Il watermark invisibile di Claude non prova chi ha scritto un testo

Per i file supportati, tra cui formati come SVG, PNG e JPG, il meccanismo è diverso: vengono aggiunti metadati di provenienza firmati digitalmente. Questi metadati possono offrire una traccia strutturata sull’origine dell’asset, mentre il segnale testuale è incorporato direttamente nella scelta delle parole.

I nuovi modelli Claude rilasciati a partire dal 2 agosto supportano la marcatura fin dal lancio. Anthropic sta inoltre adattando i modelli precedenti durante il periodo transitorio previsto dalla normativa. Di conseguenza, la presenza del watermark può dipendere dal modello utilizzato e dal formato dell’output.

Che cosa può dimostrare il watermark — e che cosa no

Secondo Anthropic, il watermark non contiene dati identificativi e non può essere ricondotto a una persona, a un’organizzazione o a una chat specifica. Un eventuale rilevamento positivo, quindi, non rivela l’identità dell’utente né conserva il prompt che ha generato il testo.

Il limite più importante riguarda però l’autorialità. Un segnale compatibile con Claude può suggerire che il modello abbia partecipato alla produzione o alla trasformazione del contenuto, ma non stabilisce:

• chi abbia fornito l’idea o le istruzioni;
• chi abbia preso le decisioni editoriali;
• chi possieda i diritti sull’opera finale;
• se una persona abbia riscritto sostanzialmente il testo;
• chi sia legalmente responsabile della pubblicazione.

Un contenuto assistito dall’IA attraversa spesso più fasi: una persona può chiedere a Claude una prima bozza, riscriverla ampiamente, unirla a un reportage originale o usare il modello soltanto per correggere lo stile. Il watermark può contribuire all’analisi della provenienza, ma da solo non può classificare il risultato finale come esclusivamente scritto dall’IA o esclusivamente da un essere umano.

Perché il rollout è stato mondiale

L’articolo 50 dell’AI Act richiede ai fornitori di sistemi di IA generativa di contrassegnare i contenuti generati o manipolati dall’IA in un formato leggibile dalle macchine, così da renderli rilevabili come artificiali. L’obbligo riguarda testi, audio, immagini e video sintetici.

Anthropic ha scelto di applicare la marcatura a livello di modello, invece di attivarla soltanto per gli utenti europei. Secondo i resoconti disponibili, uno dei motivi è la difficoltà di mantenere un confine regionale stabile tra prodotti e canali di distribuzione diversi. Il risultato pratico è che anche chi si trova fuori dall’UE può ricevere un output marcato, sebbene la spinta normativa sia arrivata da Bruxelles.

La legge stabilisce il risultato da ottenere — un rilevamento efficace, affidabile, robusto e interoperabile — ma non impone un’unica tecnologia di watermarking. I fornitori non devono necessariamente adottare lo stesso metodo statistico, lo stesso standard per i metadati o la stessa etichetta visibile.

I tool per rimuoverlo sono arrivati in pochi giorni

Tra i progetti più visibili c’è watermarks-remover, distribuito con licenza MIT e sviluppato da Guillaume Meyer. Il repository lo descrive come uno strumento multi-fornitore per rimuovere dai testi e dai file di proprietà dell’utente alcuni contrassegni di provenienza, caratteri Unicode invisibili e metadati, includendo anche procedure di riscrittura.

Sono comparsi inoltre il repository claude-watermark-cleaner e strumenti utilizzabili direttamente dal browser, tra cui un servizio che dichiara di ripulire documenti e altri formati dai segni nascosti dell’IA.

Un repository ha raggiunto, secondo i resoconti, 8.983 stelle su GitHub in tre giorni. È un indicatore notevole dell’interesse suscitato dal tema, ma non costituisce un test di accuratezza né dimostra che lo strumento riesca a neutralizzare il livello statistico del watermark di Claude.

Rimuovere caratteri Unicode invisibili o metadati di un file, infatti, può non avere alcun effetto su un segnale distribuito nelle scelte lessicali del modello.

Perché le dichiarazioni di efficacia sono difficili da verificare

Un watermark statistico per il testo non è un’etichetta permanente attaccata al documento. Funziona nella misura in cui una parte sufficiente delle scelte originali del modello sopravvive alle trasformazioni successive. Copia, incolla, riformattazione e modifiche leggere possono lasciare intatto abbastanza del pattern da consentirne il rilevamento; traduzione, parafrasi, riscrittura sostanziale o inserimento di molto testo umano possono invece indebolirlo o distruggerlo. La stessa Anthropic ammette che una riscrittura significativa può rimuovere il segnale.

Senza un rilevatore pubblico e senza dettagli tecnici completi, gli osservatori esterni non possono stabilire con affidabilità se un tool abbia davvero eliminato il livello statistico, se abbia soltanto cancellato metadati estranei oppure se abbia modificato il testo al punto da rendere il rilevamento inconcludente. Le prime dichiarazioni secondo cui uno specifico strumento “funziona” contro Claude vanno quindi considerate non verificate, non risultati tecnici acquisiti.

Il problema è strutturale: quando le persone possono trasformare liberamente il linguaggio, possono anche alterare il pattern su cui si basa un’inferenza. Rendere il watermark più resistente può ridurre i falsi negativi dopo il normale trattamento di un testo, ma non può trasformare un segnale modificabile in una catena di custodia digitale inattaccabile.

Che cosa vieta — e che cosa non vieta — l’articolo 50

L’articolo 50 impone principalmente ai fornitori dei sistemi di IA interessati, e in determinate situazioni anche agli utilizzatori professionali, di garantire che gli output sintetici siano marcati e rilevabili. Il testo si concentra sull’obiettivo della marcatura leggibile dalle macchine e non prescrive una tecnologia universale.

Le linee guida europee disponibili non equivalgono inoltre a un divieto generale e autonomo di rimuovere qualsiasi contrassegno da parte di terzi. Riconoscono la rilevanza delle normali attività di editing che non modificano sostanzialmente i dati di input o il loro significato, nel quadro delle regole sulla marcatura leggibile dalle macchine.

Questo non significa che eliminare un contrassegno sia privo di conseguenze giuridiche in ogni circostanza. Contratti, regole delle piattaforme, diritto d’autore, norme contro frodi e pratiche ingannevoli, policy aziendali o accademiche e obblighi di disclosure specifici possono cambiare la valutazione del caso concreto.

La conclusione più prudente è dunque più limitata: l’obbligo imposto dall’articolo 50 ai fornitori non garantisce che un watermark testuale resti tecnicamente permanente e non risolve automaticamente ogni questione relativa all’uso successivo del contenuto.

La conclusione pratica

Il watermark di Claude può rendere più riconoscibile il coinvolgimento dell’IA in alcuni casi, soprattutto quando il testo marcato viene copiato o modificato solo leggermente e quando i metadati di provenienza del file restano intatti. Non offre però una prova conclusiva di paternità, identità, proprietà o responsabilità.

La rapidità con cui sono comparsi i tool di rimozione rafforza questa distinzione. Un progetto può raccogliere migliaia di stelle prima che qualcuno possa verificarne indipendentemente le dichiarazioni, soprattutto se il rilevatore alla base del sistema resta privato.

Per editori, scuole, aziende e piattaforme, la domanda utile non è quindi soltanto se un watermark sia presente. Occorre valutare quali prove siano disponibili, quanto il materiale sia stato trasformato, quali registri di provenienza siano sopravvissuti e quali regole di trasparenza si applichino allo specifico utilizzo.