Comment fonctionne le watermarking des textes de Claude

Ce qu’est le marquage des textes de Claude

Le marquage des textes de Claude est un biais appliqué lorsque le modèle sélectionne les mots. Il ne s’agit pas d’une balise attachée au fichier ni d’une suite de caractères Unicode invisibles que vous pourriez supprimer avec une expression régulière. Anthropic le décrit dans How Claude's text watermarking works, daté du 14 août 2026 : le mécanisme « modifie uniquement la source de l’aléatoire utilisée pour choisir entre les mots », en utilisant une clé secrète et les quelques mots précédents. Comme la marque dépend des mots sélectionnés, elle résiste au copier-coller et disparaît lorsque les mots changent.

Deux conséquences en découlent. Elles expliquent pourquoi ce sujet suscite autant de recherches. La détection est un test statistique qui nécessite beaucoup de mots pour être significatif. Elle ne peut donc rien conclure d’utile à partir d’une seule phrase. De plus, un résultat négatif ne prouve rien : le centre d’aide d’Anthropic précise que « l’absence de marque détectée ne signifie pas que le contenu n’a pas été généré ou traité par une IA ».

La page d’aide How Claude marks AI-generated content, consultée le 18 août 2026, indique les services concernés : « Claude Platform (API), Claude, Claude Code, Claude Cowork et Claude Tag », y compris les accès via AWS, Google Cloud et Microsoft Foundry. Les modèles lancés le 2 août 2026 ou après cette date prennent en charge le marquage lisible par machine dès leur lancement. Anthropic indique que la prise en charge des modèles antérieurs est en cours. Cette date n’est pas fortuite. L’article 50 de l’AI Act de l’UE s’applique à partir du 2 août 2026. Il impose aux fournisseurs de systèmes générant du texte synthétique de marquer la sortie « dans un format lisible par machine et détectable comme ayant été générée ou manipulée artificiellement ». Anthropic indique appliquer ce marquage dans le monde entier, et pas uniquement au trafic provenant de l’UE.

Les fichiers fonctionnent différemment. La page d’aide indique que les fichiers générés pris en charge (« .svg, .png ou .jpg ») contiennent des métadonnées de provenance signées cryptographiquement, conformes au standard C2PA (Coalition for Content Provenance and Authenticity). Il s’agit de métadonnées attachées aux côtés du contenu du fichier, et non d’une modification de son contenu. C’est pourquoi elles disparaissent si facilement.

Comment le watermark influe sur le choix des tokens

À chaque étape, un modèle de langage calcule une probabilité pour chaque token (un token est un mot ou une partie de mot) qu’il pourrait écrire ensuite. Un sampler en sélectionne un. Normalement, le caractère aléatoire de cette sélection provient d’une source de nombres aléatoires classique. Un sampler avec watermark remplace cette source par une fonction pseudo-aléatoire à clé. Ses entrées sont la clé secrète et les derniers tokens. La sélection est donc reproductible par toute personne qui possède la clé, tout en ressemblant à une variation ordinaire pour les autres.

La première version publique largement citée est A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023). Avant chaque token, la clé et les tokens précédents sélectionnent un sous-ensemble pseudo-aléatoire « vert » du vocabulaire. Le sampler ajoute ensuite un petit bonus au score de ces tokens. Aucun token n’est interdit. Le texte reste donc fluide, mais les tokens verts apparaissent un peu plus souvent que ne le permettrait le hasard.

Le billet d’Anthropic indique que son implémentation repose sur SynthID-Text, publié par Google DeepMind dans Nature en octobre 2024 sous le titre Scalable watermarking for identifying large language model outputs. Il précise également que cette famille d’idées remonte à une proposition de Scott Aaronson datant de 2022. SynthID-Text tire plusieurs tokens candidats de la propre distribution du modèle, puis organise entre eux un tournoi à élimination directe évalué par la fonction à clé. Le token retenu tend ainsi à être favorisé par la clé. Les candidats proviennent de la propre distribution du modèle. C’est pourquoi l’évaluation publiée ne signale aucune perte de qualité mesurable.

La conséquence importante concerne l’entropie. Le biais ne peut agir que lorsque le modèle dispose d’un véritable choix. Si le seul token suivant correct est Paris, aucun procédé ne peut le remplacer sans rendre le texte incorrect. Anthropic l’indique directement : le watermark est « plus dispersé dans les passages factuels, où il existe moins de choix pouvant être faits sans réduire l’exactitude du texte », et le code « comporte généralement moins de watermark que certaines autres formes de texte », car il doit habituellement être exact. La densité du signal suit la liberté dont disposait le modèle. Un long texte rédigé librement porte donc une marque forte, tandis qu’une courte réponse factuelle n’en porte presque aucune.

