Perché i watermark nei testi AI hanno un problema che sembra irrisolvibile

Nei giorni scorsi Anthropic ha confermato che i suoi modelli AI inizieranno a breve a integrare una filigrana invisibile nei testi in modo tale che sia possibile verificare quali non sono prodotti da un umano. In un altro nostro articolo abbiamo spiegato come funziona il watermark AI di Anthropic Claude: si tratta di una filigrana rilevabile dalle “macchine”, che non appare sullo schermo, non modifica il significato dei testi né la qualità delle risposte e, soprattutto, resta presente quando il testo è selezionato, copiato e incollato altrove: in un documento, in un CMS o in qualunque altra applicazione.

La marcatura opera a livello di modello e riguarda Claude, le API della Claude Platform, Claude Code, Claude Cowork e Claude Tag; Anthropic prevede inoltre di applicarla ai modelli supportati distribuiti tramite AWS, Google Cloud e Microsoft Foundry.

La novità arriva in coincidenza con l’applicazione degli obblighi di trasparenza previsti dall’AI Act europeo. Dal 2 agosto 2026 i nuovi modelli Claude destinati al mercato europeo supportano la marcatura machine-readable fin dal lancio; Anthropic afferma però che il sistema accompagnerà gli output supportati a livello mondiale, non soltanto nell’Unione europea. Per le immagini, come quelle in formato PNG, JPG e SVG, la società segue una strada diversa e utilizza metadati di provenienza firmati secondo C2PA. Per il testo semplice, invece, la firma deve restare incorporata nella sequenza stessa delle parole o dei caratteri.

Inserire un watermark, filigrana o firma persistente in un testo prodotto con un modello AI è molto complesso

Come già abbiamo rilevato in precedenza, Anthropic non ha ancora pubblicato l’algoritmo del watermark, la chiave utilizzata, le soglie del detector o la quantità minima di testo necessaria per ottenere un responso affidabile. Ha però già indicato chiaramente cosa può indebolire la marcatura nei testi prodotti con Claude: modifiche profonde, parafrasi, traduzione, estrazione di brevi frammenti e fusione con materiale proveniente da altre fonti.

Il commento di Anthropic pubblicato a margine dell’annuncio della novità risulta quasi perfettamente sovrapponibile con il contenuto di una critica formulata da Sean Goedecke (staff software engineer presso GitHub ed ex Zendesk) poche settimane prima dell’annuncio: la presenza di una firma invisibile inserita nel testo può essere molto più fragile di quanto avvenga per immagini, audio e video (e anche lì la rimozione della filigrana è comunque possibile!…).

Goedecke osserva che il linguaggio naturale offre a chi vuole eliminare un watermark un vantaggio particolare: la stessa informazione può essere espressa usando parole e strutture sintattiche completamente diverse. Una fotografia modificata deve conservare gran parte dei suoi pixel per restare riconoscibile; una frase può essere riscritta da cima a fondo mantenendo praticamente intatto il significato.

Abbiamo detto che Anthropic stessa ammette che un numero significativo di trasformazioni possono portare alla scomparsa del segnale rilevabile alias watermark dal testo prodotto avvalendosi di Claude e “soci”. Ma quanto deve cambiare un testo prima che la firma non sia più riconoscibile?

Claude rende concreta una soluzione studiata da anni

L’idea di applicare un watermark ai testi generati dai Large Language Models (LLM) non nasce con Claude. La steganografia testuale studia da decenni sistemi che sfruttano scelte lessicali, spaziatura, caratteri alternativi o altre proprietà della scrittura per trasportare dati senza renderli evidenti al lettore.

Nel 2023 John Kirchenbauer e altri ricercatori mostrarono che si può intervenire sul sampling dei token modificando leggermente le probabilità con cui il modello sceglie le parole successive (suggeriamo di fare riferimento al nostro articolo sull’intelligenza artificiale spiegata facile). Google DeepMind ha poi sviluppato SynthID-Text, sperimentandolo su milioni di risposte Gemini. Anthropic non ha dichiarato se il proprio sistema segua la stessa famiglia di tecniche, anche se è molto probabile.

La documentazione ufficiale dice infatti che il watermark appartiene al testo, sopravvive al semplice copia e incolla e può resistere a una certa quantità di editing (leggasi, modifiche del testo prodotto dall’AI). Allo stesso tempo, la società riconosce che testi molto brevi possono non contenere abbastanza informazione per una rilevazione affidabile e che trasformazioni profonde possono cancellare il segnale. È esattamente il compromesso che accompagna quasi tutti i sistemi di watermarking testuale.

