Claude mette una firma invisibile nei testi generati con l'AI: come funziona il watermark

Capire se un testo risulta prodotto con uno dei tanti modelli generativi oggi disponibili è diventato molto più difficile di quanto suggeriscano i tanti “AI detector” disponibili online. Anthropic prova ora una strada diversa: invece di analizzare a posteriori lo stile di scrittura, Claude incorpora un watermark invisibile direttamente nel testo generato, creando un segnale leggibile dalle macchine ma impercettibile per chi legge.

La novità nasce anche dall’entrata in applicazione delle nuove regole europee sulla trasparenza dei contenuti prodotti con l’AI: dal 2 agosto 2026 si applicano infatti gli obblighi previsti dall’articolo 50 dell’AI Act che – sul versante dei fornitori dei modelli – prevede che questi provvedano a marcare i contenuti scritti in modo artificiale.

L’articolo 50(2) richiede ai fornitori di sistemi che generano contenuti sintetici – testo, immagini, audio o video – di applicare marcature leggibili dalle macchine che permettano di rilevarne la natura artificiale, nei limiti della fattibilità tecnica e con alcune eccezioni previste dalla norma.

Come funziona il watermarking dei testi?

L’apposizione di una firma o watermark sul testo generato dai modelli linguistici è studiata sin dall’arrivo dei primi Large Language Models (LLM).

Nel 2023 un gruppo di ricercatori guidato da John Kirchenbauer propose uno dei metodi più influenti: modificare leggermente le probabilità con cui il modello seleziona i token (suggeriamo di vedere l’articolo sull’intelligenza artificiale spiegata facile) introducendo una firma statistica riconoscibile senza inserire caratteri visibili.

Google DeepMind ha poi portato un approccio simile in produzione con SynthID-Text e nel 2024 ha pubblicato su Nature i risultati di una sperimentazione condotta su circa 20 milioni di risposte Gemini.

Anthropic ha comunicato che i testi generati con Claude inizieranno a integrare un watermark in modo da rendere rilevabile la loro generazione con un modello AI. L’intervento è figlio dell’adesione di Anthropic al Code of Practice on Transparency of AI-Generated Content, predisposto con il supporto dell’AI Office europeo.

Un watermark testuale non richiede caratteri Unicode invisibili, spazi anomali o metadati nascosti. Anzi, un sistema del genere sarebbe piuttosto fragile: bastano una normalizzazione Unicode, il passaggio attraverso un editor di testo puro o interventi di riscrittura mirati per rimuovere la speciale “etichetta”.

Le tecniche più sofisticate intervengono invece durante la generazione del testo da parte del modello AI. Un LLM non sceglie direttamente “la parola successiva”: assegna probabilità a migliaia di possibili token e utilizza un algoritmo di sampling per decidere quali usare nel testo restituito all’utente. Un sistema di watermark può alterare in misura molto piccola tale scelta, privilegiando alcune alternative rispetto ad altre. Presa singolarmente, ogni scelta appare perfettamente naturale; osservando però una sequenza sufficientemente lunga emerge una distribuzione statisticamente improbabile senza la chiave o il criterio utilizzato per generarla.

Claude inserisce una firma invisibile nel testo generato

La documentazione pubblicata da Anthropic conferma un aspetto importante: il watermark risiede nel testo prodotto dal modello AI: copiando una risposta e incollandola in un documento, in un CMS o in un’altra applicazione, il segnale può continuare a essere rilevabile.

Pur non pubblicando alcun dettaglio tecnico sull’algoritmo utilizzato, Anthropic afferma che l’intervento non modifica affatto significato, qualità o leggibilità della risposta. Al momento, non è dato sapere come sia codificato il watermark all’interno del testo, quali parametri statistici utilizzi il detector o quale quantità minima di testo permetta di raggiungere una determinata affidabilità.

Anthropic sottolinea che il watermark “viaggia” insieme al testo quando copiato e incollato; inoltre, può sopravvivere anche a una certa quantità di modifiche.

Gli ingegneri della società che sviluppa Claude chiariscono che, ovviamente, una modifica pesante, la parafrasi, la traduzione e la fusione del testo con materiale proveniente da altre fonti possono far sparire il watermark aggiunto dal modello AI in fase di generazione del testo. Più token originali scompaiono, minore diventa il segnale disponibile per il rilevatore.

