AI-pixelmetadata verwijderen: wat het doet en waarom AI-afbeeldingen detecteerbaar blijven

De term ‘AI-pixelmetadata’ wordt losjes gebruikt voor twee fundamenteel verschillende dingen, en wie die door elkaar haalt, verklaart daarmee de meeste verwarring rond tools die AI-pixelmetadata verwijderen. De eerste soort is metadata op bestandsniveau: gestructureerde informatie die naast de pixeldata in de bestandscontainer staat, zoals EXIF-velden (aanmaakdatum, softwarenaam, kleurprofiel), IPTC-tags, XMP-annotaties en – bij AI-afbeeldingen van deelnemende platforms – C2PA Content Credentials. C2PA staat voor Coalition for Content Provenance and Authenticity, een industriestandaard die onder meer door Adobe, Microsoft, de BBC en Intel is ontwikkeld. Een C2PA-credential is een cryptografisch ondertekend certificaat in het afbeeldingsbestand dat de verklaring ‘deze afbeelding is door AI gegenereerd’ vastlegt, samen met de modelnaam, het platform en een tijdstempel. Dit is de AI-afbeeldingsmetadata die standaard verwijdertools weghalen, en elke AI-pixelmetadata-remover op de markt kan deze laag aan. De tweede soort is zogenaamde pixelmetadata – helemaal geen metadata in de zin van bestandsstructuur, maar patronen die in de werkelijke pixelwaarden van een generatief model zitten. Elke methode voor AI-beeldgeneratie (GAN’s, diffusiemodellen, autoregressieve modellen) maakt afbeeldingen met kenmerkende statistische eigenschappen die verschillen van foto’s die met een camera zijn gemaakt. Die eigenschappen zitten in de pixeldata zelf. Onzichtbare watermerken zoals SynthID van Google DeepMind gaan nog verder: ze passen tijdens het genereren bewust bepaalde pixelwaarden aan om een detecteerbaar signaal in te bouwen dat JPEG-compressie, bijsnijden en formaatconversie overleeft. Een C2PA-tag verwijderen doet niets met deze eigenschappen op pixelniveau. Daarom mist wie met een AI-pixelmetadata-remover een echt ‘ondetecteerbare AI-afbeelding’ probeert te maken het grotere probleem volledig – de bestandscontainer is het makkelijke deel.

Hoe platforms met AI-afbeeldingsmetadata omgaan, verschilt sterk, en als je weet welk platform wat toevoegt, begrijp je beter waar een verwijdertool eigenlijk op stuit. DALL-E 3 van OpenAI voegt standaard C2PA Content Credentials toe aan elke gegenereerde afbeelding: een ondertekende verklaring dat de afbeelding door een AI-model is gemaakt. Adobe Firefly doet hetzelfde, en in compatibele software verschijnt een klein ‘Content Credentials’-icoon dat naar de herkomstinformatie leidt. Beide platforms hebben zich aangesloten bij het Content Authenticity Initiative, het brancheorgaan dat de invoering van C2PA begeleidt. Midjourney voegt C2PA-metadata niet consequent toe in alle uitvoerformaten en distributiekanalen, al is die praktijk in ontwikkeling. Stable Diffusion en andere opensource-diffusiemodellen maken afbeeldingen zonder ingebedde metadata, tenzij de gebruikte applicatie (zoals DreamStudio of interfaces als Automatic1111) die toevoegt – en de meeste doen dat niet. De Imagen-modellen van Google, beschikbaar via Vertex AI en onderzoeksprogramma’s van Google DeepMind, gebruiken SynthID-watermerken op pixelniveau in plaats van bestandsmetadata. SynthID is vooral opvallend omdat het volledig buiten de bestandscontainer werkt: geen EXIF-editor, screenshot of formaatconverter kan het verwijderen, omdat het helemaal niet in de metadatalaag zit. Commerciële stockfotoplatforms die AI-afbeeldingen aanbieden, pakken het verschillend aan – sommige zetten een vermelding in de metadata, andere vertrouwen op labels op platformniveau en weer andere voegen helemaal geen blijvende metadata toe. In de praktijk betekent dit: als je een AI-afbeelding zonder zichtbare metadata ontvangt, kun je niet concluderen dat die nooit door AI is gemaakt. Ze kan afkomstig zijn van een platform dat nooit metadata toevoegt, of de metadata is al eerder verwijderd.

