Claude introduce il watermark nei testi: come funziona e quali sono i limiti

Anthropic incorpora una firma statistica ispirata a SynthID-Text nei modelli Claude lanciati dopo il 2 agosto 2026, applicandola globalmente per rispondere agli obblighi dell'AI Act europeo. Quando Chris Best, amministratore delegato di Substack, ha coniato il termine "Claudefishing" per descrivere chi usa l'IA per generare contenuti spacciandoli per propri, ha messo il dito su un nervo che l'industria tech sta scoprendo essere molto più sensibile del previsto. Pochi giorni dopo, Anthropic ha annunciato che i testi prodotti dai nuovi modelli Claude porteranno da ora in poi una marcatura invisibile, pensata per stimare la probabilità che l'intelligenza artificiale abbia scritto o elaborato un contenuto. Non un timbro, non un simbolo, non una frase di cortesia in calce alla risposta. Qualcosa di più sottile e, proprio per questo, di più difficile da spiegare senza scadere nel tecnicismo o nell'allarmismo.

Il collegamento con la normativa europea non è casuale. L'articolo 50 dell'AI Act impone ai fornitori di sistemi di IA generativa di rendere gli output leggibili dalle macchine e identificabili come artificiali, nella misura in cui questo sia tecnicamente possibile. Gli obblighi di trasparenza sono scattati il 2 agosto 2026, e Anthropic ha scelto di far coincidere quella data con il debutto della marcatura: tutti i modelli Claude lanciati nell'Unione europea da quel giorno in poi la supportano fin dal primo momento, mentre l'azienda dichiara di lavorare per estenderla retroattivamente ai modelli precedenti, sfruttando il periodo transitorio previsto dalla legge.

Quello che sorprende è la portata dell'applicazione. Anthropic non ha costruito un interruttore geografico che marca i testi solo per gli utenti europei, la marcatura vale ovunque, per chiunque usi Claude, dal singolo abbonato al team che lo integra tramite API. La motivazione ufficiale è pragmatica più che ideologica: l'azienda non dispone ancora di un metodo sufficientemente affidabile per circoscrivere la marcatura a una regione specifica, e preferisce un comportamento uniforme tra Claude, Claude Platform, Claude Code, Claude Cowork e Claude Tag, indipendentemente da dove ci si trovi. Il risultato, comunque lo si giudichi, è che una norma pensata per i ventisette Stati membri finisce per ridisegnare il comportamento di un prodotto usato da milioni di persone in tutto il mondo, un effetto extraterritoriale che Euronews ha definito emblematico del modo in cui Bruxelles finisce per fare da apripista normativo anche fuori dai propri confini.

Come si nasconde una firma dentro una frase

Per capire come funziona il watermark testuale bisogna partire da un'idea semplice, quella di come un modello linguistico costruisce una risposta. Claude non scrive una frase intera, la genera parola dopo parola, o meglio token dopo token, assegnando a ogni passaggio una probabilità alle possibili continuazioni. Dopo una frase sul meteo, per dire, esistono più alternative ugualmente plausibili: "grigio", "nuvoloso", "coperto" sono tutte scelte lecite, nessuna cambia il senso del discorso. È in questi momenti di ambiguità innocua che si insinua la marcatura.

Il modello continua a scegliere tra le alternative plausibili, ma la sorgente di casualità che guida la scelta non è più del tutto imprevedibile, viene determinata da una chiave segreta combinata con le parole già scritte. Il testo resta naturale all'apparenza, la sequenza complessiva contiene però una regolarità statistica che chi possiede la chiave può verificare. Anthropic paragona il meccanismo a una partita di Monopoli giocata non con i dadi ma con una lunga sequenza di cifre di pi greco: le mosse continuano a sembrare casuali a chi osserva dall'esterno, chi conosce la sequenza però può controllare se i risultati sono compatibili con quella particolare fonte. È lo stesso principio narrativo che regge L'incanto del lotto 49 di Thomas Pynchon, dove un simbolo apparentemente insignificante, un corno postale disegnato distrattamente, si rivela l'indizio di una rete nascosta sotto la superficie ordinaria delle cose. Il watermark di Claude funziona più o meno così: un pattern invisibile a occhio nudo, leggibile solo da chi sa dove guardare.