Un testo marcato non significa necessariamente scritto da Claude

Anthropic invita esplicitamente a non considerare il detector come una macchina capace di stabilire chi abbia scritto un documento. La presenza della firma indica soltanto che il contenuto potrebbe essere stato elaborato con Claude. Pensiamo a un articolo scritto interamente da una persona e poi passato al modello soltanto per correggere refusi e grammatica. Oppure a un documento tradotto, riassunto o riformattato tramite Claude. L’output finale potrebbe contenere il watermark anche se idee, informazioni e gran parte della formulazione originale appartengono all’autore umano.

Va detto che l’articolo 50(2) dell’AI Act prevede un’eccezione per i sistemi che svolgono una funzione assistiva di standard editing senza modificare sostanzialmente input o semantica.

Per editori, scuole e aziende è una precisazione tutt’altro che marginale. Trattare il rilevamento di una firma come prova automatica di plagio o di produzione artificiale sarebbe scorretto: il dato sulla firma offre un indizio sul percorso seguito dal contenuto, non ricostruisce da sola l’intero processo creativo.

Vale anche il ragionamento opposto. Se il detector non trova nulla, non significa che il testo sia umano: potrebbe provenire da un modello Claude precedente all’introduzione del sistema, essere troppo breve, aver subìto molte revisioni oppure essere stato parafrasato fino a cancellare una parte sufficiente della firma.

Il watermark è quindi molto diverso dai classici servizi che cercano di riconoscere la “scrittura da AI” valutando lunghezza delle frasi, prevedibilità lessicale o altre caratteristiche stilistiche. In quel caso il sistema formula un’inferenza. Qui, almeno in teoria, cerca un segnale deliberatamente inserito dal produttore del modello.

Quali modelli Claude riceveranno il watermark

Anthropic ha fissato una linea temporale chiara: i modelli Claude lanciati dal 2 agosto 2026 supportano il marking fin dall’introduzione. La società sta lavorando anche sui modelli precedenti, per i quali la normativa europea contempla un periodo transitorio.

L’implementazione avviene a livello del modello e non soltanto nell’applicazione web. Secondo Anthropic, le marcature riguardano Claude, Claude Platform tramite API, Claude Code, Claude Cowork e Claude Tag. Il watermark testuale interessa inoltre i modelli supportati distribuiti attraverso partner cloud come AWS, Google Cloud e Microsoft Foundry.

La portata geografica è altrettanto significativa: sebbene la misura discenda direttamente dagli obblighi dell’AI Act, Anthropic dichiara che il watermarking accompagnerà gli output dei modelli supportati ovunque Claude sia disponibile. Non dovrebbe quindi esistere, almeno secondo il piano annunciato, una variante europea del modello con watermark e una variante statunitense senza firma.

Per chi usa Claude attraverso API aziendali la conseguenza è concreta: anche il testo generato all’interno di applicazioni proprietarie può contenere la marcatura. Gli sviluppatori dovranno inoltre valutare autonomamente gli obblighi dell’articolo 50 applicabili ai propri servizi.

Immagini e file usano invece C2PA

Anthropic distingue nettamente il watermark del testo dalle informazioni inserite nei file. Quando Claude genera formati supportati come PNG, JPG e SVG, la società prevede l’aggiunta di metadati di provenienza firmati digitalmente secondo lo standard C2PA.

C2PA, acronimo di Coalition for Content Provenance and Authenticity, nasce per associare a un contenuto informazioni verificabili sulla sua origine e sulle trasformazioni subite. Una firma crittografica consente anche di capire se i dati dichiarati risultano alterati dopo la produzione del file.

Anche i metadati applicati alle immagini possono sparire molto facilmente durante alcune operazioni: conversioni di formato, esportazioni effettuate da software che non li preservano, screenshot o servizi online che ripuliscono le informazioni accessorie. Anthropic cita espressamente questa eventualità tra i motivi per cui l’assenza di una marcatura non permette di concludere che il contenuto non sia passato attraverso Claude.

In un altro articolo abbiamo parlato nel dettaglio della filigrana aggiunta alle immagini da ChatGPT, Gemini, Claude e altri, descrivendo anche i tool di rimozione.

Rilevare l’AI non significa misurare la qualità di un testo

C’è però un punto che rischia di perdersi dietro la corsa ai watermark: riconoscere che un testo è passato da un modello AI non equivale a stabilire se quel testo sia valido.

