Anthropic ha annunciato che le prossime versioni di Claude genereranno testo con una filigrana digitale incorporata. Niente panico: non vedrete caratteri strani o asterischi nascosti. La differenza tra un testo watermarkato e uno normale? Invisibile all’occhio umano. Eppure c’è, ed è misurabile.
Perché lo stanno facendo
La risposta breve: l’EU AI Act li obbliga. Anthropic, insieme ad altri giganti dell’AI e circa 190 firmatari totali, ha sottoscritto il Codice di Pratica EU sulla Trasparenza dei Contenuti Generati da AI a luglio 2026. Il requisito? Marcare i testi prodotti dall’intelligenza artificiale. Per ora il watermark sarà globale — non hanno ancora un modo affidabile per limitarlo solo all’Europa — ma valuteranno approcci diversi in futuro.
Come funziona: il trucco sta nelle scelte casuali
I modelli linguistici come Claude funzionano generando una parola alla volta. Ogni volta che deve scegliere la parola successiva, Claude valuta una lista di candidate e sceglie quella più sensata in base al contesto. Esempio classico: ‘Il tempo oggi era freddo e…’. La parola successiva difficilmente sarà ‘zuccherino’. Molto più probabili ‘nuvoloso’ o ‘grigio’.
Nella maggior parte dei casi, al lettore non cambia nulla se Claude sceglie una o l’altra — il significato resta lo stesso. Queste micro-decisioni, che si ripetono centinaia di volte in un testo, sono il terreno perfetto per il watermarking.
Il watermark sfrutta proprio queste scelte a basso rischio per lasciare un pattern nelle risposte di Claude. Pattern invisibile al lettore, ma rilevabile da chiunque abbia la chiave che lo codifica. Quando il watermarking è attivo, le scelte restano casuali, ma la fonte della casualità cambia. Invece di usare un generatore di numeri random qualsiasi, Claude usa la chiave e le parole precedenti per decidere quale parola scegliere.
Le parole che Claude sceglie sono ancora random, sia chiaro. Ma ora è possibile controllare la sequenza e verificare se è coerente con le scelte che Claude farebbe usando quella chiave. Se lo è, si può assegnare una probabilità che il testo sia stato generato da Claude.
L’analogia del Monopoli e i decimali di Pi greco
Immaginate di giocare a Monopoli. Ogni turno, ogni giocatore avanza di un numero casuale di caselle secondo il lancio del dado. Ora supponiamo che, invece di tirare il dado, decidiate di usare un libro con i decimali di Pi greco. Partite da una cifra scelta a caso (diciamo la 1.012.845esima dopo la virgola, che guarda caso è un 6), e da lì in poi ogni giocatore usa semplicemente la cifra successiva come prossimo ‘lancio’.
Per tutti gli scopi pratici, le mosse restano casuali: non fa differenza ai giocatori — o all’esito della partita — se la casualità viene da Pi greco o dai dadi. Ma se potessimo vedere la sequenza di tutte le mosse dopo la partita (e conoscessimo il valore di Pi greco), potremmo capire se questa partita ha probabilmente usato Pi greco per determinare le mosse. La partita che ha usato Pi greco è, in un certo senso, ‘watermarkata’.
È lo stesso per i testi generati da Claude. Il watermarking non cambia il significato o l’esperienza per chi legge, ma se volete verificare a posteriori se il testo è stato probabilmente generato da Claude, il watermark ve lo permette.
Quale metodo usano esattamente
Il watermark di Claude è una versione dell’approccio SynthID-Text pubblicato da Google DeepMind su Nature nel 2024. Appartiene a una famiglia di tecniche che risalgono a una proposta di Scott Aaronson del 2022, tutte basate sullo stesso principio: il watermark modifica solo la fonte della casualità usata per scegliere tra le parole.
Ci sono limiti, ovvio. Usando la loro chiave, si può solo rispondere alla domanda ‘Qual è la probabilità che questo sia stato scritto in parte da Claude?’ Non conferma se il testo è stato scritto da un umano, e non può dire se è stato scritto da un’altra AI (anche se quell’altra AI usa watermarking, avrebbe una chiave diversa; potrebbe anche usare un metodo completamente diverso).
Quando il watermark funziona male
Rilevare un watermark non funziona bene su campioni piccoli, dove ci sono meno scelte di parole e quindi meno informazioni su cui lavorare. Man mano che un passaggio aumenta di lunghezza, la confidenza sul coinvolgimento di Claude aumenta.
Il watermarking è più sparso su passaggi fattuali dove ci sono meno scelte possibili senza diminuire l’accuratezza del testo. Esempio: ‘L’opera più famosa di Isaac Newton si chiamava Principia…’. La parola successiva deve essere ‘Mathematica’ (è l’unica risposta corretta), quindi il watermark non ha spazio d’azione. Lo stesso vale per il proofreading. Se date a Claude un pezzo di testo chiedendogli di correggere solo grammatica e punteggiatura, il watermark può vivere solo nella manciata di correzioni, che potrebbero essere troppo poche per essere rilevate.
Il watermark cambia la qualità dell’output?