Un punto va chiarito subito, perché è la fonte di molti equivoci: il sistema non forza Claude a usare parole improbabili o artificiose. Non viene introdotto un lessico ad hoc, non c'è una parola privilegiata a prescindere dal contesto. La marcatura interviene soltanto quando esistono davvero alternative equivalenti sul piano semantico, e questo limite intrinseco è anche il primo indizio di dove il sistema smette di funzionare bene, un tema su cui torneremo. Immagine tratta da un thread su reddit.com

Il debito con SynthID e la letteratura scientifica

Anthropic non ha inventato questa tecnica da zero. Il metodo utilizzato è una variante dell'approccio SynthID-Text sviluppato da Google DeepMind e descritto in un articolo pubblicato su Nature nel 2024, intitolato "Scalable watermarking for identifying large language model outputs". Lo studio descrive una tecnica pensata per mantenere intatta la qualità del testo, garantire una buona accuratezza nel rilevamento e reggere l'uso su larga scala senza appesantire i tempi di risposta. È il principale precedente pubblico e verificabile su cui si basa la scelta di Anthropic, e Google stessa ha testato SynthID-Text su grandi volumi di traffico Gemini, raccogliendo feedback degli utenti che, secondo l'azienda, non avrebbero rilevato differenze percepibili di qualità tra output marcati e non marcati.

Va detto con chiarezza che la parentela tecnica non implica identità di implementazione. Anthropic e Google possono usare chiavi diverse, detector diversi, soglie diverse, e questo significa che un testo marcato da Claude non è riconoscibile con gli strumenti pensati per SynthID di Gemini, né viceversa. Ogni grande fornitore di IA sta costruendo il proprio sistema proprietario, una babele di firme incompatibili che rende difficile immaginare, almeno per ora, un unico standard universale di rilevamento.

Proprio la natura proprietaria della chiave è ciò che distingue il watermark di Claude dai software di rilevamento generico come Pangram, che analizzano invece pattern stilistici, frequenza lessicale, costruzioni sintattiche tipiche della prosa artificiale. Un detector generico prova a indovinare se un testo "suona" scritto da una macchina, il detector del watermark verifica invece la compatibilità con una firma statistica specifica, prodotta da un modello preciso con una chiave precisa. Sono due approcci complementari più che sovrapponibili, e la differenza non è sottile: senza la chiave, nessuno può replicare dall'esterno il rilevamento che farebbe Anthropic internamente.

Cosa dimostra davvero, e cosa no

Qui si arriva al cuore della questione, quella che separa l'entusiasmo tecnico dalle preoccupazioni pratiche. Il watermark, quando rilevato, indica una probabilità, non una certezza assoluta, che Claude sia intervenuto nella generazione o nell'elaborazione di un testo. Non dice chi ha avuto l'idea originale, chi ha verificato i fatti, chi ha scritto la prima bozza prima che Claude la traducesse o la limasse. Un testo può nascere dalla penna di una persona e passare poi tra le mani del modello per una traduzione, una correzione, una sintesi, e in quel caso la marcatura segnalerebbe l'intervento dell'IA senza raccontare nulla del lavoro umano che lo ha preceduto.

Allo stesso modo, secondo quanto dichiarato da Anthropic, la presenza del watermark non altera i diritti dell'utente previsti dai termini di servizio, non stabilisce la proprietà del testo, e soprattutto non contiene alcun dato identificativo su chi lo ha generato, l'account, l'organizzazione, la singola conversazione. È un segnale sul metodo, non sull'autore in carne e ossa. Chi sperava, o temeva, in un sistema di tracciamento nominale resterà con l'amaro in bocca, o con un sospiro di sollievo, a seconda del punto di vista.