Il faut toutefois mentionner une limite importante. Au 18 août 2026, Anthropic a publié la famille à laquelle appartient son procédé, mais pas ses paramètres ni le seuil du détecteur. Les mécanismes décrits dans cette section proviennent des articles cités. Considérez-les comme la conception publiée qu’Anthropic cite, et non comme une description de la configuration exacte de Claude.

Pourquoi la détection est un test d’hypothèse, pas une estampille

Un détecteur prend le texte et la clé. Il parcourt le texte, recalcule ce que la clé aurait favorisé à chaque position, attribue un score à chaque token, puis additionne les scores. L’hypothèse nulle est que le texte a été écrit sans cet échantillonneur utilisant une clé : les scores se comportent alors comme des résultats de pile ou face, et le total reste proche de sa valeur attendue. Le texte marqué s’en écarte vers le haut. Le résultat est une p-value, c’est-à-dire la probabilité d’obtenir un total aussi élevé avec un texte dépourvu de marquage. Le verdict « détecté » consiste à comparer cette p-value à un seuil choisi par quelqu’un.

Cette conception a deux effets concrets. La confiance augmente avec la longueur, car chaque token supplémentaire constitue un élément de preuve faible. Anthropic le formule ainsi : « La détection d’un marquage ne fonctionne pas bien non plus sur de petits échantillons, où il y a moins de choix de mots et donc moins d’informations disponibles. » Le seuil implique également un compromis. Si vous le définissez assez bas pour signaler un paragraphe, vous commencerez à signaler par hasard des paragraphes rédigés par des humains.

Vous ne pouvez pas encore exécuter ce test vous-même. Le billet d’Anthropic indique que l’entreprise « proposera bientôt une API de détection du marquage » et qu’elle « est en train de définir les détails de son implémentation ». Ainsi, au 18 août 2026, il n’existe pas de détecteur public du marquage Claude, et personne en dehors d’Anthropic ne peut confirmer ou réfuter l’affirmation selon laquelle un passage donné porte cette marque.

Cette lacune est importante, car elle explique vers quoi les utilisateurs se tournent à la place. Les « détecteurs d’IA » commerciaux vendus aux établissements scolaires et aux éditeurs sont des classifieurs entraînés sur le style d’écriture. Ils ne possèdent aucune clé et n’exécutent aucun test de ce type. Leur mode d’échec est documenté : les détecteurs de GPT sont biaisés contre les personnes qui n’écrivent pas l’anglais comme langue maternelle (Liang et al., Patterns, 2023) ont montré que des détecteurs largement utilisés signalaient comme générés par une IA plus de la moitié d’un ensemble de dissertations du TOEFL rédigées par des personnes non anglophones, tout en classant correctement les échantillons rédigés par des anglophones natifs. Un détecteur de marquage et un classifieur de style sont deux outils différents. Ne laissez personne vous fournir le second en le présentant comme le premier.

Ce qui supprime le filigrane

Réponses courtes. Une réponse d’une ligne offre trop peu de choix pour modifier une statistique. Il n’existe pas de correctif, car il s’agit d’une propriété du test et non d’une lacune de l’implémentation.

Réécriture. Anthropic indique qu’une modification légère peut laisser la marque lisible, tandis qu’« une réécriture complète où chaque mot est remplacé » la supprime. Chaque mot remplacé est un mot que la clé ne peut plus expliquer.

Paraphrase avec un autre modèle. Un second modèle choisit à nouveau chaque token avec son propre sampler et sans clé. Le résultat porte donc la marque de ce modèle, s’il en possède une, et non celle de Claude.

Traduction, avec une exception. Faire passer le texte anglais de Claude par un autre traducteur détruit le signal, car un nouveau sampler choisit chaque mot cible. Anthropic précise le cas inverse : « Une traduction produite par Claude porte un filigrane, car chaque mot est alors choisi par Claude. »

Code, en grande partie. Un code correct offre peu de choix interchangeables. TechCrunch a rapporté le 15 août 2026 qu’Anthropic s’attend à « un effet négligeable sur le code effectivement produit », les marques étant plus susceptibles d’apparaître dans les commentaires. Il s’agit d’un article de presse rapportant une déclaration de l’entreprise, et non d’une documentation publiée. Considérez donc le détail concernant les commentaires comme non confirmé. Les commentaires et les noms d’identifiants sont les parties d’un patch qui offrent réellement une marge de choix.