Il Regolamento europeo sull’intelligenza artificiale, Regulation (EU) 2024/1689 (AI Act), è applicabile nella sua parte generale dal 2 agosto 2026. L’articolo 50 stabilisce, tra le altre cose, che i fornitori di sistemi capaci di generare contenuti sintetici rendano gli output machine-readable e rilevabili come artificialmente generati o manipolati, attraverso soluzioni efficaci, interoperabili, robuste e affidabili per quanto tecnicamente possibile. Ecco perché Anthropic si è mossa in tal senso e, con molta probabilità, anche altri fornitori di modelli AI commerciali seguiranno il suo esempio.

I (tanti) limiti di una filigrana inserita nel testo

Un’immagine digitale contiene milioni di valori numerici: è quindi possibile modificare di poco determinati pixel o coefficienti senza produrre variazioni percepibili. Audio e video offrono margini analoghi. Il testo dispone invece di molta meno ridondanza: cambiare una parola, una congiunzione o la punteggiatura può modificare tono, precisione e perfino significato.

In pratica, un algoritmo di watermarking testuale deve conciliare esigenze che entrano facilmente in conflitto. La firma deve essere abbastanza forte da emergere statisticamente, ma non tanto invasiva da peggiorare la risposta. Deve inoltre produrre pochi falsi positivi, funzionare su testi relativamente brevi e resistere almeno alle normali modifiche editoriali. Più si pretende robustezza, più diventa difficile evitare effetti sulla generazione.

È uno dei motivi per cui i normali “AI detector” non sono affidabili: un classificatore che osserva stile, punteggiatura, struttura delle frasi e altre proprietà linguistiche può tentare di stabilire se un testo somigli all’output di un modello ma non può offrire un giudizio attendibile e incontestabile. Un watermark, invece, introduce deliberatamente un segnale noto al verificatore.

La distinzione è fondamentale: scrivere con uno stile statisticamente simile a quello di un LLM non equivale ad aver riprodotto una firma crittograficamente o pseudocasualmente determinata.

Il trucco nel sampling dei token

Un modello linguistico non decide direttamente quali frasi inserire in un testo. A ogni passaggio il LLM calcola una distribuzione di probabilità sul proprio vocabolario: il risultato grezzo, prima della normalizzazione, è costituito dai logit. Il processo di sampling sceglie poi il token successivo tra le varie alternative proposte dal modello. Prendiamo i termini “Il computer è“: il modello assegna probabilità diverse a parole come “acceso“, “spento” o “pronto“. Parametri come temperature, top-k e top-p stabiliscono quanto privilegiare la scelta più probabile oppure lasciare spazio anche alle alternative meno probabili ma comunque plausibili.

È il momento in cui è possibile prevedere l’inserimento di un watermark testuale: nel lavoro pubblicato nel 2023 da John Kirchenbauer e altri ricercatori, il vocabolario può essere suddiviso pseudocasualmente in gruppi, spesso descritti come “green list” e “red list“.

Durante la generazione il sistema aumenta leggermente la probabilità dei token appartenenti alla green list. Una singola parola non rivela nulla; su una sequenza sufficientemente lunga, però, la presenza anormalmente elevata di token appartenenti a un certo gruppo produce una deviazione misurabile rispetto all’ipotesi di testo non marcato ovvero non prodotto da un modello AI.

La parte interessante è che il detector non deve necessariamente rieseguire l’intero modello: conoscendo la chiave o la funzione usata per ricostruire le scelte pseudocasuali può analizzare i token osservati e calcolare uno score. È molto più economico rispetto al tentativo di confrontare un testo con tutte le possibili distribuzioni prodotte da uno o più modelli.

Il vero punto debole: il testo può essere riscritto

Come già evidenziato in precedenza e come sottolineato da Goedecke nella sua analisi, i watermark basati sui token si “sbriciolano” dinanzi a un’operazione piuttosto naturale: la parafrasi. Se il segnale deriva dalle specifiche parole scelte durante il sampling, una riscrittura abbastanza profonda modifica la sequenza di token e riduce lo score del detector. Traduzione, riassunto, espansione e rigenerazione tramite un secondo LLM appartengono alla stessa famiglia di trasformazioni.

Dire che qualunque watermark testuale sparisce sempre con una singola parafrasi non corrisponde al vero. Studi sul metodo di Kirchenbauer mostrano che porzioni della firma possono sopravvivere anche a riscritture umane o automatiche, soprattutto nei testi lunghi. In una valutazione pubblicata dagli stessi ricercatori, dopo una forte parafrasi umana servivano mediamente circa 800 token per recuperare un segnale con una soglia di falso positivo pari a 10^-5. Robustezza, quindi, non significa indistruttibilità.

