C2PA i Content Credentials
C2PA to otwarty standard zapisu pochodzenia treści cyfrowych w podpisanych metadanych. Wyjaśniamy, jak działa manifest, kto go wdraża i gdzie zawodzi.
Czym jest C2PA i co zawiera Content Credentials
C2PA (Coalition for Content Provenance and Authenticity) to koalicja branżowa i otwarty standard techniczny opisujący, jak zapisać w pliku podpisaną kryptograficznie historię pochodzenia treści: kto ją utworzył, jakim narzędziem i jakie edycje wykonano. Content Credentials to nazwa użytkowa tych metadanych, promowana przez Content Authenticity Initiative od 2019 r.
| Parametr | Wartość · źródło (data dostępu) |
|---|---|
| Rodzaj | otwarty standard metadanych pochodzenia (provenance) z podpisem cyfrowym · specyfikacja C2PA |
| Zastosowanie | aparaty, edytory graficzne, generatory AI, redakcje i platformy — zapis i weryfikacja historii pliku · contentauthenticity.org |
| Ryzyko | metadane znikają po zrzucie ekranu lub konwersji; brak manifestu nie dowodzi autentyczności · c2pa.org |
| Standard / organizacja | C2PA (Adobe, Arm, BBC, Intel, Microsoft, Truepic — założyciele 2021); CAI (Adobe, 2019) · c2pa.org |
| Powiązane | IPTC digitalSourceType (np. „trainedAlgorithmicMedia”), JPEG Trust (ISO/IEC 21617) · IPTC |
| Rok | 2019 — start CAI; 02.2021 — powołanie C2PA; 01.2022 — specyfikacja 1.0; 2024 — wersja 2.x · c2pa.org |
Stan na 08.09.2026. Wpis ma charakter informacyjny i nie zawiera instrukcji użycia narzędzi; to nie jest porada prawna.
Rodzaj
Standard metadanych — manifest z asercjami (kto, co, czym) i podpisem X.509 osadzony w pliku JPEG, PNG, MP4, WAV i innych.
Zastosowanie
Łańcuch pochodzenia — od aparatu lub generatora przez edycje aż do publikacji; weryfikacja w narzędziu Verify lub w przeglądarce.
Ryzyko
Kruchość metadanych — zrzut ekranu, część komunikatorów i konwerterów usuwa manifest; podpis chroni przed podmianą, nie przed usunięciem.
Standard / organizacja
C2PA i CAI — koalicja ponad stu organizacji; wdrożenia w aparatach, edytorach i generatorach obrazów dużych dostawców.
Rok
2021 — powołanie koalicji; 2022 — specyfikacja 1.0; 2026 — art. 50 AI Act uznaje metadane za dopuszczalny sposób oznaczania.
Jak działa manifest C2PA
Podstawową jednostką jest manifest: zbiór asercji (assertions) opisujących plik — narzędzie, czas, rodzaj operacji, źródło (np. „wygenerowane przez AI”), skrót zawartości — połączonych w oświadczenie (claim) i podpisanych certyfikatem X.509 podmiotu, który je złożył (specyfikacja C2PA).
Każda kolejna edycja dodaje nowy manifest, zachowując poprzednie jako „składniki”. Powstaje łańcuch: zdjęcie z aparatu → retusz w edytorze → wygenerowane tło → publikacja. Weryfikator sprawdza podpisy i skróty; jeśli treść zmieniono bez zapisu, weryfikacja to pokaże.
Odbiorca może obejrzeć historię w narzędziu Verify prowadzonym przez Content Authenticity Initiative albo w aplikacji wspierającej standard (contentcredentials.org/verify). Interfejs pokazuje ikonę „CR”, listę edycji i informację o użyciu generatywnej AI, jeżeli narzędzie ją zapisało.
Kto wspiera C2PA i gdzie standard jest wdrożony
Koalicję powołano w lutym 2021 r.; założycielami były Adobe, Arm, BBC, Intel, Microsoft i Truepic, a od tego czasu dołączyło ponad sto organizacji, w tym producenci aparatów, dostawcy modeli generatywnych i platformy społecznościowe (c2pa.org). Google dołączył do komitetu sterującego w 2024 r.
W praktyce Content Credentials zapisują m.in. edytory Adobe, wybrane aparaty Leica, Sony i Nikon oraz generatory obrazów dużych dostawców. Dla treści syntetycznych manifest zawiera asercję o użyciu AI — to najprostszy sposób spełnienia wymogu odczytu maszynowego z art. 50 AI Act, o którym piszemy w haśle AI Act art. 50.
Równolegle rozwijają się standardy pokrewne: słownik IPTC digitalSourceType z wartością dla mediów wytworzonych algorytmicznie (IPTC) oraz JPEG Trust, normalizowany jako ISO/IEC 21617 (jpeg.org). C2PA odwołuje się do obu.
Ograniczenia C2PA w praktyce
Manifest to metadane. Zrzut ekranu, ponowne zapisanie w edytorze bez wsparcia standardu czy przesłanie przez komunikator usuwający metadane niszczy łańcuch. Podpis gwarantuje, że manifestu nie sfałszowano — nie gwarantuje, że manifest w ogóle dotrze do odbiorcy.
