Marcas de agua invisibles: qué llevan tus imágenes en 2026

Última actualización: 27 de agosto de 2026

El 24 de agosto un desarrollador publicó el análisis de Watermarker.dll, la biblioteca que carga Microsoft Paint cuando usas sus funciones de imagen con IA. El hallazgo: cada imagen que genera Paint lleva un identificador de 16 bytes que no puedes ver, emitido por un servidor de Microsoft y escrito en aproximadamente tres cuartas partes de los píxeles. El hilo de Hacker News alcanzó 853 puntos y 433 comentarios en un día. Casi toda la cobertura posterior comprimió un detalle en un titular que la investigación no sostiene, y esa corrección importa más que la noticia.

Respuesta rápida: ¿qué se esconde dentro de un archivo de imagen en 2026?

Una marca de agua invisible es una señal codificada en los propios valores de píxel: legible por software e imperceptible para el ojo.

Usa un modelo de dos capas para entenderlo. Una imagen puede llevar esa marca de agua en el dominio del píxel, repartida por los datos de imagen, que sobrevive a recortes, redimensionados y recodificaciones. También puede llevar un manifiesto de metadatos - credenciales de contenido C2PA, EXIF, IPTC, XMP - que no es más que un bloque de bytes pegado al archivo y que casi cualquier exportación destruye.

Paint escribe las dos capas. Las redes sociales eliminan la segunda al subirla. Y una conversión de formato corriente hace lo mismo, sin avisar: pasé la foto de portada de este artículo por cwebp -q 80 y medí el resultado, los 749 bytes de metadatos desaparecieron y quedó un único bloque VP8. La marca de agua de píxel habría hecho ese mismo viaje intacta.

¿Qué metió Microsoft exactamente dentro de una imagen de Paint?

El mecanismo es lo bastante concreto como para contarlo tal cual. Paint envía tu prompt a un servidor de moderación de Microsoft. La respuesta incluye varios campos, uno de ellos watermarkId: un GUID. Paint toma esos 16 bytes, les antepone un byte marcador y les añade una suma de control hasta formar un mensaje de 18 bytes, lo expande a 144 bits y lo escribe en la imagen con un algoritmo de dominio de bloque adaptado al contenido. En una imagen de 512x512 eso toca unos 193.376 de 262.144 píxeles, en torno al 74%.

El mismo GUID se escribe una segunda vez, como metadato. En salida PNG aterriza en el fragmento caBX como manifiesto C2PA firmado, etiquetado como vínculo blando con el nombre de algoritmo com.microsoft.invismark.1. Por eso Paint solo guarda su salida de IA en formatos compatibles con C2PA. BMP queda fuera porque en un BMP no hay dónde poner el manifiesto.

Hay tres detalles de comportamiento fáciles de pasar por alto:

• En Paint, marcar es obligatorio. Si falla, falla la generación entera y no recibes imagen.
• En Fotos corre el mismo mecanismo, pero un fallo solo se registra en el log y la imagen sin marcar se devuelve igualmente.
• En un PC Copilot+ el modelo de difusión corre en local sobre la NPU, y aun así el prompt viaja a Microsoft para recoger el GUID. Generar en local no significa que la operación sea local.

Aquí es donde el periodismo fue más lejos que la evidencia. Varios medios lo enmarcaron como marcas de agua "vinculadas a identificadores de usuario". Lo que muestra la investigación original es un GUID atado a un promptGenerationId, más un campo lastPromptGenerationId que permite correlacionar prompts consecutivos de una sesión. No demuestra una correspondencia entre el GUID y una cuenta de Microsoft. Correlacionar dentro de una sesión no es identificar. La cuestión de privacidad ya pesa bastante sin inflarla, y afinarla es lo que separa un aviso útil de un susto.

¿Por qué de repente a todas las herramientas les importa la procedencia?

Por el calendario. Las obligaciones de transparencia del Reglamento europeo de IA, el artículo 50, son exigibles desde el 2 de agosto de 2026. Quien provee sistemas generativos debe aplicar una marca legible por máquina al contenido sintético y hacerla detectable. Las sanciones llegan a 15 millones de euros o el 3% de la facturación anual mundial. Los sistemas ya en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026.

La norma deja fuera las herramientas que cumplen una función auxiliar de edición y no alteran sustancialmente la entrada. Un quitafondos o un redimensionador entran en esa excepción. Un generador no.

Fíjate en la distancia entre lo que pide la norma y lo que envía Paint. El artículo 50 pide una marca detectable que diga esto lo hizo una máquina. Un identificador por generación emitido por un servidor dice bastante más que eso, y nada en el reglamento exigía esa precisión extra.

¿Qué sobrevive a una subida y qué se pierde?

Esta es la parte que socava todo el proyecto de procedencia, y se puede medir en lugar de teorizar. El borrado de metadatos en las grandes plataformas es prácticamente total. Cuando Instagram, X, LinkedIn, TikTok o Facebook recodifican tu subida, el manifiesto C2PA se va con el EXIF.

Mis propios números, para un archivo: el JPEG de origen pesaba 349.276 bytes y llevaba tres segmentos de metadatos, 190 bytes de EXIF, 470 de XMP y 89 de IPTC. Tras la conversión, el WebP pesaba 127.818 bytes con un solo bloque VP8 y ni rastro de EXIF, XMP o ICC. Nadie me avisó. Si ese archivo hubiera llevado una credencial de contenido, la conversión la habría destruido con el mismo silencio. Cualquier conversor de imágenes o compresor de imágenes se comporta así por defecto: bueno para la privacidad, fatal para la procedencia.

