Como funciona a marca d’água de texto do Claude

O que é a marcação de texto do Claude

A marcação de texto do Claude é um viés aplicado enquanto o modelo escolhe as palavras. Não é uma etiqueta anexada ao ficheiro e não é uma sequência de caracteres Unicode invisíveis que possa ser removida com uma expressão regular. A Anthropic descreve o mecanismo em Como funciona a marcação de texto do Claude, com data de 14 August 2026 e atualização de 1 September 2026: o esquema "apenas altera a origem da aleatoriedade usada para escolher entre palavras", utilizando uma chave secreta e as poucas palavras que vieram antes. Como a marcação está nas palavras escolhidas, sobrevive a operações de copiar e colar e desaparece quando as palavras mudam.

Daqui resultam duas conclusões, que explicam por que motivo este tema é pesquisado. A deteção é um teste estatístico que precisa de muitas palavras para produzir um resultado significativo. Por isso, pode não dizer nada de útil sobre uma única frase. Além disso, um resultado negativo não prova nada: o centro de ajuda da Anthropic afirma que a "ausência de uma marcação detetada não significa que o conteúdo não tenha sido gerado ou processado por IA".

A página de ajuda Como o Claude marca conteúdo gerado por IA, consultada em 11 October 2026, lista as superfícies abrangidas: "Claude Platform (API), Claude, Claude Code, Claude Cowork e Claude Tag", incluindo o acesso através de AWS, Google Cloud e Microsoft Foundry. Os modelos lançados em ou depois de 2 August 2026 suportam marcação legível por máquinas desde o lançamento. Os modelos anteriores estão abrangidos por um período de transição, enquanto a Anthropic adiciona a marcação a esses modelos. A página inclui agora uma tabela por modelo. Essa data não é uma coincidência. O artigo 50 do EU AI Act aplica-se a partir de 2 August 2026 e exige que os fornecedores de sistemas que geram texto sintético marquem o resultado "num formato legível por máquinas e detetável como gerado ou manipulado artificialmente". O Digital Omnibus on AI, Regulation (EU) 2026/1744, dá aos fornecedores cujos sistemas já estavam no mercado antes de 2 August 2026 até 2 December 2026 para cumprirem essa obrigação de marcação. A Anthropic afirma que aplica a marcação em todo o mundo, e não apenas ao tráfego da UE.

Os ficheiros funcionam de forma diferente. A página de ajuda afirma que o Claude anexa metadados de proveniência assinados, chamados Content Credential e em conformidade com a norma C2PA (Coalition for Content Provenance and Authenticity), aos tipos de ficheiro gerados suportados, "como um PNG ou JPEG". Esses metadados são anexados juntamente com o conteúdo do ficheiro, não alteram o conteúdo. É por isso que são removidos com tanta facilidade.

Como o watermark influencia a escolha dos tokens

A cada passo, um modelo de linguagem calcula uma probabilidade para cada token (um token é uma palavra ou parte de uma palavra) que poderia escrever a seguir. Um sampler escolhe um deles. Normalmente, a aleatoriedade dessa escolha vem de uma fonte de números aleatórios comum. Um sampler com watermarking substitui essa fonte por uma função pseudorandomizada com chave. As entradas são a chave secreta e os últimos tokens. Assim, a escolha pode ser reproduzida por quem possui a chave e parece uma variação normal para todas as outras pessoas.

A primeira versão pública amplamente citada é A Watermark for Large Language Models (Kirchenbauer et al., ICML 2023). Antes de cada token, a chave e os tokens anteriores selecionam um subconjunto pseudorandomizado "verde" do vocabulário. O sampler acrescenta um pequeno bónus à pontuação desses tokens. Nada é proibido. O texto mantém-se fluente, mas os tokens verdes aparecem um pouco mais vezes do que seria esperado por acaso.

A publicação da Anthropic diz que a implementação se baseia no SynthID-Text, publicado pela Google DeepMind na Nature em outubro de 2024 com o título Scalable watermarking for identifying large language model outputs, e que esta família de ideias remonta a uma proposta de Scott Aaronson de 2022. O SynthID-Text extrai vários tokens candidatos da própria distribuição do modelo e realiza entre eles um torneio de eliminação, pontuado pela função com chave. Assim, o token vencedor tende a ser um dos favorecidos pela chave. Os candidatos vêm da própria distribuição do modelo. É por isso que a avaliação publicada não identifica perda de qualidade mensurável.

