Come funziona la filigrana testuale di Claude

Che cos’è la filigrana testuale di Claude

La filigrana testuale di Claude è un bias applicato mentre il modello seleziona le parole. Non è un tag allegato al file e non consiste in una sequenza di caratteri Unicode invisibili che si possano rimuovere con un’espressione regolare. Anthropic la descrive in Come funziona la filigrana testuale di Claude, datato 14 agosto 2026: il sistema «modifica soltanto la sorgente della casualità usata per scegliere tra le parole», utilizzando una chiave segreta e le poche parole precedenti. Poiché il contrassegno dipende dalle parole selezionate, sopravvive al copia-incolla e scompare quando le parole cambiano.

Da questo derivano due aspetti, che spiegano perché l’argomento susciti interesse. Il rilevamento è un test statistico che ha bisogno di molte parole prima di produrre un risultato significativo, quindi può non fornire alcuna informazione utile su una singola frase. Inoltre, un risultato negativo non dimostra nulla: il centro assistenza di Anthropic afferma che «l’assenza di un contrassegno rilevato non significa che il contenuto non sia stato generato o elaborato dall’IA».

La pagina di assistenza Come Claude contrassegna i contenuti generati dall’IA, consultata il 18 agosto 2026, elenca gli ambienti coperti: «Claude Platform (API), Claude, Claude Code, Claude Cowork e Claude Tag», compreso l’accesso tramite AWS, Google Cloud e Microsoft Foundry. I modelli rilasciati il 2 agosto 2026 o successivamente supportano il contrassegno leggibile dalle macchine fin dal rilascio; per i modelli precedenti il supporto è indicato come in corso di implementazione. La data non è casuale. L’articolo 50 dell’AI Act dell’UE si applica dal 2 agosto 2026 e impone ai fornitori di sistemi che generano testo sintetico di contrassegnare l’output «in un formato leggibile dalle macchine e rilevabile come generato o manipolato artificialmente». Anthropic dichiara di applicare il contrassegno a livello mondiale, non soltanto al traffico proveniente dall’UE.

I file funzionano in modo diverso. La pagina di assistenza indica che i file generati supportati («.svg, .png o .jpg») contengono metadati di provenienza con firma crittografica conformi allo standard C2PA (Coalition for Content Provenance and Authenticity). Si tratta di metadati allegati insieme ai contenuti del file, non di una modifica dei contenuti stessi. Per questo motivo vengono rimossi facilmente.

Come il watermark influenza la scelta dei token

A ogni passaggio, un modello linguistico calcola una probabilità per ogni token (un token è una parola o una sua parte) che potrebbe scrivere successivamente. Un sampler ne seleziona uno e, normalmente, la casualità usata per questa scelta proviene da una sorgente di numeri casuali ordinaria. Un sampler con watermark sostituisce questa sorgente con una funzione pseudocasuale con chiave. Gli input sono la chiave segreta e gli ultimi token, quindi la scelta è riproducibile da chiunque disponga della chiave e appare come una normale variazione a tutti gli altri.

La prima versione pubblica ampiamente citata è A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023). Prima di ogni token, la chiave e i token precedenti selezionano un sottoinsieme pseudocasuale "verde" del vocabolario e il sampler aggiunge un piccolo bonus al punteggio di quei token. Nulla è vietato, quindi il testo resta scorrevole, ma i token verdi compaiono leggermente più spesso di quanto consentirebbe il caso.

Il post di Anthropic afferma che la sua implementazione si basa su SynthID-Text, pubblicato da Google DeepMind su Nature nell'ottobre 2024 con il titolo Scalable watermarking for identifying large language model outputs, e che questa famiglia di idee risale a una proposta del 2022 di Scott Aaronson. SynthID-Text estrae diversi token candidati dalla distribuzione del modello e organizza un torneo a eliminazione diretta tra di essi, valutandoli con la funzione con chiave; il token che sopravvive tende quindi a essere uno di quelli favoriti dalla chiave. I candidati provengono dalla distribuzione del modello stesso, ed è questo il motivo per cui la valutazione pubblicata non rileva alcuna perdita misurabile di qualità.

La conseguenza importante riguarda l'entropia. Il bias può agire solo quando il modello aveva una scelta effettiva. Se l'unico token successivo corretto è Paris, nessuno schema può sostituirlo senza rendere errato il testo. Anthropic lo dichiara esplicitamente: il watermarking "is sparser on factual passages where there are fewer choices that can be made without decreasing the accuracy of the text", mentre il codice "has generally less watermarking than some other forms of text" perché di norma deve essere esatto. La densità del segnale segue il margine di scelta del modello: un lungo testo discorsivo contiene un contrassegno forte, mentre una breve risposta fattuale ne contiene quasi nessuno.

