I piani di watermarking di Anthropic e Google trasformano parole comuni in un'etichetta AI

Anthropic ha deciso di dotare i nuovi modelli Claude di watermark testuali invisibili, pur riconoscendo che normali modifiche possono indebolire o cancellare il segnale. Il confronto tra Anthropic e Google è ora rilevante perché entrambe le aziende usano scelte statistiche delle parole per rispondere alla crescente richiesta di provenienza AI leggibile dalle macchine.

Anthropic afferma che il suo sistema contrassegna il testo tramite decisioni lessicali irrilevanti. Anche SynthID Text di Google modifica le probabilità dei token mentre un modello genera una risposta. Nessuno dei due approcci inserisce un'etichetta visibile, un carattere Unicode nascosto o un contrassegno permanente di proprietà.

Questa distinzione crea il conflitto centrale. Le autorità di regolamentazione vogliono che i contenuti generati restino identificabili, ma il linguaggio è particolarmente facile da riscrivere, tradurre, accorciare o combinare con il lavoro umano. Un watermark può aiutare nelle verifiche di provenienza senza dimostrare chi abbia effettivamente scritto un documento.

Il tempismo è normativo. L'Articolo 50 dell'AI Act dell'Unione europea è divenuto applicabile il 2 agosto 2026. Le sue disposizioni sulla trasparenza richiedono ai fornitori di rendere rilevabili gli output generati in un formato leggibile dalle macchine, quando tecnicamente fattibile.

Per aziende, sviluppatori, editori e studenti, la questione va oltre Claude o Gemini. La marcatura statistica può seguire il testo tramite copia e incolla. Tuttavia, può anche contrassegnare documenti in cui un sistema AI si è limitato a tradurre, formattare o rifinire una scrittura umana.

I nuovi modelli di Anthropic contrassegneranno il testo in tutto il mondo

Anthropic considera il watermarking un requisito a livello di modello, non una funzionalità regionale limitata agli utenti europei.

Le linee guida sulla marcatura dell'azienda affermano che i nuovi modelli contrassegneranno i contenuti generati fin dal loro primo rilascio. Anthropic applica l'approccio ovunque tali modelli siano offerti, compresi i mercati al di fuori dell'Unione europea.

Questa portata significa che il contrassegno può comparire nei prodotti Claude e nei canali di distribuzione. Non è limitato al testo copiato dal sito web di Claude. Gli output forniti tramite API o un partner cloud possono portare lo stesso segnale statistico.

La politica copre i modelli rilasciati dopo che gli obblighi UE sono divenuti applicabili il 2 agosto 2026. Anthropic prevede inoltre di rendere conformi i modelli precedenti idonei durante un periodo di transizione che termina il 2 dicembre.

Il watermarking testuale di Anthropic funziona diversamente dai metadati dei file. Il segnale è intrecciato nel linguaggio generato attraverso scelte che l'azienda descrive come irrilevanti. Si tratta di punti in cui più parole possono comunicare quasi la stessa idea senza modificare materialmente la risposta.

I file generati ricevono un ulteriore livello di provenienza. Anthropic afferma che le immagini supportate, inclusi i file SVG, PNG e JPG, possono contenere metadati firmati basati sullo standard di provenienza dei contenuti C2PA.

Le credenziali C2PA registrano informazioni su come un file compatibile sia stato creato o modificato. Tali informazioni viaggiano in un manifesto firmato anziché attraverso il modello statistico usato per il testo semplice.

L'uso di metodi separati riflette le proprietà di ciascun mezzo. Un'immagine contiene molti pixel modificabili e può anche includere metadati strutturati. Il testo semplice offre meno punti in cui nascondere informazioni senza alterarne il significato.

L'annuncio di Anthropic segue il codice di trasparenza UE, un quadro volontario di conformità sviluppato attraverso un processo multi-stakeholder. Il codice separa gli obblighi dei fornitori di contrassegnare i contenuti dagli obblighi dei deployer di applicare etichette visibili.

