von Anthropic.

Die Kommission hatte diese Arbeitsteilung übrigens vorgesehen. In ihren häufig gestellten Fragen nennt sie Techniken, mit denen ein Modellanbieter den nachgelagerten Anbietern von Systemen die Konformität erleichtern kann. Für seine Kunden spielt das Wasserzeichen von Anthropic diese Rolle: eine Leistung für das Stockwerk darunter, die nur etwas wert ist, solange das Stockwerk darunter sie nicht abklemmt.

Das Haus hat also zwei Stockwerke. Der Eigentümer baut die Alarmanlage in die Wände, und der Mieter erfährt per Post, dass ein Schalter in seiner Küche sie ausschaltet.

Der Zeitplan

The Decoder schreibt, Anthropic berufe sich für seinen Zeitplan auf die Dezember-Frist des AI Act. Das Datum nennt die Kommission: Artikel 50 gilt seit dem 2. August, und Systeme, die vor diesem Datum in Verkehr kamen, haben für die Kennzeichnungspflicht, und nur für sie, bis zum 2. Dezember 2026 Zeit. Unsere Analyse zur Frist vom 2. August führte diese Schonfrist auf den Digital-Omnibus zurück, die Verordnung 2026/1744, die am 24. Juli im Amtsblatt erschien.

Ein System, das nach dem 2. August startet, hat dagegen keine Frist. Für unser Start-up zählt also das Datum, an dem es seinen Assistenten in den Verkauf gebracht hat, ebenso viel wie das Modell, das es nutzt. Die vorgesehenen Bußgelder reichen bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes.

Was wir nicht wissen

Einiges bleibt offen. Zunächst der genaue Wortlaut der E-Mail: Wir kennen sie nur über The Decoder. Dann die Frage, wie eine Aufsichtsbehörde den Fall eines Integrators beurteilen würde, der seine Temperatur eingestellt hat, ohne zu wissen, was das abschaltet. Keine hat sich geäußert, und wir entscheiden hier keine Rechtsfrage, die noch niemand entschieden hat.

Selbst nachprüfen ist ebenfalls nicht einfach. Anthropics Erkennungswerkzeug befindet sich in einer privaten Vorschau. Es steht Regulierungsbehörden, Medien und Forschenden offen, auf Anfrage auch Unternehmen, die die Markierung für ihre eigene Konformität prüfen müssen.

Bei OpenAI ist die Philosophie umgekehrt. Laut The Decoder ist das Wasserzeichen textGrain für europäische Nutzer in ChatGPT und Codex standardmäßig aktiv, in der API aber abgeschaltet, solange der Kunde es nicht einschaltet. Anthropic erzwingt die Markierung und lässt sie per Einstellung erlöschen; OpenAI bietet sie in der API ausgeschaltet an. In beiden Fällen landet der Schalter beim Kunden.

Ähnliches haben wir bei der Kennung, die Microsoft in die Bilder von Paint schreibt, gesehen: Jeder Anbieter erfindet seine eigene Art zu markieren. Die Verordnung dagegen sagt, wer geradesteht.

Eine Vorgabe in der Mail

Am auffälligsten ist die Form. Eine Bedingung für die Konformität mit EU-Recht kommt in einer Ankündigungs-Mail an, und nirgends in der Dokumentation, die ein Entwickler beim Programmieren aufschlägt.

Für das Team, das seine Temperatur vor Monaten eingestellt hat, hat sich auf dem Bildschirm nichts geändert. Seine Antworten gehen raus, gleichmäßig wie zuvor. Genau das fehlt: ein Hinweis darauf, dass die Markierung bei zwei Modellen an der Garderobe geblieben ist.