Claude mette il watermark sui testi, firma di nascosto quello che scrive e non lo puoi cancellare

Nei testi generati da Claude arriva il watermark invisibile, noi non lo possiamo vedere ma la firma continua ad accompagnare il tetso anche quando esce dalla finestra del chatbot e per esempio  vengono copiati in Word o inviati per posta elettronica, ma anche se inseriti nel CMS di un sito. Non è un metadato nascosto nel documento,  bisogna chiarirlo, e non  è una sequenza di caratteri invisibili. È un watermark invisibile incorporato nel testo stesso, una firma pensata per essere riconosciuta dalle macchine senza modificare ciò che leggono gli esseri umani, si base sulla statistica, come tutte le cose che riguardano l’AI.

Claude mette il watermark sui testi, e ora?

Anthropic ha iniziato a introdurre questa tecnologia nei testi generati da Claude nell’ambito degli impegni previsti dal Code of Practice on Transparency of AI-Generated Content, collegato all’articolo 50 dell’AI Act europeo. La novità potrebbe sembrare una delle tante conseguenze tecniche della regolamentazione dell’intelligenza artificiale, ma in realtà introduce un cambiamento molto più profondo, perché fino a oggi abbiamo cercato soprattutto di riconoscere un testo artificiale dagli stili tipici dell’AI, la triade, il chiasmo, gli elenchi simmetrici, l’assenza di riferimenti specifici; adesso è il sistema che lo genera a lasciare deliberatamente una traccia della propria attività.

Per capire la differenza basta pensare ai tanti servizi di AI detection comparsi negli ultimi anni. Il loro compito è osservare un testo e cercare di stabilire, sulla base delle sue caratteristiche linguistiche e statistiche, se sia più probabile che sia stato scritto da un essere umano oppure da un modello generativo. Con il watermark il problema viene rovesciato: non bisogna più indovinare chi abbia scritto quelle parole, perché dentro la loro generazione può essere stato inserito fin dall’inizio un segnale destinato a raccontarne la provenienza, questo passaggio che potrebbe cambiare il rapporto fra intelligenza artificiale, editoria, università, aziende e piattaforme digitali.

Come funziona il watermark invisibile di Claude

Anthropic definisce il proprio sistema un imperceptible watermark, una marcatura invisibile, ma non solo invisibile, ma più specificamente incorporata negli output di testo dei modelli. Secondo l’azienda, il meccanismo non dovrebbe modificare in maniera percepibile significato, qualità o leggibilità del testo e, soprattutto, essendo incorporato nell’output, dovrebbe continuare a essere rilevabile dopo un normale copia e incolla e persino dopo alcune modifiche. Documentazione ufficiale Anthropic sul watermark di Claude

Anthropic non ha ancora pubblicato tutti i dettagli tecnici necessari per stabilire esattamente quale algoritmo utilizzi Claude e sarebbe quindi sbagliato descriverne il funzionamento come se conoscessimo già il codice. Possiamo però descrivere esattamente il principio sul quale si basano i sistemi di text watermarking per Large Language Model, e capire perché una firma possa rimanere dentro un semplice testo anche dopo averlo copiato da un’applicazione all’altra.

Quando un modello linguistico costruisce una frase non la possiede già completa in qualche archivio interno, ma procede generando una sequenza di parole. per ogni frase esistono diverse possibili formulazioni, ciascuna associata a una determinata probabilità. Davanti alla frase «Il mercato dell’intelligenza artificiale sta…», per esempio, il modello potrebbe avere buone ragioni per scegliere parole come «crescendo», «cambiando», «accelerando» oppure «evolvendo». Un sistema di watermarking può intervenire proprio in questo momento, modificando in maniera estremamente lieve le probabilità di alcune alternative, di alcune parole, secondo una regola conosciuta dal sistema che successivamente dovrà riconoscere la firma.

Una singola scelta non significa praticamente nulla e nessuno potrebbe leggere la parola «evolvendo» e dedurre che sia stata scritta da Claude. Quando però il processo viene ripetuto centinaia o migliaia di volte, la distribuzione delle scelte può costruire un segnale statisticamente riconoscibile. Il watermark, quindi, non deve necessariamente essere qualcosa che si trova accanto alle parole: può essere contenuto nel modo in cui quelle parole sono state scelte.