È importante indicare un limite di tutto quanto sopra. Al 18 agosto 2026, Anthropic ha pubblicato la famiglia a cui appartiene il suo schema, ma non i parametri né la soglia del detector. I meccanismi descritti in questa sezione provengono dagli articoli citati. Vanno interpretati come il design pubblicato da Anthropic, non come una descrizione della configurazione esatta di Claude.

Perché il rilevamento è un test di ipotesi, non un timbro

Un rilevatore riceve il testo e la chiave. Analizza il testo, ricalcola ciò che la chiave avrebbe favorito in ogni posizione, assegna un punteggio a ciascun token e somma i punteggi. L’ipotesi nulla è che il testo sia stato scritto senza quel campionatore basato sulla chiave: in tal caso i punteggi si comportano come lanci di una moneta e il totale resta vicino al valore atteso. Il testo con watermark si discosta verso l’alto. L’output è un p-value, cioè la probabilità di osservare un totale così alto in un testo senza watermark; il verdetto «rilevato» deriva dal confronto tra quel p-value e una soglia scelta da qualcuno.

Questo progetto produce due effetti che si osservano nella pratica. La confidenza aumenta con la lunghezza, perché ogni token aggiuntivo costituisce un ulteriore elemento, seppur debole, di prova. Anthropic lo esprime così: «Il rilevamento di un watermark non funziona bene nemmeno su campioni piccoli, perché ci sono meno possibilità di scelta delle parole e quindi meno informazioni disponibili». Anche la soglia comporta un compromesso. Se la si imposta abbastanza in basso da segnalare un paragrafo, si inizieranno a segnalare per caso anche paragrafi scritti da esseri umani.

Non è ancora possibile eseguire personalmente questo test. Nel suo post, Anthropic afferma che «presto offrirà un’API per il rilevamento dei watermark» e che è «in procinto di definire i dettagli della relativa implementazione». Pertanto, al 18 agosto 2026 non esiste un rilevatore pubblico dei watermark di Claude e nessuno al di fuori di Anthropic può confermare o smentire che un determinato passaggio contenga il contrassegno.

Questa lacuna è importante per il tipo di strumenti a cui si ricorre in alternativa. Gli «AI detector» commerciali venduti a scuole e redazioni sono classificatori addestrati sullo stile di scrittura. Non utilizzano alcuna chiave e non eseguono un test di questo tipo. Il loro limite è documentato: i rilevatori GPT mostrano una distorsione nei confronti degli autori non madrelingua inglese (Liang et al., Patterns, 2023) ha rilevato che i rilevatori ampiamente utilizzati classificavano come generati dall’AI più della metà di una serie di temi TOEFL scritti da autori non madrelingua, mentre classificavano correttamente i campioni scritti da autori madrelingua. Un rilevatore di watermark e un classificatore dello stile sono strumenti diversi. Non permettere a nessuno di consegnarti il secondo chiamandolo il primo.

Cosa rimuove il watermark

Output brevi. Una risposta di una sola riga contiene troppe poche scelte per modificare una statistica. Non esiste una correzione, perché questa è una proprietà del test e non una lacuna nell'implementazione.

Una riscrittura. Anthropic afferma che una modifica leggera può lasciare il contrassegno leggibile, mentre «una riscrittura completa in cui ogni parola viene sostituita» lo rimuove. Ogni parola sostituita è una parola che la chiave non può più spiegare.

Parafrasi tramite un altro modello. Un secondo modello sceglie nuovamente ogni token con il proprio sampler e senza una chiave. Di conseguenza, il risultato contiene il contrassegno di quel modello, se ne usa uno, e non quello di Claude.

Traduzione, con un'eccezione. Eseguire il testo inglese di Claude tramite un traduttore diverso distrugge il segnale, perché un nuovo sampler sceglie ogni parola nella lingua di destinazione. Anthropic segnala il caso inverso: «Una traduzione prodotta da Claude contiene un watermark, perché in questo caso ogni parola viene scelta da Claude».

Codice, per lo più. Il codice corretto offre poche alternative intercambiabili. TechCrunch ha riferito il 15 agosto 2026 che Anthropic si aspetta «un effetto trascurabile sul codice effettivamente prodotto», con una maggiore probabilità che i contrassegni compaiano nei commenti. Si tratta del resoconto giornalistico di una dichiarazione dell'azienda, non di documentazione pubblicata. Il dettaglio sui commenti va quindi considerato non confermato. I commenti e i nomi degli identificatori sono le parti di una patch che offrono un margine reale di scelta.