Tools die worden aangeprezen als AI-metadata-remover of AI-pixelmetadata-remover – of het nu losse programma’s, browsertools of scripts zijn – doen bijna allemaal hetzelfde: ze verwijderen of overschrijven de metadatacontainer van het bestand. Functioneel is dat precies wat privacygerichte metadata-opschoners doen als je gps-coördinaten uit een foto wilt halen voordat je die online zet. De AI-invalshoek is een marketinglaag bovenop een heel gewone bestandsbewerking. De meest gebruikte methoden zijn: afbeeldingen door ExifTool of ImageMagick halen met opties om metadata te strippen, converteren tussen bestandsformaten (PNG naar JPEG of andersom) waarbij de metadata van de bron verloren gaat, opnieuw exporteren vanuit een beeldbewerker zonder ‘metadata behouden’ aan te vinken, een screenshot van de afbeelding maken en die als nieuw bestand opslaan, en online ‘EXIF-removers’ gebruiken die gewoon metadata-strippers zijn met een op AI gerichte interface. Al deze methoden verwijderen echt C2PA Content Credentials, EXIF-velden met AI-toeschrijving en alle andere AI-afbeeldingsmetadata in de bestandscontainer. De pixeldata zelf – elke kleurwaarde in de afbeelding – blijft in wezen ongewijzigd. Een screenshot wordt soms aangeraden als de grondigste methode, omdat het een volledig nieuw bestand zonder overgenomen metadata oplevert. Maar een screenshot legt elke pixel van het origineel vast en geeft die getrouw weer in het nieuwe bestand. De patronen die AI-afbeeldingsdetectors analyseren, zitten niet in de metadatalaag, maar in die pixelwaarden. Een screenshot van een DALL-E-afbeelding bevat alle visuele eigenschappen van die DALL-E-afbeelding. Het nieuwe bestand heeft andere metadata; de afbeelding ziet er hetzelfde uit omdat ze op pixelniveau hetzelfde is. Haal je dit screenshot door een AI-pixelmetadata-remover, dan is het resultaat identiek: de bestandsmetadata is schoon en de pixelinhoud is onveranderd.

Het idee dat een AI-afbeelding zonder metadata een ondetecteerbare AI-afbeelding is, berust op een misverstand over hoe AI-afbeeldingsdetectie werkt. AI-afbeeldingsmetadata is voor detectors een bijkomend signaal – handig als het er is, maar nooit de hoofdbasis van een goed ontworpen detectiesysteem. Een detector die alleen op AI-afbeeldingsmetadata vertrouwt, is niet alleen met verwijdertools makkelijk te omzeilen, maar ook door platforms die überhaupt nooit metadata toevoegen. Wie een serieus systeem bouwt, traint het daarom op visuele inhoud, niet op bestandskenmerken. De echte detectiesignalen zijn eigenschappen van de pixeldata. AI-afbeeldingen – vooral die van diffusiemodellen, die inmiddels de AI-beeldmarkt voor consumenten domineren – hebben consistente visuele kenmerken die camera’s niet produceren. Texturen in AI-afbeeldingen zijn vaak opvallend regelmatig over het hele beeld: huid in portretten ziet er glad uit op een manier die verschilt van gefotografeerde huid, die microscopische variatie toont door poriën, stoppels, talg en lichtverstrooiing. Achtergronden in AI-afbeeldingen vervagen vaak tot een schilderachtige zachtheid of herhalen structurele motieven die op het eerste gezicht kloppen, maar bij nadere inspectie uit elkaar vallen. De belichting in AI-scènes is meestal op een manier globaal consistent die in echte fotografie zelden voorkomt; daar zorgen weerkaatst licht, ambient occlusion en gedeeltelijke schaduwen voor subtiele inconsistenties. Randen in AI-afbeeldingen hebben vaak een kenmerkend scherpteprofiel dat afwijkt van zowel optisch scherpe als optisch zachte cameralenzen. Geen van deze eigenschappen heeft iets te maken met de metadatacontainer van het bestand. De C2PA-tag verwijderen of een DALL-E-afbeelding door een AI-pixelmetadata-remover halen verandert niets aan de texturen, het belichtingsmodel, het randprofiel of de andere visuele eigenschappen die detectie op pixelniveau meet. Een afbeelding zonder enige AI-afbeeldingsmetadata – bijvoorbeeld omdat ze uit een opensourcemodel komt dat nooit metadata schrijft – is nog steeds volledig te analyseren en te herkennen door detectors die met visuele inhoud werken. Wie via metadataverwijdering een ‘ondetecteerbare AI-afbeelding’ wil maken, lost met de verkeerde tools het verkeerde probleem op.

