Claude va filigraner ses textes. La raison : l'UE

Anthropic a confirmé le 14 août 2026 que les futurs modèles Claude marqueront leur texte d’un filigrane, « watermark » dans les sources anglophones [1]. La version virale de l’annonce se trompe deux fois. Le filigrane n’est pas fait de caractères cachés : il vit dans la façon dont Claude choisit ses mots. Et la raison déclarée n’est pas la copie de Claude par des laboratoires chinois, c’est l’AI Act européen [1].

Le déclencheur est un visuel qui circule sur les réseaux sociaux : « Claude va désormais filigraner de façon invisible le texte généré par IA, pour qu’il reste détectable après un copier-coller. » Comme résumé en une phrase, c’est étonnamment juste. Ce qui cloche, c’est ce qu’on y lit en plus. « Invisible » est compris comme des caractères cachés glissés dans la sortie, et le calendrier est interprété comme le signe qu’Anthropic s’arme contre les laboratoires chinois qu’elle accuse depuis début 2026 d’avoir extrait illégalement les capacités de Claude. La première lecture se trompe de mécanisme, la seconde va plus loin que la documentation. Les deux méritent d’être démontées calmement.

Comment un filigrane survit-il au copier-coller sans caractères cachés ?

Parce que le filigrane n’est pas attaché au texte : il est le texte. Claude marque sa sortie par les mots qu’il choisit aux endroits où plusieurs options se valent, et le centre d’aide de Claude en tire la conséquence sans détour : le filigrane fait partie du texte, il voyage donc avec lui quand on le copie-colle ailleurs [2].

Voici le mécanisme tel qu’Anthropic le décrit. Un modèle de langage écrit en choisissant le mot suivant, encore et encore, et à beaucoup de positions le choix n’a guère d’importance parce que plusieurs mots conviendraient. Normalement, le modèle tranche entre ces mots acceptables au hasard. Le filigrane garde des choix aléatoires mais change l’origine du hasard : au lieu d’un générateur de nombres aléatoires quelconque, le modèle utilise une clé secrète combinée à quelques-uns des mots précédents pour arrêter son choix [1]. Répété sur les nombreux choix sans enjeu d’un passage, cela laisse un motif qu’aucun lecteur ne peut voir, mais que quiconque détient la clé peut tester [1]. Rien n’est ajouté au texte, il n’y a aucun caractère caché, et le filigrane ne demande aucun token supplémentaire, donc il ne rend Claude ni plus cher à servir ni plus cher à utiliser [1].

Anthropic est tout aussi claire sur ce que le filigrane ne fait pas : il ne pousse jamais Claude vers un mot qu’il n’aurait pas envisagé de lui-même. L’exemple de l’annonce est « nubilous », un synonyme anglais obscur de « nuageux » que Claude n’emploierait presque jamais ; le filigrane change seulement la façon de trancher entre les mots plausibles [1].

L’approche est empruntée, et ouvertement. Le filigrane de Claude est une version de SynthID-Text, que Google DeepMind a publié dans la revue Nature en 2024, et la famille de méthodes remonte à une proposition de Scott Aaronson en 2022 [1]. La description de DeepMind rejoint celle d’Anthropic : SynthID ajuste les scores de probabilité des tokens candidats pendant la génération, et le motif final de ces scores à travers les choix de mots du modèle constitue le filigrane [3]. L’article de Nature est la raison pour laquelle je prends au sérieux la promesse d’une qualité intacte. Dans une expérience menée dans le système de production de Gemini, sur près de 20 millions de réponses, le taux de pouces levés du modèle filigrané s’écartait de 0,01 % de celui du modèle non filigrané, et le taux de pouces baissés de 0,02 %, deux écarts statistiquement non significatifs [4]. Anthropic rapporte la même chose de ses tests internes : aucun impact mesuré sur le contenu, la créativité ou la lisibilité des textes de Claude [1].

La détection rejoue le même tour à l’envers. Avec la clé, un détecteur peut vérifier si un passage contient les choix de mots qu’une génération filigranée aurait préférés, et ce bien plus souvent que le hasard ne l’explique. Le signal s’accumule choix après choix, la confiance dans l’implication de Claude grandit donc avec la longueur du passage, et un passage très court contient trop peu de décisions pour conclure quoi que ce soit [1]. La moitié copier-coller du visuel viral est donc juste, et pour une raison que le visuel ne peut pas montrer : il n’y a rien à retirer du texte. C’est la moitié « pourquoi maintenant » qui déraille d’habitude.