È lo stesso principio generale sul quale lavora da tempo la ricerca scientifica dedicata al watermarking dei modelli linguistici ed è simile, concettualmente, a quello descritto pubblicamente da Google DeepMind per SynthID Text, che interviene sulle probabilità dei token durante la generazione in modo da produrre una firma rilevabile senza alterare in maniera significativa la qualità dell’output. Google DeepMind: come funziona SynthID

Questo non significa che Anthropic stia necessariamente utilizzando la stessa tecnologia di Google, ma aiuta a comprendere perché cercare caratteri invisibili dentro un documento, ripulire la formattazione o passare il testo attraverso un editor non rappresenti una soluzione: se il segnale è nella scelta statistica delle parole, la formattazione non c’entra.

Perché il copia e incolla non basta a far sparire la firma

Qui sta uno degli aspetti più interessanti dell’annuncio. Siamo abituati a pensare che la natura digitale di un file si ricostruisca attraverso i metadati: una fotografia può contenere informazioni sulla macchina utilizzata, un documento può conservare il nome dell’autore e un file generato dall’intelligenza artificiale può includere informazioni sul modello usato per crearlo. Il problema è che i metadati sono relativamente fragili, perché possono essere eliminati volontariamente oppure semplicemente perdersi durante una conversione o un passaggio da un servizio all’altro.

Anthropic utilizza infatti un sistema diverso per alcuni file prodotti da Claude, come PNG, JPG e SVG, nei quali può inserire informazioni di provenienza basate sullo standard C2PA. Nel caso del testo, invece, l’idea è quella di evitare che la firma dipenda da un “passaporto”. Se copiamo un paragrafo da Claude e lo incolliamo dentro Word, non stiamo copiando il file originale ma soltanto le parole; se il watermark è costruito attraverso quelle parole, però, stiamo copiando anche il materiale che il  il sofware detector può riconscere.

Questo significa che una sequenza molto comune come Claude → copia → Word → CMS → pagina web potrebbe non essere sufficiente a cancellare la firma. È un dettaglio fondamentale per chi produce contenuti professionalmente, perché sposta il watermark dal mondo dei file a quello delle parole.

Chi può leggere la firma nascosta di Claude

Chi può leggere la firma nascosta di Claude è probabilmente la domanda più importante e, al momento, anche quella sulla quale è più facile prendere delle cantonate. Non esiste oggi un sistema pubblico universale nel quale chiunque possa incollare un articolo e ricevere una risposta incontrovertibile del tipo «questo testo è stato scritto da Claude 4.5». Anthropic afferma però che sta  lavorando affinché utenti e terze parti possano rilevare i watermark e le informazioni di provenienza inserite nei contenuti generati dai suoi modelli e promette di pubblicare ulteriore documentazione tecnica sui meccanismi di detection. Anthropic: How Claude marks AI-generated content

La distinzione è importante. Anthropic, essendo il soggetto che introduce la marcatura, dispone naturalmente delle informazioni necessarie per sviluppare un detector. Non sappiamo ancora, però, quanto sarà aperto il sistema di verifica: potrebbe essere messo a disposizione un servizio pubblico, potrebbe esistere un’API, potrebbero essere distribuiti strumenti specifici oppure potrebbe essere pubblicata una documentazione sufficiente a consentire verifiche indipendenti. Il punto è che la logica introdotta dall’Europa richiede che le marcature dei contenuti generati dall’intelligenza artificiale siano machine-readable e rilevabili. Il nuovo Code of Practice nasce precisamente per definire le modalità con cui i fornitori di sistemi generativi possono rispettare gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act. Commissione europea: Code of Practice on AI-generated content

Quello che invece non risulta dalla documentazione pubblicata da Anthropic è altrettanto importante: la firma non è stata presentata come un identificatore dell’utente. Non ci sono elementi per sostenere che, prendendo un articolo pubblicato online e rilevandone il watermark, un soggetto esterno possa risalire all’account Claude che lo ha prodotto, al prompt originale, alla conversazione o all’identità della persona che utilizzava il servizio. La differenza fra identificare il modello e identificare l’autore umano è enorme e diventerà probabilmente uno dei punti più delicati dell’intero sistema.