A consequência importante está na entropia. O viés só pode atuar quando o modelo tem uma escolha real. Se o único token seguinte correto for Paris, nenhum esquema pode alterá-lo sem tornar o texto incorreto. A Anthropic afirma isto diretamente: o watermarking "is sparser on factual passages where there are fewer choices that can be made without decreasing the accuracy of the text", e o código "has generally less watermarking than some other forms of text" porque normalmente tem de ser exato. A densidade do sinal acompanha a liberdade de escolha do modelo. Por isso, um texto longo e aberto contém uma marca forte, enquanto uma resposta factual curta contém quase nenhuma.

Há uma limitação importante a considerar. Em 11 de outubro de 2026, a Anthropic publicou a família à qual o seu esquema pertence, mas não os parâmetros nem o limiar do detector. A mecânica descrita nesta secção vem dos artigos citados. Deve ser entendida como o design publicado que a Anthropic identifica, e não como uma descrição da configuração exata do Claude.

Por que a deteção é um teste de hipóteses, não um carimbo

Um detetor recebe o texto e a chave. Percorre o texto, recalcula aquilo que a amostragem com essa chave teria favorecido em cada posição, atribui uma pontuação a cada token e soma as pontuações. A hipótese nula é que o texto foi escrito sem essa amostragem com chave: nesse caso, as pontuações comportam-se como lançamentos de uma moeda e o total fica próximo do valor esperado. O texto com marca de água afasta-se desse valor para cima. O resultado é um valor-p, que corresponde à probabilidade de obter um total tão elevado a partir de texto sem marca de água, e o veredito "detetado" resulta da comparação desse valor-p com um limiar escolhido por alguém.

Este desenho tem dois efeitos que se notam na prática. A confiança aumenta com o comprimento, porque cada token adicional é mais um elemento de evidência fraca. A Anthropic explica-o assim: "A deteção de uma marca de água também não funciona bem em amostras pequenas, nas quais há menos escolhas de palavras e, por isso, menos informação disponível." O limiar também envolve um compromisso. Se o definir suficientemente baixo para sinalizar um parágrafo, começará a sinalizar por acaso parágrafos escritos por humanos.

A maioria dos leitores ainda não consegue executar este teste por si própria. Desde a atualização de 1 September 2026, a publicação da Anthropic afirma: "Estamos a disponibilizar uma API de deteção em pré-visualização privada." Esta API está disponível para organizações elegíveis "conforme exigido pela legislação da UE", como entidades reguladoras, autoridades policiais, órgãos de comunicação social, verificadores de factos, investigadores independentes, organizações educativas e grupos da sociedade civil da UE, e para empresas "igualmente obrigadas a verificar a marca de água" para cumprirem o Act. A Anthropic afirma que planeia "alargar progressivamente o acesso à API de deteção", e ambas as páginas incluem um formulário para registar o interesse. Assim, em 11 October 2026, não existe um detetor público de texto: fora dessas organizações, ninguém pode confirmar ou rejeitar a afirmação de que determinada passagem contém a marca. Os ficheiros têm um mecanismo separado que qualquer pessoa pode utilizar. O Claude Content Checker, gratuito, testa um ficheiro carregado quanto à presença de uma Claude Content Credential e afirma claramente que "não verifica texto".

Esta lacuna é importante por causa daquilo a que as pessoas recorrem em alternativa. Os "detetores de IA" comerciais vendidos a escolas e editores são classificadores treinados com base no estilo de escrita. Não têm uma chave nem executam um teste deste tipo. O seu modo de falha está documentado: os detetores de GPT são tendenciosos contra autores não nativos de inglês (Liang et al., Patterns, 2023) concluiu que detetores amplamente utilizados classificaram como geradas por IA mais de metade de um conjunto de redações TOEFL escritas por autores não nativos, ao mesmo tempo que classificaram corretamente as amostras de autores nativos. Um detetor de marcas de água e um classificador de estilo são máquinas diferentes. Não permita que alguém lhe entregue a segunda chamando-lhe a primeira.

O que remove a marca-d'água

Respostas curtas. Uma resposta de uma linha contém poucas decisões para alterar uma estatística. Não há correção, porque isto é uma propriedade do teste, e não uma falha na implementação.

Uma reescrita. A Anthropic afirma que uma edição ligeira pode deixar a marca legível, enquanto "uma reescrita completa em que todas as palavras são substituídas" a remove. Cada palavra que substituir deixa de poder ser explicada pela chave.

Paráfrase através de outro modelo. Um segundo modelo escolhe novamente cada token com o seu próprio amostrador e sem uma chave. Por isso, o resultado transporta a marca desse modelo, se existir, e não a do Claude.