Suppression des métadonnées pour les fichiers. Les informations de provenance C2PA sont stockées à côté des données de l’image. Toute opération qui réencode généralement le fichier les supprime, sauf si elle est configurée pour les conserver. Cela inclut l’optimiseur d’images utilisé lors d’un build classique de site statique. La page d’aide d’Anthropic mentionne la suppression des métadonnées parmi les raisons pour lesquelles une marque disparaît.

Ce que prouve réellement une marque détectée

Moins que ne le laisse penser le terme « watermark ». L’article d’Anthropic est explicite : « Un watermark peut seulement déterminer que Claude a probablement été utilisé pour ce contenu à un moment donné. Il ne peut pas distinguer “Claude a écrit ceci” de “Claude a fortement modifié ceci”. » La page d’aide précise que « Claude n’est peut-être pas l’auteur d’origine », car les utilisateurs se servent de Claude pour modifier des textes qu’ils ont eux-mêmes rédigés. Le contenu peut également avoir été modifié après l’intervention de Claude.

Aucun document publié par Anthropic ne décrit un signal propre à un compte ou à un utilisateur. D’après la documentation disponible, la marque indique qu’un modèle Claude est intervenu. Si quelqu’un affirme qu’un watermark révèle quel utilisateur ou quelle clé API a produit un passage, cette affirmation ne figure pas dans les sources primaires au 18 août 2026.

La détection concerne-t-elle la publication de code généré avec l’aide de l’IA depuis votre serveur ?

Pour le code, la réponse technique est généralement non, pour les deux raisons déjà indiquées : le signal est faible dans le code exact et aucun détecteur public n’existe. Ce qui détermine si vous pouvez publier le code relève de la politique, qui n’a pas changé. Les projets open source ont défini leurs propres règles pour les contributions assistées par l’IA, et ces règles sont appliquées par un mainteneur qui lit votre pull request, pas par un détecteur qui analyse vos tokens.

Pour le texte généré par votre serveur, la réponse est oui, d’une manière précise. Si un appel d’API rédige vos notes de version ou vos pages produit, les mots viennent de Claude : le marquage est donc présent dans le texte. Convertir le markdown en HTML, réduire le code, stocker le résultat dans Postgres et le servir depuis un CDN ne modifient pas les mots ; ces opérations ne modifient donc pas non plus le marquage. Ce qui le dégrade, c’est la réécriture des phrases par un éditeur humain.

Vous ne pouvez pas supprimer le watermark avec un prompt. Il est appliqué dans la couche d’échantillonnage, sous le texte produit par le modèle. Une instruction comme « ne pas appliquer de watermark à ce texte » ne peut donc pas agir. La situation est différente de la raison habituelle pour laquelle un agent ignore une instruction que vous avez écrite : dans ce cas, l’instruction est bien parvenue au modèle, mais elle a été supplantée par un autre élément. Au 18 August 2026, aucune option officielle de désactivation n’est documentée pour les clients de l’API.

Si vous utilisez Claude pour administrer un serveur plutôt que pour rédiger à votre place, cela change très peu de choses. Les commandes shell et les extraits de configuration sont courts et contraints. Ils contiennent donc presque aucun signal, et le marquage n’a aucun effet sur ce qui s’exécute sur votre machine. L’administration quotidienne d’un serveur avec Claude soulève une autre question : qu’est-ce qui quitte votre machine au départ ? Consultez ce qu’un agent de programmation envoie réellement depuis votre serveur.

Ce que vous devez signaler

Le signalement relève des règles applicables, pas de la détection. Un watermark ne crée aucune obligation de signalement et ne vous en dispense pas non plus. Déterminez quelle règle vous lie, puis respectez-la, qu’un contrôle puisse ou non le détecter.

L’EU AI Act distingue deux obligations. L’article 50(2) impose le marquage au fournisseur, en l’occurrence Anthropic. C’est l’obligation à laquelle ce déploiement répond. L’article 50(4) impose une obligation au déployeur : toute personne qui publie un texte généré par une IA « pour informer le public sur des questions d’intérêt général » doit signaler qu’il a été généré artificiellement. Une exemption couvre toutefois la plupart des équipes éditoriales : « le contenu généré par l’IA a fait l’objet d’un processus de vérification humaine ou d’un contrôle éditorial, et une personne physique ou morale assume la responsabilité éditoriale de la publication ». Ces deux dispositions s’appliquent à partir du 2 août 2026. Un article vérifié par un éditeur identifié est traité différemment d’un flux qui publie sans qu’une personne ne le lise. Il s’agit d’une interprétation du texte du règlement, et non d’un conseil juridique.