Se Claude corregge il mio articolo, chi lo ha scritto?

Il problema emerge immediatamente quando abbandoniamo il caso più semplice, quello nel quale qualcuno chiede a Claude «scrivimi un articolo di 10.000 battute» e pubblica integralmente la risposta.

Immaginiamo invece che un giornalista trascorra una giornata a raccogliere informazioni, faccia due interviste, costruisca la struttura di un pezzo e scriva personalmente 8.000 battute, poi incolli tutto dentro Claude chiedendo di correggere gli errori grammaticali e rendere più fluido qualche periodo. Il testo restituito dal sistema potrebbe contenere il watermark, ma sarebbe assurdo dedurne automaticamente che l’articolo è stato «scritto dall’intelligenza artificiale». Lo stesso problema si presenta con una traduzione, con il riassunto di una trascrizione o con la trasformazione di appunti in un formato più ordinato. Anthropic stessa mette in guardia da un’interpretazione troppo semplice del risultato: la presenza della marcatura può indicare che il contenuto è stato processato da Claude, ma non stabilisce da sola quanto del lavoro intellettuale originario appartenga al modello.

Qui nasce una distinzione che rischia di diventare decisiva nei prossimi anni: provenienza e paternità non sono la stessa cosa.

Un watermark può raccontare che un testo è passato attraverso una determinata tecnologia, ma non può ricostruire automaticamente il processo editoriale che lo ha prodotto. Non sa chi abbia trovato la notizia, verificato le fonti, scelto le domande di un’intervista, deciso la tesi dell’articolo o costruito il ragionamento. Se riducessimo tutto a «watermark presente uguale testo AI», avremmo costruito uno strumento tecnicamente sofisticato per arrivare a una conclusione sbagliata.

La differenza fra watermark e AI detector

Per comprendere la portata della novità bisogna separare due tecnologie che spesso vengono confuse. Gli attuali AI detector cercano generalmente di inferire, d capire,  l’origine di un testo analizzandone le caratteristiche: prevedibilità, distribuzione linguistica, struttura delle frasi e altri segnali statistici. È un approccio inevitabilmente probabilistico e ha prodotto negli anni errori e falsi positivi, soprattutto quando viene applicato a testi brevi, tradotti o scritti da persone con stili particolarmente regolari. Il watermark parte invece da una posizione privilegiata, perché il segnale viene introdotto deliberatamente dal sistema che genera il contenuto.

È una differenza simile a quella che passa tra cercare di riconoscere il modello di un’automobile osservando le tracce degli pneumatici sull’asfalto e leggerrne la targa. Nel secondo caso disponiamo di un’informazione intenzionalmente progettata per essere riconoscibile, ma anche la targa ha un limite: identifica un veicolo, non necessariamente la persona che in quel momento lo stava guidando: lo stesso vale per Claude. La presenza di una firma potrebbe fornire un’indicazione molto più solida sulla provenienza tecnologica rispetto ai tradizionali detector, senza per questo trasformarsi automaticamente in una prova della paternità del testo.

Si può perdere il watermark di Claude?

Sì, ed è Anthropic stessa ad ammetterlo. Un watermark testuale deve risolvere un problema quasi contraddittorio: essere sufficientemente forte da sopravvivere alle normali trasformazioni di un testo, ma abbastanza discreto da non modificarne la qualità e, soprattutto, da non produrre falsi positivi. La documentazione di Anthropic riconosce che modifiche profonde, parafrasi, traduzioni o combinazioni con altri contenuti possono ridurre la possibilità di rilevare il segnale. Anche la lunghezza conta, perché poche parole possono semplicemente non offrire una quantità sufficiente di informazioni statistiche per stabilire con una sicurezza accettabile la presenza della firma.

Non esiste, almeno sulla base delle informazioni pubbliche disponibili, una percentuale che consenta di affermare che cambiando il 20, il 30 o il 50 per cento delle parole il watermark scompaia. La robustezza dipende dall’algoritmo utilizzato, dalla lunghezza del documento, dal tipo di trasformazione e dalla soglia adottata dal detector, ed è precisamente questo uno dei campi sui quali si concentra la ricerca sul text watermarking.