Questa separazione è importante. Un watermark leggibile dalle macchine aiuta il software a ispezionare un output, ma non comunica automaticamente al lettore che è stata coinvolta l'AI. Editori e altri deployer possono comunque essere soggetti a distinti obblighi di divulgazione.

L'Articolo 50 non stabilisce nemmeno una regola universale secondo cui ogni frase assistita dall'AI debba ricevere un avviso pubblico. La legge contiene eccezioni e distinzioni relative alla revisione editoriale, ai contenuti di interesse pubblico, al lavoro artistico e alla responsabilità della pubblicazione.

L'implementazione di Anthropic è più ampia dell'ambito geografico minimo. Un modello coerente a livello globale evita di mantenere comportamenti di generazione separati per richieste europee e non europee. Offre inoltre agli sviluppatori downstream un'unica politica di provenienza da documentare.

Questa coerenza ha un costo. Uno sviluppatore al servizio di utenti in Canada o negli Stati Uniti può ricevere output contrassegnati perché il modello sottostante segue una politica globale. La posizione dell'utente non rimuove necessariamente il segnale.

L'evento modifica quindi più della documentazione di conformità di Claude. Introduce la provenienza nel normale percorso di generazione dei modelli futuri, trasformando una regola UE sulla trasparenza in un comportamento globale del prodotto.

Come il watermarking testuale di Anthropic e Google usa la scelta delle parole

Il watermark è una tendenza statistica distribuita tra molte scelte, non un messaggio segreto nascosto in una singola parola.

Un modello linguistico produce testo un token alla volta. Un token è una parola, un segno di punteggiatura o un frammento di parola che il modello elabora come unità di generazione.

A ogni passaggio, il modello assegna probabilità ai possibili token successivi. Diversi candidati possono essere accettabili quando la frase non richiede una risposta esatta. Un sistema di watermarking può favorire candidati selezionati secondo un modello segreto.

Si consideri una frase comune su una riunione. Il modello potrebbe scegliere tra “tuttavia”, “comunque” o “eppure” senza modificare l'informazione centrale. Molte piccole scelte possono creare una firma statistica rilevabile in una risposta più lunga.

Anthropic descrive la propria marcatura in termini di parole irrilevanti. Questa formulazione suggerisce che il sistema prenda di mira scelte in cui una sostituzione non dovrebbe modificare significato, accuratezza fattuale o dettagli utili.

L'azienda non ha divulgato pubblicamente ogni parametro di implementazione. I lettori dovrebbero quindi evitare di presumere che il suo rilevatore, la struttura delle chiavi segrete o le soglie di punteggio corrispondano al design di Google.

Google ha spiegato il proprio approccio con maggiori dettagli. Google SynthID text modifica le probabilità dei token durante la generazione e valuta il modello risultante durante il rilevamento.

Google afferma che il suo metodo funziona meglio su risposte più lunghe e varie. Saggi, script e bozze alternative di email offrono a un modello molte opportunità di scegliere tra token plausibili.

I prompt fattuali rappresentano un caso più difficile. Una domanda con una risposta breve ed esatta lascia al modello poca libertà. Modificare una parola chiave potrebbe rendere la risposta meno accurata, quindi un watermark sicuro dispone di meno scelte utilizzabili.

Lo stesso vincolo si applica a codice sorgente, formule, citazioni, clausole legali e linguaggio standardizzato. Una sostituzione apparentemente irrilevante può diventare rilevante quando contano la sintassi o la formulazione precisa.

Google ha valutato SynthID Text su circa 20 milioni di risposte Gemini per una ricerca pubblicata su Nature. I ricercatori hanno confrontato generazioni con e senza watermark, includendo i feedback degli utenti sulla qualità delle risposte.

La conseguente ricerca sul watermarking ha descritto un design non distorsivo. In tale quadro, il sistema evita di assegnare probabilità a token che il modello senza watermark non avrebbe potuto selezionare.

Questa proprietà favorisce la preservazione della qualità, ma non rende il segnale indistruttibile. Google afferma che il ritaglio, alcune modifiche e una leggera parafrasi possono preservare una certa rilevabilità. Una riscrittura approfondita o una traduzione possono ridurre drasticamente la confidenza.

