Kort svar
C2PA (Coalition for Content Provenance and Authenticity) er en åben standard for et billedes oprindelse. Kameraet eller programmet lægger et signeret manifest ind i filen med oplysninger om, hvordan billedet er lavet og redigeret. Er manifestet til stede og signaturen gyldig, ved du, hvilket værktøj der har lavet filen, og at den ikke er ændret siden. Mangler manifestet, ved du ingenting: de fleste billeder har intet manifest.
Hvorfor EXIF ikke er nok
EXIF-metadata gemmer kameramodel, lukkertid, ISO og ofte GPS. Men EXIF er ubeskyttet tekst i filen. Den kan fjernes, og den kan skrives ind i et billede, der aldrig har været i et kamera. EXIF er derfor et fingerpeg, ikke et bevis.
Hvordan C2PA virker
- 1. Når billedet laves eller gemmes, beregnes en hashværdi af indholdet.
- 2. Oplysningerne om billedet, kaldet et manifest, signeres med et certifikat, der tilhører kamera- eller softwareproducenten.
- 3. Hver redigering i et program, der understøtter C2PA, tilføjer et nyt signeret led, så historikken kan følges.
Ændres billedet uden om C2PA, passer hashværdien ikke længere. Standarden er udgivet af C2PA, som bl.a. Adobe, Microsoft, Google, Sony og BBC står bag. Over for brugerne kaldes den ofte Content Credentials.
Kameraer og AI-værktøjer
Nogle kameraer signerer allerede ved optagelsen, bl.a. Leica M11-P og udvalgte Sony-modeller. Samtidig mærker flere AI-værktøjer deres billeder med C2PA, typisk med kildetypen `trainedAlgorithmicMedia`, som betyder, at billedet er lavet af en AI-model.
Hvad C2PA ikke kan
- Det kan fjernes. Uploades et billede til en platform eller sendes i en beskedapp, forsvinder manifestet ofte. Et billede uden C2PA er derfor ikke mistænkeligt i sig selv.
- Det beviser ikke, at motivet er sandt, kun hvordan filen er lavet.
- Det kræver, at signaturen faktisk kontrolleres mod et certifikat. At filen indeholder C2PA-data, er ikke det samme som at de er gyldige.
Sådan bruger AISkan C2PA
AISkan læser C2PA-data i uploadede billeder. Angiver de, at billedet er AI-genereret, tæller det som et stærkt AI-spor. AISkan kontrollerer i dag ikke selve signaturen, så C2PA-data alene gør ikke et billede "bekræftet ægte". Et billede med troværdige kameradata og et kamerapreview, der matcher billedet, kan få en lav score; mangler sporene, vurderes billedet visuelt, og resultatet er oftere "uafklaret" end "ægte". Se Sådan virker det.
EU's AI-forordning
EU's AI-forordning kræver, at udbydere af generativ AI gør syntetisk indhold genkendeligt, og gennemsigtighedskravene i artikel 50 gælder fra august 2026. C2PA er en af de måder, det kan gøres på.