Il watermark invisibile di Claude: un segnale di provenienza, non una prova di paternità

Anthropic sta introducendo un watermark invisibile e rilevabile dalle macchine per i testi prodotti dai modelli Claude più recenti. L’azienda afferma che la misura serve a sostenere gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act dell’Unione europea, ma ha scelto di applicarla a livello globale sui prodotti Claude supportati, invece di limitarla agli utenti europei.

La distinzione più importante è anche quella più facile da perdere di vista: il risultato di un rilevamento è un segnale di provenienza, non una sentenza sulla paternità del testo. Può suggerire che Claude abbia contribuito a scrivere alcune parole, ma non identifica l’utente, non stabilisce chi sia l’autore e non dimostra che l’intero documento sia stato generato dall’AI.

Che cosa viene marcato

I modelli Claude lanciati dal 2 agosto 2026 supportano la marcatura automatica fin dal debutto. Anthropic sta inoltre lavorando per estendere il sistema ai modelli precedenti. La marcatura riguarda le principali modalità di utilizzo supportate: Claude.ai, l’API Claude Platform, Claude Code, Claude Cowork, Claude Tag e le implementazioni su servizi cloud di terze parti, ovunque Claude sia disponibile.

Anthropic usa due sistemi distinti:

• Testo: un watermark statistico impercettibile incorporato nelle scelte lessicali del modello.
• File supportati: metadati di provenienza C2PA firmati digitalmente, anche in formati come SVG, PNG e JPG.

Non si tratta di etichette visibili, caratteri nascosti, identificativi dell’account o avvisi di copyright. Anthropic afferma che il watermark testuale non contiene informazioni riconducibili a una persona, un’organizzazione, una conversazione o una chat specifica.

Perché il watermark è globale

La motivazione immediata indicata da Anthropic è il regime di trasparenza dell’articolo 50 dell’AI Act e l’adesione al Codice di buone pratiche dell’Unione europea sulla trasparenza dei contenuti generati dall’AI, previsto dall’articolo 50(2). Le regole chiedono ai fornitori che operano sul mercato europeo di rendere identificabili in forma leggibile dalle macchine determinati contenuti generati dall’intelligenza artificiale.

Anthropic ha deciso di applicare la stessa impostazione ovunque siano disponibili i modelli Claude interessati, anche fuori dall’Unione europea, invece di mantenere comportamenti diversi a seconda della regione. In questo modo crea uno standard unico a livello di modello per utenti privati, sviluppatori, aziende e clienti API, anche se alcune piattaforme o funzioni potrebbero non supportare ogni tipo di marcatura.

Come funziona il watermark nel testo

La tecnica si basa su uno schema statistico nelle scelte dei token, cioè delle unità di testo utilizzate dal modello. In molti punti di una frase, un modello linguistico può scegliere tra diverse continuazioni plausibili. Il watermark modifica la sorgente di casualità usata per alcune scelte a basso impatto, creando nel tempo un modello statistico associato a una chiave che può essere riconosciuto successivamente. Anthropic descrive un approccio collegato alla tecnica SynthID-Text pubblicata da Google DeepMind.

Per chi legge, il documento non cambia visibilmente. Il sistema non inserisce caratteri speciali né token aggiuntivi e, secondo Anthropic, non dovrebbe incidere in modo significativo su formulazione, creatività, leggibilità o costi. L’azienda afferma inoltre che i test interni non hanno rilevato effetti sulla qualità.

Poiché il segnale è distribuito nelle normali scelte delle parole, è diverso dai metadati allegati a un file, che possono andare persi quando il documento viene esportato o riscritto. Copiare e incollare il testo, modificarne la formattazione o apportare qualche correzione può lasciare una quantità sufficiente del modello statistico per consentire il rilevamento. La persistenza, però, è probabilistica: non è garantita.

Sopravvive a traduzioni, riassunti e correzioni?

Non in modo affidabile. Traduzione, sintesi, parafrasi e modifiche sostanziali sostituiscono molte delle scelte originarie che contengono il segnale. In alcuni casi un testo trasformato può conservare tracce rilevabili, ma le informazioni pubblicate da Anthropic non permettono di sostenere che ogni traduzione, riassunto, correzione di bozze o revisione mantenga il watermark.

Anche la lunghezza conta. In genere, più testo è disponibile, maggiore è la sicurezza del rilevamento. Una risposta breve, oppure una revisione in cui Claude modifica soltanto poche parole, potrebbe contenere troppo poco materiale selezionato dal modello per produrre un risultato significativo.

Questo porta a una differenza fondamentale tra la presenza pratica del watermark e la sua rilevabilità. Un testo può essere passato da Claude senza generare un segnale positivo abbastanza forte; allo stesso modo, l’assenza di un rilevamento non dimostra che il brano sia stato scritto interamente da una persona.

