Dal 2 agosto 2026 nei testi generati dai nuovi modelli di Claude, Anthropic ha introdotto un watermark invisibile, pensato per rendere riconoscibile i contenuti generati o processati da Claude senza tuttavia modificare quello che il lettore vede. È una novità pensata per via degli obblighi europei di trasparenza sull’intelligenza artificiale (in particolare, l’attuazione dell’articolo 50 dell’AI Act europeo) e affianca i metadati C2PA destinati alle immagini e altri tipi di file non testuali.
Il watermark per il testo non sarà una firma evidente né una prova assoluta dell’autore: piuttosto, dovrebbe essere un segnale statistico da verificare con degli strumenti dedicati. Il sistema, non ancora completo perché Anthropic non ha ancora presentato gli strumenti di rilevazione né fornito indicazioni operative su come viene effettuato il watermarking, offre vantaggi importanti. Ma ci sono anche dei limiti che non vanno sottovalutati.
Il quadro generale
Anthropic ha deciso di applicare il sistema a livello globale e senza opt-out, indipendentemente dalla posizione geografica dell’utente o dal prodotto utilizzato: Claude, API, Claude Code, Claude Cowork e Claude Tag. I nuovi modelli lanciati a partire dal 2 agosto 2026 supportano la marcatura al lancio. Anthropic si è anche presa l’impegno di estendere nel tempo il sistema ai modelli precedenti.
Ma come si fa a sapere se un testo è stato generato da Claude? Per adesso non è possibile: il rilevatore, infatti, non è ancora disponibile al pubblico. Inoltre, Anthropic non ha comunicato se sarà uno strumento aperto, un’API o un servizio riservato a soggetti autorizzati.
La scelta fatta da Anthropic non è spontanea, ma fa parte di un obbligo normativo europeo al quale l’azienda americana ha deciso di aderire. La base è l’articolo 50 dell’AI Act europeo, che impone ai fornitori di sistemi generativi di incorporare nei contenuti marcatori leggibili dalle macchine, interoperabili e resistenti alle modifiche. Anthropic ha aderito anche al Codice di condotta volontario della Commissione europea, che conferisce ai firmatari una presunzione di conformità normativa.
Le sanzioni per il mancato rispetto arrivano fino a 15 milioni di euro o al 3% del fatturato mondiale annuo, a seconda di quale cifra risulti più alta. Per adesso non sappiamo come gli altri attori del mercato (OpenAI, Google, Meta, Microsoft) potrebbero aderire.
Come funziona la tecnica dei token
Anche se Anthropic non ha ancora detto come farà ad applicare il watermark, possiamo fare delle ipotesi perché la ricerca accademica nel settore è già attiva da anni e ha sviluppato gli approcci tra i quali l’azienda di Dario Amodei potrà scegliere. Le tecniche che seguono, quindi, sono quelle che sono state studiate dai ricercatori e non il modo con il quale sicuramente funziona il meccanismo di watermark di Anthropic.
La tecnica più documentata nella ricerca accademica è il cosiddetto watermarking generativo, basato sul cosiddetto metodo “lista verde/lista rossa“: durante la scrittura, un algoritmo divide il vocabolario del modello in due gruppi e spinge il modello a preferire leggermente i token di uno dei due gruppi. Il risultato è un testo perfettamente leggibile, ma con una distribuzione statistica riconoscibile dagli strumenti dedicati. La preferenza a una delle due liste di parole è così sottile che nessuna parola risulta fuori posto.
Un esempio per capire: tra “sostiene” e “afferma”, o tra “tuttavia” e “però”, il modello potrebbe preferire sistematicamente la prima opzione senza che il testo suoni innaturale. Il rilevatore, conoscendo la chiave segreta che ordina le parole del dizionario e l’algoritmo di sostituzione, ricostruisce quale gruppo viene favorito in ogni parte del testo e confronta la distribuzione effettiva con quella attesa in un testo che venga invece scritto da una persona ignara della regola.
In pratica, quando l’algoritmo di verifica trova un eccesso statisticamente significativo di token di una lista, assegna un punteggio che concorre a definire la valutazione su chi abbia generato il testo: umano o artificiale. Ovviamente questo metodo, se verrà applicato da Anthropic, funzionerà solo con i testi generati da Claude e non da altri LLM.