No. Nei test interni di Anthropic non hanno visto alcun impatto del watermarking su contenuto, creatività o leggibilità. Nel paper di SynthID-Text, Google DeepMind ha testato servendo un modello watermarkato a una porzione del traffico Gemini, confrontando i pollici su e giù. Risultato? Nessuna differenza statisticamente significativa rispetto al modello non watermarkato. E in uno studio controllato, valutatori umani che confrontavano risposte watermarkate e non watermarkate fianco a fianco non hanno visto differenze di qualità.
Per i lettori, una risposta watermarkata è indistinguibile da una non watermarkata. In questo senso, i watermark AI differiscono sostanzialmente dalle loro controparti fisiche su banconote o documenti digitali, che sono visibili a occhio nudo.
Cosa cambia per gli utenti
Rallenta il modello o costa di più?
No. Il watermarking ha un impatto trascurabile sulla velocità, e siccome non produce token extra, il modello costa lo stesso da servire e usare.
Il watermark può essere ricondotto a me o alla mia organizzazione?
No. Il watermarking si applica a Claude e ai suoi output. Non identifica nulla che abbia a che fare con singoli utenti. Non c’è niente nel watermark, o nella sua chiave, che permetterebbe a chiunque di recuperare informazioni sull’utente, la loro organizzazione o le loro chat con Claude.
E per il codice?
Come abbiamo detto, il watermarking AI sfrutta decisioni dove entrambe le scelte di una parola sarebbero ugualmente buone. Dove serve un output esatto — dove non c’è scelta, e qualcosa sarebbe fattualmente sbagliato o un pezzo di codice si romperebbe se venisse scelto un termine diverso — il watermark non viene applicato.
Esempio: una volta che il modello ha scritto ‘2 + 2 =’, c’è una scelta molto chiara per il token successivo (se il modello sta completando la somma, non c’è risposta altrettanto buona quanto ‘4’; se sta parlando di 1984 di Orwell, non c’è risposta altrettanto buona quanto ‘5’). La ‘spinta’ del watermark non verrebbe applicata qui. Per lo stesso motivo, il codice — che in moltissimi casi deve essere esatto — ha generalmente meno watermarking rispetto ad altre forme di testo.
Detto questo, nelle aree dove c’è una scelta arbitraria tra parole o termini particolari all’interno del codice, il watermark può essere usato. I commenti nel codice, per esempio. Ma per definizione, avrà un effetto trascurabile sul codice effettivamente prodotto.
Altre domande frequenti
Come faccio a controllare se un pezzo di testo è stato scritto da Claude?
Anthropic offrirà presto un’API di rilevamento watermark. Stanno lavorando ai dettagli dell’implementazione.
E per immagini e altri file?
Quando Claude produce un file di tipo supportato (come .png, .jpg o .svg), allega una credenziale di contenuto sotto forma di una piccola nota crittograficamente firmata nei metadati del file, che dice che il file è stato creato o processato con Claude. È uno standard industriale aperto chiamato C2PA — lo stesso usato dai produttori di fotocamere e nei software di foto-editing per registrare da dove viene un’immagine. Qualsiasi tool compatibile con C2PA può leggerlo; Anthropic ne fornirà uno proprio dove potrete trascinare un file e controllare.
Questa etichetta nei metadati è molto diversa da un watermark. Niente nel file cambia — non è incorporato o nascosto. Come per il testo, la credenziale dice solo che Claude è stato coinvolto nella produzione del file; non include informazioni identificative.
Non si può semplicemente modificare il testo per aggirare il watermarking?
Fino a un certo punto, sì. Una modifica leggera probabilmente non rimuoverà completamente il watermark; una riscrittura completa dove ogni parola viene sostituita sì. In quest’ultimo caso, ovviamente, è discutibile se il testo possa ancora essere descritto come generato da AI.
Cosa prova effettivamente un watermark?
Un watermark può solo determinare che Claude è stato probabilmente coinvolto con il contenuto a un certo punto. Non può distinguere ‘Claude ha scritto questo’ da ‘Claude ha pesantemente modificato questo’.
Come differisce dai software di rilevamento AI, tipo Pangram?
I software di rilevamento AI usano un metodo diverso, perché le aziende che li forniscono non hanno la chiave di Anthropic. Tra le altre cose, quei servizi guardano aspetti del testo come i ‘segni rivelatori’ sottili (e non così sottili) che spesso appaiono nel modo di esprimersi dell’AI. Per esempio, i modelli AI sembrano affezionati alla costruzione ‘questo non è [X], è [Y]’, e usano la parola ‘quietly’ molto più di quanto ci si aspetterebbe. Cogliere questi pattern è fondamentalmente diverso dal controllare un watermark.
Questo cambia chi possiede un dato output, o chi ne è legalmente responsabile?
No. Un watermark aiuta solo a testare se Claude potrebbe aver prodotto o processato il contenuto. Non dice nulla su proprietà o paternità, e non cambia i diritti dell’utente secondo i loro termini. Applicano il watermark solo quando Claude è stato coinvolto nel processare il contenuto o il file.
Il watermarking arriverà anche per i modelli Claude più vecchi nei prossimi mesi — la legge EU include un periodo di transizione per i modelli Anthropic lanciati prima del 2 agosto 2026.