C’è però una conseguenza ancora più importante: se il detector non trova la firma di Claude, non significa affatto che il testo sia stato scritto da un essere umano. Potrebbe essere stato prodotto con un modello non ancora dotato del watermark, potrebbe essere stato profondamente modificato, potrebbe essere troppo corto oppure potrebbe semplicemente provenire da ChatGPT, Gemini, Llama o da un altro sistema. Il watermark, quindi, non risolve il problema generale della AI detection. Risponde a una domanda molto più circoscritta e, proprio per questo, potenzialmente più affidabile: questo testo conserva un segnale riconducibile al sistema che lo ha generato?

L’AI Act sta trasformando una regola europea in uno standard mondiale

Il momento scelto da Anthropic per lanciare questa funzione non è casuale. Dal 2 agosto 2026 sono applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act per determinati contenuti generati o manipolati dall’intelligenza artificiale. La Commissione europea richiede che gli output dei sistemi generativi siano marcati in un formato machine-readable e rilevabile, tenendo conto delle caratteristiche tecniche dei diversi media. Commissione europea: trasparenza dei contenuti generati dall’AI. Digitalic ha seguito l’evoluzione dell’AI Act e delle nuove regole europee sull’intelligenza artificiale fin dalle prime fasi, ma il watermark di Claude permette di osservare un fenomeno particolarmente interessante: una norma europea può finire per modificare tecnicamente prodotti utilizzati in tutto il mondo.

Anthropic, infatti, non ha scelto di creare una versione europea di Claude che firma i testi e una versione internazionale che non lo fa. Per i modelli supportati la marcatura è destinata a essere applicata globalmente, anche attraverso le API e le piattaforme cloud sulle quali Claude viene distribuito. È una manifestazione quasi da manuale del cosiddetto Brussels effect: quando il mercato regolato è sufficientemente grande e importante, può essere più conveniente trasformare la norma locale in uno standard globale piuttosto che mantenere infrastrutture differenti.

Non riguarda soltanto chi usa Claude nel browser

Un altro aspetto facilmente sottovalutato è che Claude non vive soltanto dentro Claude.ai. I modelli Anthropic vengono utilizzati attraverso API, strumenti per sviluppatori e infrastrutture cloud e possono trovarsi dietro applicazioni nelle quali l’utente finale non vede neppure il nome Claude.

Anthropic indica tra gli ambienti interessati Claude, Claude Code e la propria piattaforma API e prevede il supporto alla marcatura anche nella distribuzione dei modelli attraverso grandi provider cloud. Questo significa che il watermark potrebbe diventare una proprietà dell’infrastruttura generativa sottostante, non semplicemente una funzione dell’interfaccia utilizzata dall’utente.

Per le aziende la questione assume quindi una dimensione completamente diversa. Un sistema interno che utilizza Claude per generare descrizioni di prodotti, documentazione, risposte ai clienti o report potrebbe produrre enormi quantità di testo contenente una firma di provenienza, anche se chi legge quei contenuti non ha mai interagito direttamente con Claude.

Google ha già SynthID, OpenAI per ora segue una strada diversa

Anthropic non è la sola azienda a muoversi in questa direzione. Google DeepMind lavora da tempo a SynthID, una famiglia di tecnologie per inserire watermark invisibili in immagini, audio, video e testo generati dall’intelligenza artificiale. Nel caso di SynthID Text, Google descrive pubblicamente un sistema che interviene sulla distribuzione dei token durante la generazione e successivamente analizza il testo per verificare la presenza del segnale. Google DeepMind SynthID

OpenAI sta invece costruendo una strategia più ampia di content provenance. Nel maggio 2026 ha annunciato l’uso combinato delle Content Credentials basate su C2PA e di Google SynthID per rafforzare la provenienza delle immagini generate dai propri sistemi, insieme a strumenti destinati alla verifica. OpenAI: Advancing content provenance

Per il normale testo prodotto da ChatGPT, tuttavia, al momento non è stato annunciato pubblicamente un watermark statistico equivalente a quello che Anthropic sta introducendo in Claude. OpenAI ha studiato in passato il problema del watermarking testuale e la situazione potrebbe naturalmente cambiare, soprattutto adesso che gli obblighi europei sono diventati operativi, ma sarebbe prematuro sostenere che ogni risposta di ChatGPT porti già con sé una firma invisibile analoga. La competizione fra i grandi produttori di modelli potrebbe quindi aprire un nuovo fronte. Finora abbiamo misurato chi avesse il modello più intelligente, più veloce, più economico o dotato della finestra di contesto maggiore; presto potremmo cominciare a confrontare anche chi sia in grado di certificare meglio la provenienza di ciò che produce.