La respuesta del sector se llama Durable Content Credentials: publicar el manifiesto en un registro en la nube para poder reconciliar el archivo aunque la copia incrustada haya desaparecido. Funciona, y también significa que la verificación pasa a depender de que un tercero siga en línea.

¿Dónde sigue fallando la edición de imágenes en 2026?

La procedencia es la discusión nueva. Las quejas viejas no se han movido.

Pelo, pelaje y bordes finos. Una comparativa por lotes anterior de esta casa pasó un set de 240 fotos de producto por tres herramientas, y la vía más rápida aún necesitó retoques manuales de borde en torno al 8% de los fotogramas. El pelo es donde se concentra esa limpieza, y la razón es estructural, no un modelo perezoso. Un píxel de borde es un píxel mezclado: puede contener a la vez un mechón, una sombra y un bloque JPEG, así que un quitafondos devuelve una probabilidad y el umbral decide si conserva el mechón o lo recorta. El síntoma visible es un halo de color tenue que nadie nota hasta que el recorte cae sobre una diapositiva clara.

Escaladores que se inventan cosas. El modo de fallo no es el desenfoque, es la seguridad. Apunta un escalador de imágenes a un original blando y fabricará poros, pestañas, trama de tejido, veta de madera y aristas arquitectónicas que a primera vista cuelan. Las caras se llevan la peor parte, porque los priores faciales son fuertes: los ojos se vuelven más simétricos, una aleta de la nariz cambia de forma, el contorno del labio se afila hasta convertirse en otra boca. Para un álbum familiar es una molestia. Para cualquier imagen que documente la realidad, es un problema.

¿Cómo compruebas qué llevan tus propias imágenes?

No hace falta un laboratorio. Cinco minutos con los archivos que vas a publicar:

1. Abre el archivo en cualquier visor EXIF, o ejecuta exiftool -G1 -a tuarchivo.jpg, y lee lo que hay de verdad.
2. Busca específicamente coordenadas GPS. Las fotos de móvil las llevan, y la captura del mapa no es la única fuga posible.
3. Si la imagen salió de un generador, mira si se guardó como PNG o JPEG en lugar de BMP. La elección de formato delata que se está escribiendo un manifiesto.
4. Convierte una copia y compara los bytes. Un archivo que encoge más de lo que explican los datos de píxel ha perdido metadatos.
5. Decide a conciencia qué capa quieres conservar y elige la exportación que corresponda.

Una política corta que cubre casi todo:

• Fotos personales: quítalo todo. Una pasada a WebP lo hace gratis.
• Trabajo de cliente o de prensa: conserva crédito y derechos IPTC, elimina el GPS.
• Obra con IA publicada en la UE: conserva el manifiesto y no reexportes con una herramienta que lo tire en silencio.
• Archivo de originales: guarda el archivo intacto y haz la limpieza sobre la copia.
• Si prefieres una marca visible: la guía de marcas de agua cubre posición y opacidad, y la guía para quitarlas explica qué se recupera y qué no.

Preguntas frecuentes

¿Paint pone marca de agua a todas las imágenes que crea?

Solo a las hechas con sus funciones de IA. Una foto que abres, recortas y guardas en Paint no se marca. Cuando Paint genera, marcar es obligatorio: si el paso de marcado falla, descarta la generación en lugar de entregarte un archivo sin marcar. Fotos de Windows usa el mismo mecanismo, pero devuelve la imagen aunque el marcado falle.

¿Redimensionar o convertir una foto elimina una marca de agua invisible?

Elimina la capa de metadatos, no la de píxeles. Convertir JPEG a WebP, o redimensionar para web, tira EXIF, IPTC y cualquier manifiesto C2PA: así desaparece la procedencia en silencio. Una marca en el dominio del píxel está repartida por los propios datos de imagen y suele sobrevivir a redimensionados, recortes y recodificaciones.

¿Cómo sé si una foto la generó una IA?

Con fiabilidad, no se puede, y ninguna comprobación aislada zanja el asunto. Un manifiesto C2PA es prueba sólida cuando está, pero falta en casi todo lo publicado en redes porque la subida lo elimina, así que su ausencia no demuestra nada. Los detectores infieren a partir de artefactos y se equivocan lo bastante como para no servir de prueba.

¿Es legal quitar los metadatos de una foto antes de publicarla?

Con tus propias fotos suele serlo, y es el ajuste sensato antes de publicar imágenes personales, ya que el EXIF puede llevar coordenadas GPS. La restricción real es contractual, no penal: los acuerdos de prensa, banco de imágenes y cliente exigen a menudo mantener intactos los campos IPTC de crédito y derechos, y el Reglamento de IA espera que el contenido generado conserve su marca legible por máquina.

Qué cambiar este mes en tu flujo de trabajo

Tres cosas, por orden de lo que cuestan.

Da por perdidos tus metadatos. Si la procedencia importa en un encargo, el manifiesto incrustado no es la copia en la que confías. Guarda el original y el registro en la nube.

Separa las dos decisiones de borrado. "Quitar datos personales antes de publicar" y "preservar crédito y procedencia" tiran en direcciones opuestas, y un único ajuste de exportación no sirve para las dos. Decide por encargo.

Deja de tratar las marcas invisibles como prueba de nada, en ningún sentido. Que falte una marca no significa que la imagen sea real, y que esté solo prueba qué herramienta la escribió. Si quieres entender qué hace de verdad un modelo de segmentación con tus píxeles antes de discutir qué le estampó encima, la explicación de U2-Net es la versión honesta.

La historia de Paint no va realmente de Paint. Es el primer caso leído masivamente de herramientas de imagen escribiendo en tus archivos datos que no pediste, no puedes ver y nadie te contó. Ese patrón se va a repetir, y la única defensa duradera es saber mirar.