Il detector dovrebbe distinguere in modo affidabile i testi non prodotti con LLM; d’altra parte, chi vuole cancellare il segnale può permettersi di trasformare ripetutamente un singolo documento. Se inoltre esiste un verificatore pubblico, è possibile usare il risultato come feedback e continuare a modificare il testo.

Cosa richiede davvero l’AI Act europeo

L’articolo 50 merita una lettura più precisa rispetto alla formula semplicistica “l’Europa obbliga a mettere un watermark su ogni testo AI“.

I provider di sistemi che generano audio, immagini, video o testo sintetico devono fare in modo che l’output risulti marcato in un formato leggibile dalle macchine e rilevabile come artificiale o manipolato. La soluzione deve risultare efficace, interoperabile, robusta e affidabile per quanto tecnicamente possibile, tenendo conto del tipo di contenuto, dei costi e dello stato dell’arte.

Esiste poi un obbligo distinto per chi utilizza sistemi generativi e pubblica determinati materiali. Nel caso del testo destinato a informare su temi di interesse pubblico, occorre dichiararne la natura artificiale o manipolata, salvo l’eccezione prevista quando il contenuto passa attraverso revisione umana o controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale.

L’adesione al Code of Practice on Transparency of AI-Generated Content, pubblicato dalla Commissione europea a giugno 2026, è volontaria. Gli obblighi dell’articolo 50, invece, non lo sono. Il documento organizza il lavoro in due aree: da una parte marcatura e rilevazione degli output per i provider; dall’altra etichettatura di deepfake e determinati testi per i deployer. A fine luglio 2026 la Commissione indicava circa 190 aziende e organizzazioni aderenti al codice, tra cui Anthropic, OpenAI, Google, Microsoft e Meta.

La formulazione “per quanto tecnicamente possibile” suggerisce che il legislatore non pretende una firma matematicamente incancellabile. Chiede tecniche proporzionate allo stato dell’arte e alle caratteristiche del mezzo. Per il testo, proprio la facilità di trasformazione semantica rende il requisito assai più delicato rispetto a immagini, audio e video.

Il watermark AI non può diventare un verdetto sul lavoro umano

Se un testo destinato al pubblico può fare a meno della disclosure quando passa attraverso una vera revisione umana e qualcuno si assume la responsabilità editoriale, ci si può chiedere quanto sia davvero necessario inseguire watermark sempre più sofisticati e difficili da rendere robusti.

L’AI Act, in effetti, separa due problemi: da una parte chiede ai provider (come Anthropic, OpenAI, Google,…) di lasciare negli output prodotti dai LLM una traccia rilevabile dalle macchine; dall’altra riconosce che, quando il contenuto entra in un processo editoriale umano, ciò che conta verso il lettore è soprattutto chi se ne assume la responsabilità.

Il watermark nel testo può aiutare piattaforme, servizi automatizzati e soggetti terzi a riconoscere grandi quantità di contenuti sintetici ancora vicini all’output originale. Ma per il testo profondamente rielaborato, l’utilità della filigrana diminuisce proprio mentre aumenta il peso della responsabilità editoriale. La stessa architettura dell’articolo 50 sembra ammettere implicitamente che la provenienza tecnica non basta a definire l’autore né il valore di un contenuto.

Quando la provenienza tecnica non racconta il contributo umano

Il rischio, altrimenti, è una sorta di caccia alle streghe tecnologica: trovare una marcatura AI e trasformarla automaticamente in un giudizio negativo sul contenuto, senza considerare quanto il testo sia stato rielaborato, verificato e corretto da una persona è qualcosa che può davvero avvenire. Un watermark può indicare che un modello ha partecipato alla produzione; non dice però quanto abbia inciso sul risultato finale, né quanto lavoro umano ci sia stato dopo.

In un flusso editoriale reale, la differenza è sostanziale. Un autore può usare un LLM per preparare una prima bozza, chiarire un passaggio tecnico o riorganizzare alcune frasi, quindi verificare le fonti, riscrivere intere sezioni, aggiungere dati originali e assumersi la responsabilità di ciò che pubblica. Equiparare quel testo a un output AI preso “così com’è” significherebbe ignorare proprio il fattore umano che l’AI Act sembra invece voler preservare.

Per questo la presenza di una filigrana dovrebbe essere interpretata come un indizio sulla storia tecnica del documento, non come un verdetto sulla sua qualità, originalità o paternità.