Che cosa significa davvero un risultato positivo

Un risultato positivo risponde a una domanda circoscritta: quanto è probabile che Claude abbia partecipato alla scrittura di una parte del testo? Non dimostra:

• chi abbia scritto il materiale originale o le parti circostanti;
• chi abbia dato le istruzioni al modello;
• se una persona abbia riscritto in modo sostanziale il risultato;
• se Claude abbia generato l’intero documento;
• se l’utente abbia violato una regola scolastica, lavorativa, editoriale o di piattaforma;
• chi possieda l’opera o ne sia legalmente responsabile.

Il watermark non identifica inoltre un utente, un’organizzazione o una chat specifica. La chiave di Anthropic non può neppure riconoscere il testo prodotto da un altro fornitore di AI.

Anthropic ha dichiarato di voler offrire un’API per il rilevamento. Sarebbe uno strumento diverso dai generici detector di testi AI, che cercano di dedurre la paternità da schemi linguistici o presunti “indizi” stilistici. Un detector basato sul watermark cercherebbe invece una firma statistica intenzionale, generata con una chiave.

Perché alcuni critici lo considerano troppo ampio

Il nodo della discussione riguarda la differenza tra generare un nuovo contenuto sintetico e fornire una normale assistenza editoriale. Un watermark applicato a livello di modello può finire per trattare allo stesso modo un saggio scritto quasi interamente da Claude e un documento composto da una persona che ha usato il modello soltanto per ortografia, grammatica, chiarezza, traduzione o accessibilità.

Da qui nasce la critica secondo cui si userebbe un “martello invece di uno scalpello”: una marcatura automatica e predefinita su tutti gli output del modello potrebbe essere più ampia rispetto agli utilizzi che le norme sulla trasparenza intendono affrontare. Il rischio aumenta se scuole, datori di lavoro, editori o piattaforme interpretano la presenza del segnale come prova automatica di una condotta scorretta.

La spiegazione tecnica di Anthropic ridimensiona in parte il rischio nei casi di editing leggero: una semplice correzione di bozze potrebbe lasciare troppo poche parole selezionate da Claude per ottenere un rilevamento sicuro. Ma si tratta di un limite della confidenza statistica, non di un’esenzione riconosciuta all’utente e neppure di un test affidabile di paternità.

Il confronto con Google, OpenAI, Meta e Microsoft

Il confronto richiede di separare concetti che spesso vengono messi nello stesso calderone:

1. aderire a un codice europeo sulla trasparenza;
2. aggiungere metadati di provenienza ai file;
3. applicare etichette visibili;
4. incorporare un watermark statistico nel testo.

Anthropic afferma che altri importanti fornitori di AI hanno firmato lo stesso codice europeo e implementeranno i propri sistemi. Questo non significa che Google, OpenAI, Meta e Microsoft usino lo stesso metodo, coprano gli stessi prodotti o adottino identiche regole di rilevamento.

L’approccio testuale di Anthropic è collegato alla famiglia SynthID-Text di Google DeepMind, mentre C2PA viene usato separatamente per i metadati di provenienza dei file supportati. Le fonti disponibili non sono sufficienti per concludere che tutte e quattro le aziende abbiano già distribuito un watermark globale equivalente a quello di Claude sui propri prodotti testuali.

Il contraccolpo degli utenti e il problema pratico

Il lancio ha suscitato preoccupazioni tra gli utenti di Claude, soprattutto per il possibile impatto sull’uso dell’AI a scuola, sul lavoro, nell’editoria o in ambito commerciale. Alcuni report descrivono anche utenti che hanno minacciato o dichiarato di aver cancellato l’abbonamento a causa della nuova politica.

Altri hanno iniziato a cercare strumenti per indebolire o aggirare il watermark. Riscrittura sostanziale, parafrasi, traduzione, sintesi o rigenerazione possono ridurre o eliminare un segnale statistico: proprio per questo, un risultato negativo non può scagionare qualcuno dall’uso dell’AI. Al contrario, un risultato positivo può riflettere un intervento limitato di Claude, non la generazione integrale del documento.

Per scuole, aziende, editori e piattaforme, la conclusione più prudente è semplice: il rilevamento dovrebbe essere un elemento tra gli altri, non una condanna automatica per plagio o scorrettezza. Una decisione seria dovrebbe considerare il contesto, la cronologia delle versioni e delle bozze, le regole di dichiarazione applicabili, il tipo di assistenza utilizzata e la possibilità per la persona coinvolta di spiegarsi. La revisione umana è particolarmente importante nei casi di editing, traduzione, accessibilità e scrittura collaborativa.

Il watermark di Claude può rendere più facile indagare su un possibile coinvolgimento dell’AI, ma non risolve la domanda più difficile: chi ha scritto davvero il testo? La distinzione utile è quella tra segnale e prova. Il primo può sostenere la trasparenza; la seconda richiede un contesto che una marcatura statistica, da sola, non può fornire.