Als je begrijpt welke methoden AI-afbeeldingsdetectors op pixelniveau gebruiken, worden de beperkingen van metadataverwijdering concreet in plaats van abstract. Moderne detectiesystemen combineren meerdere onafhankelijke analysemethoden, zodat andere signalen ondersteunend bewijs leveren als één signaal deels wordt verdoezeld. Neurale classificatiemodellen die zijn getraind op evenwichtige datasets van echte foto’s en AI-afbeeldingen, leren die twee te onderscheiden door combinaties van visuele kenmerken te herkennen – geen enkel kenmerk is doorslaggevend, maar samen leveren ze een waarschijnlijkheidsschatting op. Textuuranalyse onderzoekt hoe oppervlaktedetails over de afbeelding verdeeld zijn en zich herhalen. AI-texturen vertonen een typische overregularisatie: het model vult vlakken met geloofwaardig ogende details, maar die details missen de chaotische microscopische willekeur van echte oppervlakken. Een foto van stof laat onregelmatigheden tot op draadniveau zien die geen enkel huidig diffusiemodel betrouwbaar nabootst. Hetzelfde geldt voor gras, haar, zand en elk oppervlak waar willekeur op microschaal een natuurlijke eigenschap is. Frequentieanalyse zet pixeldata om in frequentiecomponenten en herkent patronen die kenmerkend zijn voor specifieke generatieve architecturen. Diffusiemodellen maken tijdens het ontruisen kenmerkende hoogfrequente artefacten die als subtiele periodieke patronen in de Fourier-transformatie van de afbeelding verschijnen – patronen die het strippen van AI-afbeeldingsmetadata en de meeste formaatconversies overleven, omdat ze inherent zijn aan hoe het model pixelwaarden opbouwt. Analyse van semantische consistentie vindt afbeeldingen waarvan losse delen op zich geloofwaardig zijn, maar die als geheel niet kloppen: handen met anatomisch onmogelijke vingerstanden, sieraden die links en rechts in een portret van ontwerp veranderen, achtergronden met objecten die aan de randen deels met het hoofdonderwerp versmelten. Dit soort inconsistenties is niet uit AI-afbeeldingsmetadata af te lezen – je moet daarvoor de werkelijke beeldinhoud lezen. GAN-specifieke detectors onderzoeken daarnaast spectrale vingerafdrukken – periodieke patronen in de pixelruimte die ontstaan door de upsamplinglagen in GAN-architecturen. Die vingerafdrukken verschillen per GAN-familie en maken het soms mogelijk om niet alleen AI van echt te onderscheiden, maar ook te zien welke modelfamilie de afbeelding heeft gemaakt. Al deze signalen zijn aanwezig, of het bestand nu AI-afbeeldingsmetadata heeft, helemaal geen metadata, of metadata die vóór de analyse met een AI-pixelmetadata-remover is verwijderd.