Brak Content Credentials nie oznacza, że obraz jest autentyczny lub że nie powstał w AI. Otwarte modele, np. forki Stable Diffusion, domyślnie nie zapisują manifestów, a narzędzia nudify recenzowane przez nas w większości również nie. Dlatego obok metadanych stosuje się znak wodny w pikselach i metody wykrywania deepfake.
Standard nie ocenia prawdziwości treści — potwierdza tylko, kto i czym ją wytworzył. Zdjęcie zainscenizowane, ale prawidłowo podpisane, przejdzie weryfikację. C2PA odpowiada więc na pytanie „skąd to pochodzi?”, a nie „czy to prawda?”.
Pochodzenie treści cyfrowych a prawo i polityka serwisu
Art. 50 ust. 2 rozporządzenia 2024/1689 wymaga oznaczania wyników systemów generatywnych w sposób nadający się do odczytu maszynowego; motyw 133 wymienia metadane obok znaków wodnych (EUR-Lex). Manifest C2PA z asercją o AI spełnia ten wymóg, o ile przetrwa do publikacji.
Ten serwis publikuje wyłącznie ilustracje syntetyczne, oznaczone w podpisach i stopce; zasady opisuje polityka treści AI. W recenzjach odnotowujemy, czy narzędzie zapisuje Content Credentials lub inny znacznik pochodzenia — to element kryterium prywatności i bezpieczeństwa w metodyce ocen.
Powiązane narzędzia, które recenzujemy
Zapis pochodzenia treści to jeden z elementów oceny bezpieczeństwa. Poniżej recenzje i materiały, w których omawiamy oznaczanie wyników generatorów.
- Ainudez — recenzja z oceną oznaczania wyników i metadanych.
- OpenArt — narzędzie SFW — jak generator uniwersalny oznacza obrazy AI.
- Prywatność w narzędziach undress AI — co sprawdzamy w metadanych i retencji plików.
Źródła
Wpis opiera się na publikacjach naukowych, dokumentacji standardów i tekstach aktów prawnych; daty dostępu podano przy każdym źródle. Redakcja nie linkuje do wag modeli ani dystrybucji oprogramowania i nie udziela porad prawnych.
- Coalition for Content Provenance and Authenticity — strona koalicji, członkowie i historia (od 2021) — dostęp 08.09.2026.
- C2PA Technical Specification — specyfikacje 1.0 (2022) i 2.x (2024): manifest, asercje, podpisy — dostęp 08.09.2026.
- Content Authenticity Initiative (Adobe, od 2019) — Content Credentials — dostęp 08.09.2026.
- Content Credentials Verify — narzędzie do odczytu manifestów C2PA w plikach — dostęp 08.09.2026.
- IPTC NewsCodes — Digital Source Type (wartości dla mediów generowanych algorytmicznie) — dostęp 08.09.2026.
- JPEG Trust (ISO/IEC 21617) — ramy zaufania i pochodzenia dla obrazów — dostęp 08.09.2026.
- Rozporządzenie (UE) 2024/1689 (AI Act) — art. 50 i motyw 133, EUR-Lex — dostęp 08.09.2026.
Najczęstsze pytania
Krótkie odpowiedzi redakcji; szczegóły — w źródłach powyżej.
Co to jest C2PA w jednym zdaniu?
To otwarty standard zapisu podpisanej kryptograficznie historii pliku — kto go utworzył, jakim narzędziem i jak edytował — opracowany przez koalicję powołaną w 2021 r. przez Adobe, Arm, BBC, Intel, Microsoft i Truepic.
Czym różnią się Content Credentials od C2PA?
C2PA to nazwa koalicji i specyfikacji technicznej. Content Credentials to użytkowa nazwa metadanych zgodnych z tym standardem, promowana przez Content Authenticity Initiative i oznaczana ikoną „CR” w interfejsach.
Czy C2PA przetrwa zrzut ekranu?
Nie. Manifest to metadane w pliku; zrzut ekranu tworzy nowy plik bez nich. Dlatego standard łączy się ze znakiem wodnym osadzonym w pikselach, który jest odporniejszy na taką utratę.
Czy brak Content Credentials oznacza deepfake?
Nie. Większość obrazów w internecie nie ma manifestu, a otwarte modele generatywne domyślnie go nie zapisują. Brak metadanych to brak informacji, nie dowód manipulacji ani autentyczności.
Czy C2PA spełnia wymóg AI Act art. 50?
Może. Art. 50 ust. 2 wymaga oznaczenia nadającego się do odczytu maszynowego, a motyw 133 wymienia metadane jako jeden ze środków. Warunkiem jest, by manifest z asercją o użyciu AI zachował się do publikacji.
Czy narzędzia nudify zapisują C2PA?
W większości recenzowanych przez nas usług — nie. Odnotowujemy to w kryterium prywatności i bezpieczeństwa; brak jakiegokolwiek oznaczenia pochodzenia obniża ocenę narzędzia.