D’autres règles vont plus loin que la loi. Votre contrat de travail, votre accord client, le guide de contribution du projet auquel vous envoyez des patches et la politique de l’éditeur pour lequel vous écrivez peuvent chacun imposer davantage. Ce sont aussi les règles que quelqu’un vérifiera réellement.

Lorsque vous signalez l’utilisation d’un modèle, indiquez ce qu’il a fait et ce que vous avez vérifié. « Brouillon rédigé avec Claude, chaque commande exécutée sur une installation Ubuntu 24.04 propre avant la publication » apporte une information concrète à un lecteur technique. La simple mention générique « IA utilisée » n’en apporte pas, car la vérification est précisément ce qu’un modèle ne peut pas faire à votre place.

N’utilisez pas non plus le résultat d’un watermark comme une accusation. Un résultat positif indique qu’un modèle Claude est intervenu à un moment donné, y compris comme éditeur du texte rédigé par quelqu’un d’autre. Un résultat négatif ne permet absolument aucune conclusion.

FAQ

Puis-je désactiver le filigrane textuel de Claude ?

Au 18 août 2026, aucune procédure documentée de désactivation n’existe. La page d’aide d’Anthropic décrit le marquage dans Claude, Claude Platform (API), Claude Code, Claude Cowork et Claude Tag, y compris via AWS, Google Cloud et Microsoft Foundry, sans mentionner de paramètre permettant de le désactiver. Demander au modèle de ne pas ajouter de filigrane ne change rien non plus, car le marquage est appliqué par le sampler qui sélectionne les tokens, et non par le modèle qui suit votre instruction.

Le filigrane apparaît-il dans le code généré par Claude ?

Très peu. Le filigranage consiste à choisir entre plusieurs options qui sont toutes acceptables, et le code correct en offre rarement beaucoup. Anthropic indique que le code « comporte généralement moins de filigranage que d’autres formes de texte », car il doit habituellement être exact. TechCrunch a rapporté le 15 août 2026 qu’Anthropic s’attend à un effet négligeable sur le code lui-même, les marques étant plus probables dans les commentaires. Il s’agit d’un compte rendu de presse d’une déclaration, et non d’une documentation publiée. Les parties d’un patch qui peuvent varier sont les commentaires et les noms d’identifiants.

Si un détecteur ne trouve aucun filigrane, est-ce la preuve qu’un humain a écrit le texte ?

Non. C’est l’erreur la plus courante avec les filigranes. La propre page d’Anthropic précise que « l’absence de marque détectée ne signifie pas que le contenu n’a pas été généré ou traité par une IA ». Le texte peut être trop court pour être analysé. Il peut avoir été modifié ou paraphrasé. Il peut provenir d’un modèle commercialisé avant le déploiement du marquage. Il peut aussi provenir entièrement d’un autre fournisseur. Le test est unilatéral : il peut augmenter la probabilité que Claude ait été utilisé, mais il ne peut jamais démontrer que Claude ne l’a pas été.

La paraphrase ou la traduction supprime-t-elle le filigrane ?

Une paraphrase effectuée par un autre modèle supprime le filigrane, car ce modèle resélectionne chaque mot avec son propre sampler et sans la clé correspondante. Une traduction réalisée avec un outil externe le supprime pour la même raison. L’exception fonctionne dans l’autre sens : Anthropic indique qu’« une traduction produite par Claude porte un filigrane, car dans ce cas chaque mot est choisi par Claude ». Traduire votre propre texte avec Claude ajoute donc une marque qui n’était pas présente auparavant.

Puis-je vérifier moi-même la présence d’un filigrane Claude dans un document ?

Pas encore. La détection nécessite la clé. Elle ne peut donc pas être effectuée en lisant le texte ni avec un outil offline. Anthropic indique qu’il « proposera bientôt une API de détection des filigranes » et travaille encore sur les détails. Au 18 août 2026, aucun détecteur public n’est donc disponible. Tout ce qui est actuellement vendu comme détecteur Claude est un classificateur de style. Il s’agit d’un mécanisme différent, qui présente un problème documenté de faux positifs avec les textes écrits par des personnes dont l’anglais n’est pas la langue maternelle (Liang et al., Patterns, 2023).