Screenshots en formaatconversie zijn de twee technieken die in online discussies over ondetecteerbare AI-afbeeldingen het vaakst worden aangeraden. Ze verdienen allebei een nadere blik, omdat hun werkelijke effect afwijkt van wat voorstanders beweren. Als je een screenshot maakt van een AI-afbeelding, leg je een pixelnauwkeurige weergave vast van de afbeelding zoals die op je scherm wordt getoond. Elke pixelwaarde van het origineel komt terug in het screenshot (afgezien van schermschaling en kleurprofielverwerking, die minimale verschillen opleveren die voor detectie niet uitmaken). Het screenshot neemt geen metadata over – het bevat alleen de metadata van de screenshottool, zoals de naam van de app en een tijdstempel. Maar de visuele inhoud is identiek. Detectors die het screenshot analyseren, zien dezelfde textuureigenschappen, frequentiekenmerken en semantische inconsistenties als in het origineel. Over SynthID-watermerken op pixelniveau vermeldt het gepubliceerde onderzoek van Google expliciet dat het watermerk speciaal is ontworpen om screenshots te overleven, en dat de detectienauwkeurigheid hoog blijft na meerdere rondes screenshotten en opnieuw screenshotten. Conversie naar JPEG brengt compressie met verlies met zich mee, die pixelwaarden verandert door via kwantisatie van de discrete cosinustransformatie hoogfrequente informatie te verwijderen. In de praktijk kan dat bij sommige oudere GAN-gebaseerde detectors, die op fijnmazige spectrale vingerafdrukken leunen, de detectiezekerheid iets verlagen – JPEG-compressie verstoort die vingerafdrukken tot op zekere hoogte. Detectie van moderne diffusiemodellen blijft echter grotendeels onaangetast, omdat de gedetecteerde signalen op grovere schaal werken dan JPEG-kwantisatieartefacten. De grovere eigenschappen – regelmatige texturen, het belichtingsmodel en semantische consistentie – worden door compressie niet verwijderd. Onderzoek naar de robuustheid van AI-afbeeldingsdetectie laat steeds weer zien dat agressieve JPEG-hercodering (kwaliteit onder 50%) de detectienauwkeurigheid bij alle modeltypen verslechtert, maar bij die kwaliteitsinstellingen gaat ook de afbeelding zichtbaar achteruit, waardoor ze voor de meeste doeleinden onbruikbaar wordt.

Niet elk gebruik van een AI-pixelmetadata-remover gebeurt met de bedoeling te misleiden. Er zijn verschillende legitieme situaties waarin het verwijderen van AI-afbeeldingsmetadata een routinematige keuze in contentbeheer is, en elke verwijdering als verdacht behandelen gaat te ver. Privacy is een veelvoorkomende legitieme reden: sommige AI-platforms verwerken informatie over referentieafbeeldingen of prompts in de metadata, en als je een persoonlijke foto als referentie hebt gebruikt, wil je die koppeling misschien niet in het gedeelde bestand laten staan. Commerciële gevoeligheid is een andere reden: organisaties die met AI-tools productconcepten of designmateriaal maken, willen in bestanden voor klanten misschien niet laten zien welke platforms ze gebruiken – een gangbare overweging rond operationele beveiliging, geen verhulling van een AI-herkomst die de beslissingen van de ontvanger zou beïnvloeden. Ook test- en onderzoeksdoeleinden leveren legitieme redenen op: om te beoordelen of AI-afbeeldingsdetectors visuele inhoud of metadata meten, moet je ze afbeeldingen zonder metadata aanbieden, en dat is een geldige methode om na te gaan wat detectietools echt doen. Systeemcompatibiliteit kan ook een reden zijn: bepaalde archief-, publicatie- en distributiesystemen gaan inconsistent om met AI-afbeeldingsmetadata, en beginnen met schone metadata zorgt voor consistent gedrag in de hele workflow. Ook creatieve workflows leveren legitieme gevallen op: een kunstenaar die met AI een basisafbeelding maakt en die vervolgens met handmatig overschilderen ingrijpend verandert, kan de oorspronkelijke generatiemetadata redelijkerwijs verwijderen, omdat het eindresultaat een composiet is waarvan de AI-delen niet juist worden beschreven door de metadata van de oorspronkelijke tool. Deze gevallen hebben één ding gemeen: de verwijdering is niet bedoeld om te veranderen wat de ontvanger gelooft over de vraag of de afbeelding door AI is gemaakt, wanneer dat voor zijn beslissing ertoe doet. Of het om privacy of operationele praktijk gaat of om actieve misleiding, hangt af van de context – vooral van de vraag of de AI-herkomst van de afbeelding in die situatie een wezenlijk feit is.