Per giornali ed editori il problema non sarà capire se c’è l’AI, ma come è stata usata

È probabilmente nell’editoria che i rischi di una classificazione manichea appare più evidente. Un giornale può utilizzare l’intelligenza artificiale per trascrivere un’intervista, tradurre una dichiarazione, correggere la grammatica, riassumere un documento di cento pagine, suggerire un titolo oppure generare integralmente un articolo. Mettere tutte queste attività sotto l’etichetta «contenuto AI» significa perdere tutta l’informazione che davvero conta.

Il watermark rende paradossalmente questa distinzione ancora più urgente, perché potrebbe fornire una prova tecnica del passaggio attraverso un modello senza raccontare come quel modello sia stato utilizzato. Un testo scritto interamente da un giornalista e corretto da Claude potrebbe risultare marcato, mentre un articolo generato integralmente da un sistema e successivamente sottoposto a trasformazioni profonde potrebbe perdere parte del segnale.

Per questo l’editoria avrà bisogno di qualcosa di più sofisticato della semplice AI detection: dovrà definire la propria catena editoriale di provenienza, distinguendo la raccolta delle informazioni, la verifica delle fonti, la scrittura, la revisione e l’eventuale intervento dei sistemi generativi.

Il watermark non dice se una notizia è vera

Rimane infine un equivoco che rischia di accompagnare tutta questa tecnologia. Un contenuto certificato come umano non è automaticamente vero e un contenuto identificato come generato dall’intelligenza artificiale non è automaticamente falso. Un giornalista può inventare una notizia, mentre un modello può riassumere correttamente un bilancio societario; allo stesso modo un modello può allucinare una fonte e un essere umano può verificare scrupolosamente ogni informazione. Il watermark racconta la provenienza, non l’attendibilità.

È un’informazione preziosa, ma non è un certificato che attesta la veridicità di un testo. Confondere i due piani rischierebbe anzi di creare una falsa sicurezza ancora più pericolosa: se imparassimo a diffidare automaticamente di tutto ciò che porta una firma AI, potremmo finire per attribuire implicitamente maggiore credibilità a qualsiasi contenuto che non la possiede, proprio mentre diventa sempre più facile produrre artificialmente contenuti privi di un watermark riconoscibile.

Stiamo costruendo un Internet in cui i contenuti lasciano impronte

Quello si cui dobbiamo concentrarci non è solo che Claude metta una firma invisibile dentro quello che scrive, la vera questione è che stiamo cominciando a costruire un’infrastruttura della provenienza per l’Internet generativo. Per trent’anni la copia digitale ha avuto una caratteristica straordinaria: poteva essere perfettamente identica all’originale e contemporaneamente perdere quasi completamente la propria storia. Una fotografia viene scaricata, un testo copiato, un video ricodificato, uno screenshot estratto dal contesto e, passaggio dopo passaggio, diventa sempre più difficile capire da dove sia arrivato il contenuto che abbiamo davanti.

L’intelligenza artificiale rende questo problema gigantesco, perché la produzione non avviene più soltanto su scala umana.  I sistemi come C2PA, Content Credentials, SynthID e adesso il watermark testuale di Claude stanno cercando di ricostruire quel link, non attraverso un’etichetta appiccicata alla fine del processo, ma inserendo informazioni sulla provenienza nel contenuto o nella sua struttura fin dal momento della generazione.

Naturalmente non sarà un sistema perfetto, le firme potranno degradarsi, tecnologie diverse utilizzeranno standard diversi, esisteranno contenuti non marcati e continueranno a esserci tentativi di aggirare i sistemi di rilevamento. Soprattutto, nessun watermark potrà dirci da solo chi sia realmente l’autore intellettuale di un’opera o se quello che stiamo leggendo sia vero.