Dove il sistema si sfalda

Ogni tecnologia di rilevamento ha i suoi punti ciechi, e qui vale la pena elencarli con onestà, perché è proprio nei margini che si gioca l'affidabilità reale dello strumento. I testi molto brevi offrono poche decisioni statistiche su cui la marcatura possa agire, e diventano quindi difficili da classificare con sicurezza. I passaggi altamente fattuali, quelli in cui esiste una sola risposta corretta, una formula, un dato preciso, lasciano al modello pochissima libertà di scelta, e dunque poco spazio al watermark. Se Claude si limita a correggere la punteggiatura di un testo scritto da una persona, la maggior parte delle parole originali resta intatta, e il segnale rischia di essere troppo debole per essere colto. Una riscrittura completa, in cui ogni parola viene sostituita, può invece cancellare del tutto la marcatura originale, anche se in quel caso il testo finale è comunque diventato qualcosa di molto distante dall'output di partenza.

Le traduzioni seguono una logica diversa: poiché ogni singola parola della versione tradotta viene scelta dal modello, Anthropic sostiene che vengono marcate integralmente, a differenza del proofreading leggero. Il codice sorgente è un caso a sé. Molte scelte in un programma sono vincolate dalla sintassi, dai nomi delle funzioni, dal comportamento richiesto perché tutto funzioni, e forzare un token diverso rischierebbe di rompere l'esecuzione. Per questo la marcatura tende a concentrarsi nei commenti e nelle parti non essenziali del codice, restando pressoché assente nelle righe che davvero fanno girare il programma, un po' come in Return of the Obra Dinn, il videogioco investigativo in cui la verità non sta mai nell'evento in sé ma nei dettagli marginali che lo circondano, gli indizi visivi ai bordi della scena.

Una precisazione che riguarda proprio le fonti scientifiche alla base di Claude. Una tecnica di elusione spesso discussa online, quella di far inserire al modello una parola o un simbolo fisso tra ogni coppia di parole per poi rimuoverlo prima della pubblicazione, non compare nel paper Nature di Dathathri e colleghi citato da Anthropic, che si limita a un accenno generico alla vulnerabilità dei watermark generativi verso attacchi di scrubbing, senza descriverli nel dettaglio. La tecnica, nota informalmente come emoji attack, viene analizzata con precisione in un lavoro collegato ma distinto, quello di Kirchenbauer e colleghi del 2023, citato dallo stesso paper Nature come riferimento per il metodo di generazione del seme casuale.

Inserendo un simbolo costante tra ogni token generato, l'attacco disallinea la finestra di contesto usata per calcolare l'hash da cui dipende la sequenza pseudocasuale, rendendo il rilevamento molto meno affidabile una volta che il simbolo viene rimosso dal testo finale. Non è dunque un dettaglio previsto nello studio scientifico su cui Anthropic dichiara di basarsi, ma una vulnerabilità nota e ben documentata nella letteratura più ampia sui watermark generativi, di cui vale la pena essere consapevoli senza però sopravvalutarne la portata pratica per chi scrive testi normali senza intenti elusivi.

Infine, un promemoria che vale la pena ripetere: l'assenza di un watermark non dimostra che un testo sia stato scritto da una persona. Potrebbe provenire da un modello Claude precedente al 2 agosto 2026, oppure da un sistema di IA concorrente che semplicemente non usa la stessa tecnica.

I file seguono una strada diversa

Per immagini, PNG, JPG, SVG e altri formati supportati, Anthropic non usa la stessa logica statistica applicata al testo, ma si appoggia allo standard aperto C2PA, la Coalition for Content Provenance and Authenticity, allegando metadati firmati crittograficamente che indicano il coinvolgimento di Claude nella creazione o modifica del file. È un sistema più leggibile ma anche più fragile: quei metadati possono sparire con una semplice conversione di formato, un nuovo salvataggio, uno screenshot, o qualunque software che non li preservi lungo la catena. La conseguenza pratica è che l'assenza del metadato non prova affatto che un'immagine non sia stata toccata dall'IA, un dettaglio che chiunque lavori con contenuti visivi dovrebbe tenere ben presente prima di trarre conclusioni affrettate. Immagine tratta da techwyse.com

Chi vince, chi perde, chi resta con dei dubbi

Sul fronte editoriale, l'articolo 50 dell'AI Act prevede un'eccezione importante per i contenuti pubblicati a scopo informativo quando sono sottoposti a revisione umana e una persona o un'organizzazione ne assume la responsabilità editoriale. È una clausola di buon senso, che riconosce come l'uso dell'IA per tradurre, riassumere o fare brainstorming non equivalga a una scrittura interamente delegata alla macchina, ma la sua applicazione pratica dipenderà molto da come verrà interpretata nelle linee guida future. Per una redazione, il watermark può aiutare a ricostruire il processo produttivo di un pezzo, non sostituisce però in alcun modo la verifica delle fonti né la responsabilità di chi firma l'articolo.