Rimozione dei metadati per i file. Le informazioni di provenienza C2PA sono memorizzate accanto ai dati dell'immagine. Di conseguenza, qualsiasi processo che ricodifica il file le rimuove normalmente, a meno che non venga configurato per conservarle. Questo include l'ottimizzatore delle immagini in una normale build di un sito statico. La pagina di assistenza di Anthropic include la rimozione dei metadati tra le cause della scomparsa di un contrassegno.

Cosa dimostra effettivamente un rilevamento

Meno di quanto lasci intendere il termine "watermark". Il post di Anthropic è esplicito: "Un watermark può solo determinare che Claude è stato probabilmente coinvolto nel contenuto in qualche momento. Non può distinguere tra 'Claude ha scritto questo' e 'Claude ha modificato pesantemente questo'." La pagina della guida aggiunge che "Claude potrebbe non essere l'autore originale", perché le persone usano Claude per modificare testi che hanno scritto personalmente e perché il contenuto potrebbe essere cambiato dopo l'intervento di Claude.

Nessun materiale pubblicato da Anthropic descrive un segnale associato a un account o a un singolo utente. Per come è documentato, il marker indica che è stato coinvolto un modello Claude. Se qualcuno afferma che un watermark rivela quale utente o quale chiave API ha prodotto un testo, questa affermazione non compare nelle fonti primarie disponibili al 18 agosto 2026.

Questa modifica incide sulla pubblicazione di codice assistito dall'AI dal server?

Per il codice, la risposta tecnica è in gran parte no, per due motivi già indicati: il segnale nel codice esatto è debole e non esiste alcun rilevatore pubblico. Ciò che determina se è possibile pubblicarlo è la policy, che non è cambiata. I progetti open source hanno definito regole proprie per i contributi assistiti dall'AI, e tali regole vengono applicate da un maintainer che legge la pull request, non da un rilevatore che analizza i token.

Per la prosa generata dal server, la risposta è sì, in un senso specifico. Se una chiamata API scrive le release note o le pagine del prodotto, le parole sono di Claude, quindi il contrassegno è incorporato nel testo. Il rendering del markdown in HTML, la minificazione, il salvataggio del risultato in Postgres e la sua distribuzione tramite una CDN lasciano inalterate le parole, quindi lasciano invariato anche il contrassegno. Ciò che lo degrada è la riscrittura delle frasi da parte di un editor umano.

Non è possibile eliminare il watermark con un prompt. Viene applicato nel livello di campionamento, al di sotto del testo prodotto dal modello, quindi un'istruzione come "non applicare il watermark a questo testo" non ha alcun effetto. È una situazione diversa da i motivi ordinari per cui un agent ignora un'istruzione scritta dall'utente, in cui l'istruzione ha raggiunto il modello, ma è stata superata da qualcos'altro. Al 18 agosto 2026 non esiste un opt-out documentato per i clienti API.

Se si usa Claude per gestire un server invece che per scrivere contenuti, cambia ben poco. I comandi shell e gli snippet di configurazione sono brevi e vincolati, quindi contengono quasi nessun segnale, e il contrassegno non influisce in alcun modo su ciò che viene eseguito sul server. Il lavoro quotidiano di amministrazione dei sistemi con Claude solleva una domanda diversa: quali dati lasciano effettivamente la macchina? Vedere che cosa invia realmente un coding agent dal server.

Cosa dichiarare

La dichiarazione è una questione di regole, non di rilevamento. Un watermark non crea un obbligo di dichiarazione e non lo assolve. Stabilite quale regola vi vincola, quindi rispettatela indipendentemente dal fatto che qualcuno possa rilevarne la violazione.

L'AI Act dell'UE distingue due responsabilità. L'articolo 50(2) pone l'obbligo di marcatura a carico del provider, cioè Anthropic, e questo è l'obbligo soddisfatto da questo rollout. L'articolo 50(4) impone un obbligo al deployer: chiunque pubblichi testo generato dall'AI «per informare il pubblico su questioni di interesse pubblico» deve dichiarare che il testo è stato generato artificialmente. L'articolo prevede un'esenzione in cui rientra la maggior parte dei team editoriali: «il contenuto generato dall'AI è stato sottoposto a un processo di revisione umana o di controllo editoriale e una persona fisica o giuridica assume la responsabilità editoriale della pubblicazione». Entrambe le disposizioni si applicano dal 2 agosto 2026. Un articolo revisionato e attribuito a un editor nominato è trattato in modo diverso rispetto a un feed che pubblica senza che una persona lo legga. Questa è un'interpretazione del testo del regolamento e non costituisce consulenza legale.