Anthropic fornisce avvertimenti analoghi. Un testo breve potrebbe non contenere abbastanza scelte perché un rilevatore raggiunga la soglia di confidenza. Combinare passaggi contrassegnati e non contrassegnati può diluire il modello.

Le modifiche profonde pongono un problema più fondamentale. Un watermark statistico dipende dalla sequenza selezionata. Sostituire un numero sufficiente di parole genera una sequenza diversa, anche quando il documento revisionato conserva il significato originale.

Copiare il testo in un elaboratore di testi non rimuove di per sé il segnale. Il contrassegno è rappresentato dalle parole, quindi il normale copia e incolla conserva la sequenza pertinente.

Le modifiche di formattazione sono più complesse. Spostare paragrafi può preservare molti modelli locali, mentre una sintesi aggressiva può eliminarli. Una traduzione rigenera quasi ogni token e può eliminare la firma originale.

Questo meccanismo spiega perché invisibile non significa permanente. Spiega anche perché un rilevatore restituisce evidenze con un livello di confidenza, anziché trovare un numero di serie incontestabile.

La distinzione pratica tra Anthropic e Google è quindi minore di quanto suggeriscano i titoli. Entrambi gli approcci dipendono da regolarità statistiche nel linguaggio generato. Entrambi affrontano lo stesso conflitto tra rilevabilità, qualità e resistenza alle modifiche.

Il confronto tra Anthropic e Google riguarda in realtà la conformità

Anthropic e Google stanno convergendo sul watermarking perché la regolamentazione ora premia una provenienza implementabile, anche quando la tecnologia resta incompleta.

Google ha introdotto SynthID per le immagini nel 2023, per poi estenderlo a testo e video nel 2024. L'azienda ha successivamente reso open source il componente testuale affinché altri sviluppatori di modelli potessero incorporare il watermarking nelle pipeline di generazione.

Nel luglio 2026, Google ha firmato il Codice di condotta UE sulla trasparenza dei contenuti generati dall'AI. Il suo impegno nel codice ha evidenziato SynthID, C2PA e partnership a sostegno di watermarking interoperabili.

Anthropic aveva in precedenza assunto una posizione pubblica più prudente. In una presentazione del 2023 al governo degli Stati Uniti, aveva definito il watermarking promettente ma facile da aggirare per attori malevoli.

L'azienda aveva inoltre avvertito che testi dannosi o fuorvianti potrebbero ricevere un contrassegno valido. Un watermark può identificare il coinvolgimento di un modello senza stabilire che l'affermazione risultante sia accurata o sicura.

Quella valutazione precedente non è diventata irrilevante. La politica di Anthropic del 2026 include limitazioni esplicite, mostrando che l'implementazione non equivale a fiducia nel watermarking come sistema indipendente di responsabilità.

Ciò che è cambiato è il contesto di conformità. La Commissione europea afferma che gli obblighi dell'Articolo 50 affrontano l'inganno e la manipolazione tramite requisiti di marcatura, rilevamento ed etichettatura.

La Commissione ha approvato il codice di trasparenza come percorso volontario adeguato per dimostrare la conformità. I firmatari ottengono un quadro di implementazione comune negli Stati membri dell'Unione europea.

I fornitori che scelgono una strada diversa possono comunque essere conformi. Tuttavia, devono dimostrare che le loro misure alternative soddisfano la legge. Questa valutazione individuale può introdurre maggiore incertezza e lavoro amministrativo.

Questo rende commercialmente razionale un watermark tecnicamente imperfetto. Un segnale standardizzato e documentato può sostenere flussi di lavoro di conformità, integrazioni di piattaforma e registri di audit, anche quando non può sopravvivere a ogni attacco.

L'avversario principale non è Anthropic contro Google in quanto fornitori rivali. È la richiesta normativa di un'identificazione persistente contrapposta alla natura modificabile del linguaggio.

Entrambe le aziende possono migliorare rilevatori, chiavi e metodi di generazione. Nessuna può impedire a un utente di esprimere la stessa idea con parole completamente diverse.