Il fronte più acceso, a giudicare dalla copertura di TechCrunch, riguarda scuola e lavoro. Diversi utenti temono che un segnale statistico, per sua natura probabilistico e imperfetto, venga trattato come una prova definitiva di frode accademica o di cattiva fede professionale. Il rischio non è teorico: un testo tradotto o rivisto leggermente da Claude può non generare alcun segnale rilevabile, mentre un riscontro positivo potrebbe indicare tanto una generazione integrale quanto una semplice traduzione, senza che il detector sia in grado di distinguere i due scenari. Chiunque debba valutare un elaborato, un insegnante, un responsabile delle risorse umane, dovrebbe trattare il watermark come un indizio da contestualizzare, non come un verdetto, tenendo conto della cronologia delle modifiche, degli appunti, del processo di lavoro nel suo complesso.

Restano aperte anche questioni di governance meno discusse ma non meno rilevanti. Chi controlla l'accesso alla chiave di rilevamento, con quali garanzie di audit e revoca, non è ancora chiaro nella documentazione pubblica. Anthropic ha annunciato di stare lavorando a un'API di rilevamento dedicata, senza però fornire ancora dettagli su autenticazione, soglie, formati supportati, tempi. È il passaggio che deciderà se questo strumento resterà un principio dichiarato o diventerà una pratica verificabile da terzi indipendenti, scuole, piattaforme editoriali, servizi di moderazione, con tutti i rischi di uso improprio che l'apertura di un simile strumento comporta, dalla sorveglianza sul posto di lavoro alla selezione del personale basata su un segnale che, lo ripetiamo, non è mai una certezza.

Un pezzo di un puzzle più grande

Il codice europeo di buone pratiche sulla trasparenza dei contenuti generati dall'IA, elaborato con un processo multi-stakeholder coordinato dall'AI Office, ha raccolto circa 190 firmatari, tra cui Google, Meta, Microsoft, OpenAI, Mistral, Cohere e Synthesia oltre alla stessa Anthropic. L'adesione al codice resta volontaria, gli obblighi dell'articolo 50 sono invece vincolanti per legge, una distinzione che vale la pena tenere a mente quando si legge che "tutta l'industria" si sta muovendo nella stessa direzione: lo fa, ma con margini di libertà molto diversi da azienda ad azienda.

Quello che emerge, mettendo insieme fonti ufficiali e reazioni della stampa internazionale, è un quadro a metà tra il progresso tecnico e la scommessa non ancora vinta. Rispetto ai detector che analizzano lo stile a posteriori, il watermark incorporato nella generazione è un approccio più sofisticato, perché nasce dentro il processo invece di essere dedotto dopo. La sua efficacia reale dipenderà però da fattori ancora aperti: la disponibilità concreta di un'API di rilevamento, la robustezza dopo editing e traduzioni multiple, l'esistenza di test indipendenti su lingue diverse dall'inglese e su domini tecnici, e soprattutto la cautela con cui scuole, aziende e redazioni sceglieranno di interpretare un risultato positivo o negativo.

Sapere che Claude è intervenuto in un testo, in fondo, non risponde alla domanda più importante, quella su chi abbia elaborato le idee, verificato i dati, assunto la responsabilità di ciò che viene pubblicato. Il watermark può aggiungere trasparenza tecnica sulla provenienza di un contenuto, non sostituisce il giudizio umano su cosa farne di quella informazione. Anthropic sta scommettendo che un segnale invisibile, se maneggiato con cura, valga più di nessun segnale affatto. Resta da vedere se il resto del mondo, dagli insegnanti ai giudici passando per i colleghi di redazione, sarà disposto a usarlo con la stessa cautela con cui è stato costruito.