Tutte le tecniche in gioco
| Approccio | Come funziona | Punto forte / limite |
|---|---|---|
| Lista verde / lista rossa | A ogni passo il modello favorisce leggermente alcuni token rispetto ad altri, creando una firma statistica invisibile. | Semplice e rilevabile statisticamente; può essere indebolito da parafrasi e riscritture. |
| Lista contestuale | La divisione tra token favoriti e non favoriti cambia in base al contesto e ai token precedenti, usando una chiave segreta. | Più difficile da riconoscere e rimuovere con semplici regole lessicali; più sensibile alle modifiche strutturali. |
| Watermark semantico | Il segnale viene costruito sfruttando il significato del testo, non soltanto la sequenza dei token. | Può resistere meglio alle parafrasi; è più complesso da costruire e verificare. |
| Watermark sintattico | Il sistema sfrutta caratteristiche della struttura grammaticale e della prevedibilità sintattica per introdurre il segnale. | Può evitare alcuni limiti dei metodi basati sui singoli token; è una linea di ricerca molto recente. |
| Watermark nelle rappresentazioni | Il segnale viene incorporato nelle rappresentazioni interne del modello, anziché soltanto nella scelta dei token in uscita. | Può offrire maggiore robustezza; richiede però accesso o controllo del modello e rende la verifica più complessa. |
Contesto e semantica: le altre tecniche
Ci sono almeno altre due tecniche per creare un watermark in un testo. La prima è la cosiddetta variante contestuale del metodo lista verde/lista rossa. In questo secondo approccio, la divisione del vocabolario cambia a ogni passo in funzione dei token precedenti, seguendo un algoritmo pseudocasuale controllato da una chiave segreta.
Lo scopo è quello di impedire la creazione di strumenti di “difesa”, che servano cioè a trovare ed eliminare automaticamente i watermark. In pratica, con la tecnica della variante contestuale il watermark non è più una sequenza fissa di parole ricorrenti, e quindi non può essere eliminato cercando regolarità lessicali di superficie. Anche questa tecnica ha un limite che sta nella dipendenza dalla struttura originale: se il testo viene tagliato, riordinato o inserito in un contesto diverso, il rilevatore potrebbe non riuscire a ricostruire il segnale.
La terza tecnica è quella del watermark semantico. Qui si sposta l’attenzione dalla scelta dei singoli token al livello del significato: l’algoritmo sceglie tra formulazioni equivalenti o quasi equivalenti secondo una regola segreta di stile, preferendo certe configurazioni sintattiche, certi ritmi di frase o certi ordini informativi piuttosto che parole specifiche. Un segnale di questo tipo, potremmo definirlo stilistico, è in teoria più robusto e resistente alla parafrasi, perché sopravvive alle sostituzioni delle singole parole (quello che conta è la struttura e il ritmo delle frasi).
Il rovescio della medaglia è che è intrusivo. Imporre troppe regole a livello di significato rischia di peggiorare lo stile, ridurre la varietà espressiva e penalizzare alcuni tipi di testi (ad esempio quelli tecnici, giuridici o poetici) dove le formulazioni equivalenti sono poche. Per questo è meno probabile che venga utilizzato.
Un segnale, non una sentenza
Il watermark non implica direttamente che un testo sia stato scritto dalla macchina. Invece, può essere presente anche in testi solo revisionati, tradotti o riassunti con Claude, non necessariamente generati dal modello in misura dominante. Chi usa l’intelligenza artificiale ad esempio per correggere la bozza di un proprio lavoro, oppure chi ha necessità di tradurlo in un’altra lingua, potrebbe ritrovarsi con contenuti marcati come artificiali, pur avendo scritto personalmente tutto. C’è un equilibrio molto difficile da gestire per chi studia questo tipo di watermark: la soglia di rilevamento è soggetta a un compromesso, cioè abbassarla troppo genera falsi positivi, mentre alzarla aumenta i falsi negativi.
Ovviamente vale anche l’inverso: l’assenza del watermark non è la prova che un testo sia stato scritto senza utilizzare l’AI. Il segnale scompare quando il testo viene editato a lungo (direttamente dall’utente o usando un altro modello linguistico meno “creativo” ma capace di fare delle buone parafrasi del testo), oppure se viene tradotto, se viene accorciato o comunque rielaborato. In questi casi la ricerca accademica mostra che, dopo una riscrittura profonda, il segnale resta rilevabile solo su testi lunghi, secondo i ricercatori corrispondenti a sequenze non interrotte nell’ordine di almeno 800 token.
Alla fine, il watermark viene proposto come un indizio da affiancare ad altre verifiche, non una prova autonoma su chi abbia effettivamente scritto quel testo. Gli effetti di questo approccio non saranno tecnologici ma sociali: non è impossibile che avvenga una vera e propria “caccia alle streghe dell’AI“, accusando gli autori “scoperti” a generare testo con Claude di colpe pari se non peggiori a quelle del plagio.