Tradução, com uma exceção. Executar o texto em inglês do Claude através de um tradutor diferente destrói o sinal, porque um novo amostrador escolhe cada palavra de destino. A Anthropic observa o caso inverso: "Uma tradução produzida pelo Claude transporta uma marca-d'água, porque, neste caso, todas as palavras são escolhidas pelo Claude."

Código, na maioria dos casos. O código correto oferece poucas alternativas intercambiáveis. A TechCrunch noticiou em 15 August 2026 que a Anthropic espera "um efeito negligenciável no código efetivamente produzido", com maior probabilidade de as marcas aparecerem nos comentários. Isto é uma notícia sobre uma declaração da empresa, e não documentação publicada. Por isso, trate o detalhe sobre os comentários como não confirmado. Os comentários e os nomes dos identificadores são as partes de um patch com margem real para escolhas.

Remoção de metadados, no caso de ficheiros. A proveniência C2PA fica junto dos dados da imagem. Por isso, qualquer processo que volte a codificar o ficheiro normalmente remove-a, salvo indicação em contrário. Isto inclui o optimizador de imagens numa compilação normal de um site estático. A página de ajuda da Anthropic inclui a remoção de metadados entre os motivos pelos quais uma marca desaparece.

O que uma marca detetada realmente comprova

Menos do que a palavra "marca de água" sugere. A publicação da Anthropic é direta: "Uma marca de água só pode determinar que o Claude esteve provavelmente envolvido no conteúdo em algum momento. Não consegue distinguir entre 'foi o Claude que escreveu isto' e 'o Claude fez uma edição extensa deste conteúdo'." A página de ajuda acrescenta que "o Claude pode não ser o autor original", porque as pessoas usam o Claude para editar textos que produziram, e que esse conteúdo pode ter sido alterado depois de o Claude lhe ter tocado.

Nada do material publicado pela Anthropic descreve um sinal por conta ou por utilizador. Tal como está documentada, a marca indica que um modelo Claude esteve envolvido. Se alguém lhe disser que uma marca de água revela qual utilizador ou qual chave de API produziu uma passagem, essa afirmação não consta das fontes primárias em 11 October 2026.

Isto altera a publicação de código assistido por IA a partir do seu servidor?

Para código, a resposta técnica é sobretudo não, por duas razões já apresentadas: o sinal em código exato é fraco, e a deteção de texto está limitada a uma pré-visualização privada para organizações elegíveis. O que determina se pode publicar é a política, e a política não mudou. Os projetos de código aberto definiram as suas próprias regras para contribuições assistidas por IA, e essas regras são aplicadas por um maintainer que lê o seu pull request, não por um detetor que analisa os seus tokens.

Para prosa gerada pelo seu servidor, a resposta é sim, de uma forma específica. Se uma chamada de API escrever as suas notas de versão ou páginas de produto, as palavras são do Claude, portanto a marca está nelas. Converter markdown em HTML, fazer minification, armazenar o resultado no Postgres e servi-lo a partir de uma CDN não altera as palavras, portanto nenhum desses processos altera a marca. O que a degrada é um editor humano reescrever as frases.

Não pode remover a marca de água com um prompt. Ela é aplicada na camada de sampling, abaixo do texto produzido pelo modelo, portanto uma instrução como "do not watermark this" não tem qualquer efeito. Esta é uma situação diferente de os motivos habituais pelos quais um agente ignora uma instrução que escreveu, em que a instrução chegou ao modelo e perdeu para outra coisa. Em 11 October 2026, não existe um opt-out documentado para clientes de API.

Se usa o Claude para gerir um servidor em vez de escrever por si, isto altera muito pouco. Os comandos de shell e os fragmentos de configuração são curtos e restritos, portanto contêm quase nenhum sinal, e a marcação não afeta o que é executado no seu servidor. O trabalho diário de administração de sistemas com o Claude levanta uma questão diferente: o que sai efetivamente da sua máquina. Consulte o que um agente de programação envia efetivamente para fora do seu servidor.

O que deve divulgar

A divulgação é uma questão de regras, não de deteção. Uma marca de água não cria um dever de divulgação nem o elimina. Determine qual é a regra que lhe é aplicável e cumpra-a, independentemente de ser possível detetar alguma coisa.

O AI Act da UE divide esta responsabilidade em duas partes. O artigo 50(2) atribui o dever de marcação ao fornecedor, que neste caso é a Anthropic, e é essa a obrigação cumprida por este lançamento. O artigo 50(4) atribui um dever ao responsável pela implementação: quem publicar texto gerado por IA "para informar o público sobre questões de interesse público" deve divulgar que o texto foi gerado artificialmente. Existe uma isenção que abrange a maioria das equipas de publicação, quando "o conteúdo gerado por IA foi submetido a um processo de revisão humana ou controlo editorial e uma pessoa singular ou coletiva assume a responsabilidade editorial pela publicação". Ambos os deveres aplicam-se a partir de 2 August 2026. No entanto, o dever de marcação só é adiado para 2 December 2026 no caso de sistemas que já estavam no mercado antes dessa data. Um artigo revisto por um editor identificado é tratado de forma diferente de um feed que publica sem que uma pessoa o leia. Esta é uma interpretação do texto do regulamento e não constitui aconselhamento jurídico.