Anche OpenAI ha sostenuto il codice europeo sulla trasparenza e ha espresso l'ambizione di estendere i segnali di provenienza a più modalità. Questo ampio allineamento aumenta la pressione verso uno standard di settore.

Se i principali fornitori contrassegnano il testo in modo diverso, le piattaforme si troveranno ad affrontare un problema di integrazione. Un editore, una scuola o un'azienda potrebbero aver bisogno di rilevatori e policy separati per Claude, Gemini, ChatGPT e modelli più piccoli.

L'interoperabilità può ridurre questo onere. Tuttavia, gli standard condivisi pongono anche questioni di governance relative all'accesso ai rilevatori, alla gestione dei segreti, alle soglie, ai ricorsi e ai test indipendenti.

I modelli open source aggiungono un'altra complicazione. Un distributore può abilitare un watermark, ma un utente che controlla i pesi del modello e il software di inferenza può rimuovere tale comportamento.

I servizi chiusi possono applicare la marcatura in modo più coerente perché gli utenti non controllano la pipeline di generazione. Questa differenza rischia di creare aspettative di conformità diseguali tra sistemi ospitati e sistemi gestiti in autonomia.

Esiste anche un problema di attribuzione. Un contrassegno rilevabile può identificare la partecipazione di una famiglia di modelli senza rivelare il flusso di lavoro umano che lo circonda.

Un addetto alle comunicazioni potrebbe redigere un comunicato e chiedere a Claude di correggere la punteggiatura. Un traduttore potrebbe usare Claude per un solo paragrafo. Uno sviluppatore potrebbe accettare soltanto alcune righe da una risposta generata molto più ampia.

Il rilevamento non può, da solo, ricostruire tali decisioni. Non può stabilire se un umano abbia approvato ogni affermazione né se il modello abbia originato l'argomentazione del documento.

Le organizzazioni necessitano quindi di registri del flusso di lavoro accanto ai segnali a livello di output. Un processo strutturato di gestione della conoscenza può preservare fonti, bozze, approvazioni e cronologia delle revisioni quando l'attribuzione è importante.

Il watermarking copre una parte di tale documentazione. Fornisce agli investigatori un ulteriore indizio leggibile dalle macchine. Non sostituisce la documentazione relativa a prompt, modifiche, revisione umana o responsabilità della pubblicazione.

Un Contrassegno Rilevato Non È una Prova di Paternità AI

Il rischio maggiore non è che il watermark fallisca sempre, ma che le persone trattino un segnale incerto come un verdetto definitivo.

Anthropic avverte che il testo contrassegnato può iniziare come scrittura umana. Se Claude corregge bozze, riformatta o traduce un passaggio, la versione restituita può contenere la firma statistica del modello.

Questo risultato non significa che Claude abbia originato l'argomentazione, la ricerca o i fatti sottostanti. Significa che il modello ha partecipato alla produzione della sequenza esaminata.

Anche l'inferenza inversa fallisce. L'assenza di un contrassegno non prova che il testo sia stato scritto da una persona. Il passaggio potrebbe essere troppo breve, fortemente modificato, tradotto o generato da un modello non contrassegnato.

Queste limitazioni contano nelle scuole e nei luoghi di lavoro, dove il risultato di un rilevatore può innescare accuse. Un segnale probabilistico non dovrebbe diventare l'unica base per provvedimenti disciplinari, licenziamenti o accertamenti di plagio.

Il problema ricorda gli attuali classificatori di scrittura AI, ma il watermarking dispone di una base tecnica più solida quando il fornitore controlla la generazione. Un rilevatore può cercare uno schema incorporato deliberatamente invece di formulare ipotesi sullo stile di scrittura.

Ciononostante, il rilevatore deve operare con una soglia. Impostare una soglia rigorosa può non rilevare testo contrassegnato. Abbassarla può aumentare i falsi allarmi su materiale non contrassegnato o scritto da esseri umani.

La ricerca indipendente offre motivi di cautela. Un preprint del luglio 2026 ha valutato implementazioni di tre metodi di watermarking testuale secondo un quadro proposto per la preparazione forense.