Un watermark può fornire un’informazione sulla provenienza o sul processo di generazione, ma non dice nulla, da solo, sull’accuratezza delle informazioni, sulla qualità dell’analisi, sull’originalità del lavoro o sull’utilità concreta per chi legge.

La distinzione è importante anche per l’editoria online. Google, nelle proprie linee guida, ha più volte chiarito che l’uso dell’AI non costituisce affatto una violazione: ciò che conta è produrre contenuti utili, affidabili e pensati per le persone. Ciò che Google non accetta è la generazione di grandi quantità di pagine con l’obiettivo principale di manipolare i risultati di ricerca.

Un articolo mediocre resta mediocre anche se scritto interamente da una persona; allo stesso modo, un contenuto realizzato con il supporto di un LLM può essere accurato, approfondito e sottoposto a una revisione professionale.

Il watermark risponde quindi a una domanda diversa: “un sistema generativo ha partecipato alla produzione di questo testo?”. Non risponde invece alla domanda che interessa davvero il lettore: “posso fidarmi di ciò che sto leggendo?”.

La seconda richiede verifica delle fonti, competenza, responsabilità editoriale e capacità di distinguere i fatti dalle interpretazioni. Nessuna firma statistica può sostituire questi elementi.

Il rischio di trasformare il watermark in un bollino di sospetto

L’obiettivo europeo della trasparenza è comprensibile, soprattutto quando l’AI può creare contenuti capaci di ingannare facilmente una persona.

Un video fotorealistico sintetico, una voce clonata o un’immagine che attribuisce a qualcuno un evento mai avvenuto presentano rischi evidenti. Applicare la stessa logica al testo, però, apre una serie di problemi meno immediati.

Il primo riguarda la percezione. Se browser, piattaforme, scuole, aziende o motori di ricerca iniziassero a trattare automaticamente un contenuto con watermark come meno affidabile, il watermark smetterebbe di essere un semplice strumento di trasparenza e diventerebbe una sorta di etichetta reputazionale. Un testo potrebbe subire conseguenze non perché falso o scadente, ma semplicemente perché un modello AI ha contribuito alla sua stesura o revisione.

Come già evidenziato in precedenza, si pensi a un ricercatore che utilizza Claude per migliorare la forma linguistica di un documento già scritto, oppure a un giornalista che usa un LLM per sintetizzare appunti, uniformare la terminologia o correggere errori grammaticali. In entrambi i casi il contenuto potrebbe conservare una marcatura anche se idee, verifica delle fonti e responsabilità restano interamente umane. Interpretare quel segnale come prova di “testo scritto dall’AI” sarebbe quindi una controproducente semplificazione tecnica e concettuale.

C’è poi un effetto meno evidente. Più un watermark comporta svantaggi reputazionali, commerciali o scolastici, più cresce l’incentivo a rimuoverlo. E rimuovere un watermark statistico non significa necessariamente migliorare il testo: può bastare una parafrasi aggressiva, una traduzione intermedia oppure una nuova riscrittura affidata a un altro modello.

Il risultato è paradossale. Una norma pensata per aumentare la trasparenza potrebbe favorire la nascita di strumenti progettati appositamente per cancellare le firme, con una continua rincorsa tra sistemi di watermarking e tecniche di riscrittura. Il contenuto finale non diventerebbe per questo più accurato o più utile; sarebbe soltanto più difficile attribuirne l’origine.

Il vero criterio resta la responsabilità di chi pubblica

Per l’editoria e per la produzione professionale di contenuti, la questione centrale resta molto più tradizionale: chi pubblica deve assumersi la responsabilità di ciò che pubblica. Che abbia utilizzato un correttore grammaticale, un motore di ricerca, un traduttore automatico o un modello linguistico cambia il processo di lavoro, non elimina la necessità di controllare il risultato.

Il punto è che l’AI può essere uno strumento di produzione, ma non dovrebbe diventare né una scorciatoia per evitare la verifica né un marchio automatico di scarsa qualità.

Un watermark può aiutare a ricostruire una parte del percorso seguito dal testo; non può sostituire criteri editoriali come accuratezza, trasparenza delle fonti, competenza dell’autore e utilità per il lettore.

Il rischio maggiore, insomma, non è l’esistenza stessa del watermark, ma il significato che gli verrà attribuito. Se resterà un’informazione tecnica di provenienza, potrà avere una sua utilità. Se invece diventerà un criterio sommario per giudicare la qualità di un contenuto, si finirà per misurare lo strumento utilizzato anziché il valore oggettivo.