Outras regras podem ir além do que a lei exige. O seu contrato de trabalho, o contrato com o cliente, o guia de contribuição do projeto para o qual envia patches e a política da publicação para a qual escreve podem exigir mais. Essas também são as regras que alguém irá efetivamente verificar.

Quando divulgar, indique o que o modelo fez e o que verificou. "Rascunho escrito com Claude; todos os comandos foram executados numa instalação limpa do Ubuntu 24.04 antes da publicação" transmite informação concreta a um leitor técnico. Um indicador genérico de que "foi utilizada IA" não transmite essa informação, porque a verificação é precisamente a parte que um modelo não pode fazer por si.

E não use o resultado de uma marca de água como acusação. Um resultado positivo indica que um modelo Claude esteve envolvido em algum momento, inclusive como editor do texto escrito pela própria pessoa. Um resultado negativo não permite concluir absolutamente nada.

FAQ

Posso desativar a marca de texto do Claude?

Não existe uma opção documentada para desativá-la em 11 October 2026. A página de ajuda da Anthropic descreve a marcação no Claude, na Claude Platform (API), no Claude Code, no Claude Cowork e no Claude Tag, incluindo o acesso através da AWS, do Google Cloud e do Microsoft Foundry, mas não indica nenhuma definição para a desativar. Pedir ao modelo que não marque a resposta também não funciona, porque a marca é aplicada pelo sampler que escolhe os tokens, e não pelo modelo ao seguir a instrução.

A marca de água aparece no código escrito pelo Claude?

Quase não. A marcação funciona escolhendo entre opções que são todas aceitáveis, e o código correto raramente oferece muitas opções. A Anthropic afirma que o código "has generally less watermarking than some other forms of text" porque normalmente tem de ser exato. A TechCrunch noticiou em 15 August 2026 que a Anthropic espera um efeito negligível no próprio código, com maior probabilidade de marcas nos comentários. Isto é uma notícia sobre uma declaração, e não documentação publicada. As partes de um patch com margem para variar são os comentários e os nomes dos identificadores.

Se um detetor não encontrar nenhuma marca de água, isso prova que foi uma pessoa a escrever o texto?

Não. Este é o erro mais comum cometido com marcas de água. A própria página da Anthropic afirma que a "lack of a detected mark doesn't mean the content wasn't AI-generated or processed". O texto pode ser demasiado curto para ser testado, pode ter sido editado ou parafraseado, pode vir de um modelo lançado antes de a marcação ser disponibilizada ou pode vir de outro fornecedor. O teste é unilateral: pode aumentar a confiança de que o Claude esteve envolvido, mas nunca pode demonstrar que o Claude não esteve.

Parafrasear ou traduzir remove a marca de água?

Parafrasear através de outro modelo remove-a, porque esse modelo escolhe novamente cada palavra com o seu próprio sampler e sem a chave. Traduzir com uma ferramenta externa remove-a pelo mesmo motivo. A exceção funciona no sentido contrário: a Anthropic afirma que "a translation produced by Claude carries a watermark, because in this case every word is chosen by Claude". Assim, traduzir o seu próprio texto com o Claude adiciona uma marca que não existia antes.

Posso verificar pessoalmente se um documento tem uma marca de água do Claude?

Para texto, apenas se a sua organização for elegível. A deteção precisa da chave, pelo que não pode ser feita lendo o texto nem com uma ferramenta offline. A API de deteção da Anthropic está em private preview para organizações elegíveis ao abrigo da legislação da UE e para empresas com o dever próprio de verificar a marcação. Está previsto um acesso mais amplo. Assim, em 11 October 2026, não existe um detetor público de texto. Os ficheiros são diferentes: o Claude Content Checker, que é gratuito, testa um ficheiro carregado quanto à existência de um Claude Content Credential, embora não verifique o texto. Qualquer ferramenta de terceiros apresentada como detetor de texto do Claude não possui a chave. Por isso, é um classificador de estilo, que usa um mecanismo diferente e tem um problema documentado de falsos positivos em textos escritos por pessoas cuja primeira língua não é o inglês (Liang et al., Patterns, 2023).