La sua valutazione forense ha riportato elevati tassi di falsi negativi nelle configurazioni testate. I ricercatori hanno inoltre rilevato falsi allarmi e una sostanziale incertezza per la loro implementazione di SynthID.

Questi risultati non dovrebbero essere considerati un audit diretto del sistema privato di Anthropic. Hanno testato implementazioni rappresentative e specifiche impostazioni sperimentali, non il rilevatore di produzione di Anthropic.

Mostrano però perché le dichiarazioni di implementazione necessitano di valutazioni riproducibili. Le prestazioni dipendono dalla lunghezza del testo, dalla lingua, dal modello, dalla forza del watermark, dalle soglie del rilevatore, dalle modifiche e dalla conoscenza dell'attaccante.

La qualità è un'altra questione aperta. Anthropic afferma di modificare solo formulazioni irrilevanti, ma l'importanza può dipendere dal contesto.

Un sinonimo che funziona nel copy di marketing potrebbe introdurre ambiguità in un contratto. Una modifica a un token che preserva l'intento generale di un programma potrebbe comunque interrompere la compilazione o alterarne il comportamento in fase di esecuzione.

I modelli possono evitare la marcatura di segmenti vincolati, ma ogni eccezione riduce il segnale disponibile. Un sistema che protegge il linguaggio esatto deve raccogliere prove dalle restanti parti flessibili di una risposta.

Gli sviluppatori vorranno risultati separati per prosa, codice sorgente, dati strutturati e documenti misti. Un unico tasso medio di rilevamento nasconderebbe differenze significative tra questi formati.

L'uso multilingue crea un ulteriore punto critico. La traduzione può rimuovere un watermark di origine, mentre la generazione diretta in un'altra lingua richiede test adeguati per la tokenizzazione e la grammatica di quella lingua.

La questione è particolarmente importante per i modelli globali. Il lancio mondiale di Anthropic estende la funzionalità a lingue e sistemi di scrittura diversi, non solo alla prosa inglese.

Anche gli avversari hanno opzioni semplici. Possono chiedere a un altro modello di riscrivere l'output, tradurlo due volte o unirlo a testo non correlato.

Nessuna azienda di watermarking sostiene che un singolo segnale possa fermare un operatore motivato. Google afferma esplicitamente che SynthID non è progettato come una difesa completa contro avversari determinati.

Questo non rende inutile il watermarking. Molti controlli di sicurezza aumentano i costi o supportano l'identificazione di routine senza sconfiggere ogni attaccante.

I filtri antispam non intercettano alcuni messaggi. I metadati resistenti alla manomissione possono essere rimossi. I sistemi di autenticazione possono essere oggetto di phishing. Il loro valore deriva dall'uso a strati, da limiti misurati e da risposte appropriate.

I watermark testuali dovrebbero seguire lo stesso modello. Le piattaforme possono combinarli con metadati firmati, registri degli account, informative visibili, analisi dei contenuti e indagini umane.

Le aziende dovrebbero inoltre separare la provenienza dalla verità. Un paragrafo contrassegnato può contenere informazioni accurate, mentre un paragrafo umano non contrassegnato può contenere disinformazione.

Il contrassegno risponde a una domanda circoscritta sul processo di generazione. Non convalida le citazioni, non risolve la titolarità del copyright e non stabilisce la responsabilità editoriale.

Questo confine deve rimanere chiaro nelle interfacce di prodotto. Un rilevatore dovrebbe riportare il livello di confidenza e le limitazioni, non produrre una vistosa dichiarazione rossa secondo cui il software ha “scoperto” un autore a usare l'AI.

I meccanismi di ricorso saranno importanti ovunque le decisioni incidano sulle persone. Gli utenti hanno bisogno di un modo per spiegare paternità mista, traduzione, assistenza all'accessibilità e flussi di lavoro di editing.

Senza queste salvaguardie, la tecnologia di provenienza può creare una nuova categoria di falsa certezza. La risposta normativa ai media sintetici introdurrebbe allora un proprio problema di fiducia.