Altre regole possono andare oltre quanto previsto dalla legge. Il contratto di lavoro, l'accordo con il cliente, la guida per i contributi del progetto a cui inviate patch e la policy dell'editore per cui scrivete possono imporre requisiti aggiuntivi. Sono anche le regole che qualcuno verificherà concretamente.

Quando dichiarate l'uso del modello, indicate che cosa ha fatto e che cosa avete verificato. «Bozza scritta con Claude; ogni comando è stato eseguito su un'installazione pulita di Ubuntu 24.04 prima della pubblicazione» comunica a un lettore tecnico un'informazione concreta. Un generico badge «è stata usata l'AI» non lo fa, perché la verifica è proprio l'attività che un modello non può svolgere al posto vostro.

Non usate inoltre il risultato di un watermark come un'accusa. Un risultato positivo indica che un modello Claude è stato coinvolto in qualche fase, anche soltanto come editor del testo scritto da un'altra persona. Un risultato negativo non dimostra assolutamente nulla.

FAQ

Posso disattivare il watermark testuale di Claude?

Al 18 agosto 2026 non esiste alcuna procedura documentata per rifiutarlo. La pagina di assistenza di Anthropic descrive l'applicazione del watermark in Claude, Claude Platform (API), Claude Code, Claude Cowork e Claude Tag, compreso l'accesso tramite AWS, Google Cloud e Microsoft Foundry, ma non indica alcuna impostazione per disattivarlo. Chiedere al modello di non applicare il watermark alla risposta non produce alcun effetto, perché il contrassegno viene applicato dal sampler che seleziona i token, non dal modello che segue l'istruzione.

Il watermark compare nel codice scritto da Claude?

Quasi per nulla. Il watermarking funziona scegliendo tra opzioni tutte accettabili, ma il codice corretto offre raramente molte alternative. Anthropic afferma che il codice "presenta generalmente meno watermarking rispetto ad altre forme di testo", perché di norma deve essere esatto. TechCrunch ha riferito il 15 agosto 2026 che Anthropic prevede un effetto trascurabile sul codice, con una maggiore probabilità di contrassegni nei commenti; si tratta però di un resoconto giornalistico di una dichiarazione, non di documentazione pubblicata. Le parti di una patch che lasciano margine di variazione sono i commenti e i nomi degli identificatori.

Se un rilevatore non trova alcun watermark, questo dimostra che il testo è stato scritto da una persona?

No, ed è l'errore più comune nell'interpretazione dei watermark. La pagina ufficiale di Anthropic afferma che "l'assenza di un contrassegno rilevato non significa che il contenuto non sia stato generato o elaborato dall'AI". Il testo potrebbe essere troppo breve per essere analizzato, potrebbe essere stato modificato o parafrasato, potrebbe provenire da un modello rilasciato prima dell'introduzione del watermarking oppure da un altro fornitore. Il test è unidirezionale: può aumentare la probabilità che Claude sia stato utilizzato, ma non può dimostrare che Claude non sia stato utilizzato.

La parafrasi o la traduzione rimuovono il watermark?

La parafrasi eseguita tramite un altro modello rimuove il watermark, perché quel modello seleziona nuovamente ogni parola con il proprio sampler e senza la stessa chiave. La traduzione eseguita con uno strumento esterno lo rimuove per lo stesso motivo. L'eccezione vale nella direzione opposta: Anthropic afferma che "una traduzione prodotta da Claude contiene un watermark, perché in questo caso ogni parola viene scelta da Claude". Tradurre con Claude un testo scritto autonomamente aggiunge quindi un contrassegno che prima non era presente.

Posso verificare autonomamente la presenza di un watermark di Claude in un documento?

Non ancora. Il rilevamento richiede la chiave, quindi non può essere eseguito leggendo il testo o tramite uno strumento offline. Anthropic afferma che "presto offrirà un'API per il rilevamento dei watermark" e che sta ancora definendo i dettagli; al 18 agosto 2026 non esiste quindi alcun rilevatore pubblico. Qualsiasi prodotto venduto oggi come rilevatore di Claude è un classificatore stilistico, cioè un meccanismo diverso con un problema documentato di falsi positivi sui testi scritti da persone la cui prima lingua non è l'inglese (Liang et al., Patterns, 2023).