De context waarin een AI-afbeelding wordt gebruikt, bepaalt of het verwijderen van de metadata routine is of problematisch. Als de AI-herkomst van een afbeelding een wezenlijk feit is – een redelijke ontvanger zou dus anders beslissen als hij wist dat de afbeelding door AI is gemaakt – dan gaat het bewust verwijderen van metadata om die herkomst te verhullen de grens over van contentbeheer naar misleiding. Journalistiek en documentaire media zijn het duidelijkste voorbeeld: een AI-afbeelding zonder Content Credentials gebruiken bij een nieuwsartikel, social-mediabericht of rapport alsof het een echte foto is, geeft een verkeerd beeld van het bewijs. Dat geldt ongeacht wat een detectietool vindt. De misleiding zit in de bedoeling en de context, niet in het technische slagen of falen van de verhulling. In de academische wereld speelt hetzelfde probleem: AI-afbeeldingen inleveren bij opdrachten of onderzoekspapers waarvoor eigen fotografie of eigen beeldend werk vereist is, met verwijderde metadata om de kans op ontdekking te verkleinen, geldt onder de meeste instellingsregels als academische fraude – ongeacht of de detector de afbeelding markeert. Bij desinformatie is het patroon uitgebreid gedocumenteerd: AI-afbeeldingen van publieke figuren, rampen en politieke gebeurtenissen gaan rond nadat de metadata is gestript, juist om toeschrijving en factchecking te bemoeilijken. De gebruiksvoorwaarden van de meeste AI-beeldgeneratoren verbieden het gebruik van gegenereerde output om anderen te misleiden over de aard van de inhoud, en metadata verwijderen met dat doel schendt die voorwaarden, los van eventuele juridische risico’s. Voor iedereen die in deze contexten verdachte afbeeldingen beoordeelt – journalisten, docenten, trust-and-safetyteams van platforms – is het ontbreken van metadata geen bewijs van onschuld. Het is een neutrale bevinding die één snel signaal wegneemt, terwijl de analyse op pixelniveau nog moet gebeuren.

Iedereen die moet bepalen of een afbeelding door AI is gemaakt – journalisten, docenten, contentmoderators, onderzoekers of mensen die een afbeelding hebben ontvangen en niet zeker zijn van de herkomst – heeft een werkwijze nodig die er rekening mee houdt dat AI-afbeeldingsmetadata er misschien nooit was, of eerder met een AI-pixelmetadata-remover is verwijderd. Begin met AI-afbeeldingsmetadata als snelle voorcontrole: als er C2PA Content Credentials aanwezig zijn die AI-generatie vermelden, is dat een duidelijke positieve bevinding. Gebruik een tool die C2PA-gegevens kan lezen, niet alleen basale EXIF – de meeste gewone foto-apps tonen geen C2PA-credentials. Is er geen AI-afbeeldingsmetadata, dan is die bevinding neutraal, niet negatief. De volgende stap is altijd een analyse op pixelniveau. Upload de afbeelding naar een AI-afbeeldingsdetector die met visuele inhoud werkt in plaats van met bestandskenmerken. De AI-afbeeldingsdetectie van NotGPT analyseert de pixelstructuur van geüploade afbeeldingen om visuele kenmerken van AI-generatie te herkennen en geeft een waarschijnlijkheidsscore op basis van hoe de afbeelding er werkelijk uitziet, niet op basis van wat de metadata zegt. Dat is de controle die zinvolle resultaten oplevert als metadata ontbreekt of is gestript. Bij afbeeldingen waarvoor een formele vaststelling belangrijk is, is het in professionele factcheckprocessen standaard om resultaten van meerdere detectietools naast elkaar te leggen en de werkwijze vast te leggen – welke tools zijn gebruikt, met welke instellingen en met welke uitkomsten. De uitkomst ‘waarschijnlijk door AI gegenereerd’ uit een pixelanalyse van een afbeelding zonder metadata zegt iets; de uitkomst ‘geen AI-metadata gevonden’ uit een controle die alleen naar metadata kijkt, zegt niets. De twee soorten controles beantwoorden verschillende vragen, en de vraag op pixelniveau blijft geldig, of iemand nu wel of geen AI-pixelmetadata-remover heeft gebruikt.