Cosa Osservare Dopo il Lancio del Watermark di Anthropic

Tre segnali determineranno se la marcatura statistica del testo diventerà un'infrastruttura utile o un'altra fragile funzionalità di rilevamento.

Il primo segnale è costituito dai test indipendenti del watermarking testuale di Anthropic. I ricercatori necessitano di accesso autorizzato agli strumenti di rilevamento, ai protocolli di valutazione e a campioni rappresentativi dei modelli contrassegnati.

I test dovrebbero riportare risultati su lunghezze di risposta, lingue, codice, risposte fattuali, prosa creativa, traduzione, sintesi e documenti misti umano-macchina. Dovrebbero inoltre pubblicare i tassi di falsi positivi e falsi negativi.

Risultati solidi in queste condizioni sosterrebbero l'affermazione di Anthropic secondo cui scelte lessicali irrilevanti forniscono un segnale utile. Prestazioni deboli al di fuori della prosa inglese lunga restringerebbero il ruolo pratico della funzionalità.

Il secondo segnale è l'interoperabilità tra Anthropic, Google, OpenAI, piattaforme e organismi di standardizzazione. Un watermark ha una portata limitata se solo il suo creatore può rilevarlo attraverso un processo privato.

L'accesso sicuro ai rilevatori crea un equilibrio difficile. Un accesso ampio aiuta editori e ricercatori, ma una divulgazione dettagliata può aiutare gli attaccanti a identificare e rimuovere il segnale.

Il mercato necessita di un modello di fiducia praticabile. I verificatori approvati potrebbero ricevere servizi di rilevamento autenticati senza ricevere il materiale segreto usato durante la generazione.

Le partnership di Google attorno a SynthID indicano una più ampia adozione, mentre C2PA offre un quadro complementare per la provenienza dei file firmati. Il testo necessita ancora di convenzioni per comunicare il livello di confidenza e la paternità mista.

Se i fornitori pubblicano output compatibili e regole di valutazione comuni, l'Articolo 50 può spingere la provenienza verso l'infrastruttura. Rilevatori privati frammentati indebolirebbero tale risultato.

Il terzo segnale è l'applicazione delle norme dopo il periodo di transizione per i modelli più vecchi. I fornitori hanno tempo fino al 2 dicembre 2026 per integrare i sistemi legacy idonei nel nuovo quadro.

Le autorità di regolamentazione dovranno chiarire cosa significano in pratica “rilevabile” e “tecnicamente fattibile”. Queste definizioni determinano se contrassegni deboli soddisfano la legge o richiedono una resilienza misurabile.

Le decisioni di applicazione mostreranno inoltre come le autorità trattano i modelli open source, le risposte brevi, il codice e i servizi costruiti su API di terze parti. Ogni caso mette in discussione una semplice regola incentrata sul fornitore.

La convergenza tra Anthropic e Google ha già stabilito una direzione importante. La provenienza leggibile dalle macchine sta passando dalla ricerca volontaria sulla sicurezza alla normale architettura di prodotto.

Ciò che resta irrisolto è il peso probatorio di tale provenienza. Un segnale rilevabile può supportare un'indagine, ma non può raccontare l'intera storia di un documento.

Le organizzazioni dovrebbero prepararsi prima che i rilevatori diventino di uso comune. Hanno bisogno di policy che distinguano tra generazione AI, assistenza AI, revisione umana e responsabilità editoriale finale.

Dovrebbero conservare bozze e fonti quando l'attribuzione comporta conseguenze legali, accademiche o reputazionali. Dovrebbero inoltre vietare punizioni automatizzate basate sul risultato di un solo rilevatore.

Per gli utenti quotidiani, la domanda pratica è semplice: saresti a tuo agio se un passaggio copiato da Claude portasse un segnale rilevabile dopo essere uscito dalla chat?

Se la risposta dipende dal contesto, registra quel contesto. Conserva la bozza umana, verifica le affermazioni, rendi nota una generazione sostanziale quando richiesto e considera qualsiasi watermark Anthropic Google come una prova piuttosto che un verdetto.