Pourquoi Anthropic filigrane-t-elle ses textes ?

Pour se conformer à l’AI Act, la loi européenne sur l’IA. Anthropic le dit directement : elle met en place le filigrane, comme plusieurs autres grands fournisseurs d’IA, pour se conformer à cette loi [1]. L’article 50, paragraphe 2, du règlement (UE) 2024/1689 impose aux fournisseurs de systèmes d’IA qui génèrent du texte, de l’audio, des images ou de la vidéo de marquer leurs sorties dans un format lisible par machine et de les rendre détectables comme générées artificiellement [5].

Les dates expliquent le calendrier d’août. La FAQ de la Commission européenne sur l’article 50 précise que les obligations s’appliquent à partir du 2 août 2026, avec une seule exception, étroite : les systèmes déjà sur le marché avant cette date ont jusqu’au 2 décembre 2026 pour respecter l’obligation de marquage et de détection [6]. L’enjeu n’a rien de symbolique non plus, puisque les amendes peuvent atteindre 15 millions d’euros ou 3 % du chiffre d’affaires annuel mondial de l’exercice précédent [6].

Anthropic a aussi choisi la plus prévisible des deux voies de conformité. En juillet 2026, elle a signé le code de bonnes pratiques européen sur la transparence des contenus générés par IA, le Code of Practice on Transparency of AI-Generated Content [1], et la page que la Commission consacre au code explique pourquoi un fournisseur le ferait : les signataires peuvent s’appuyer sur les mesures du code pour démontrer leur conformité, tandis que les fournisseurs qui préfèrent leur propre approche doivent convaincre individuellement les autorités de surveillance du marché que leurs mesures suffisent [7]. Fin juillet 2026, environ 190 organisations avaient signé, et parmi les signataires notables cités par la Commission figurent Anthropic, Google, Meta, Microsoft, Mistral et OpenAI [8]. Quoi que deviennent les filigranes textuels, ils ne seront pas une particularité de Claude.

Qu’est-ce que l’UE cherche à empêcher, au juste ? Les lignes directrices de la Commission sur ces obligations de transparence décrivent le problème ainsi : des contenus d’IA devenus difficiles à distinguer des contenus humains, avec à la clé des risques de désinformation et de manipulation à grande échelle, de fraude, d’usurpation d’identité et de tromperie des consommateurs [9].

Un détail détonne pour une règle européenne : le filigrane est déployé dans le monde entier. L’explication d’Anthropic est opérationnelle plutôt que juridique. Elle ne dispose pas encore d’un moyen fiable de limiter le filigrane à une région, elle l’applique donc partout dès le lancement et dit continuer d’évaluer d’autres approches [1]. Le centre d’aide de Claude confirme la portée : le marquage s’applique aux sorties des modèles concernés partout où Claude est proposé [2]. Gardez ce détail en tête, il compte pour la section suivante.

La piste chinoise, prise au sérieux

L’explication concurrente mérite mieux qu’un haussement d’épaules, parce que chaque fait sur lequel elle repose est réel. La théorie tient en trois temps : Anthropic a passé l’année 2026 à accuser des laboratoires chinois de distillation, cette pratique qui consiste à entraîner son propre modèle sur les sorties d’un autre ; la recherche montre que les filigranes peuvent survivre dans les modèles entraînés sur du texte marqué ; donc le filigrane serait en réalité un outil pour confondre ces laboratoires, et l’AI Act une couverture commode.

La guerre de la distillation, elle, est solidement documentée. Le 23 février 2026, Anthropic a déclaré avoir identifié des campagnes d’ampleur industrielle menées par DeepSeek, Moonshot et MiniMax pour extraire les capacités de Claude : plus de 16 millions d’échanges avec Claude via environ 24 000 comptes frauduleux, visant le raisonnement agentique, l’usage d’outils et le code [10]. Reuters a couvert les accusations le jour même et noté qu’aucune des trois entreprises n’avait réagi dans l’immédiat [11]. La vague de juin était plus grosse encore. Le 24 juin 2026, Reuters a rapporté, sur la base d’une lettre envoyée par Anthropic à deux sénateurs américains, que des opérateurs liés à Alibaba et à son laboratoire Qwen avaient généré plus de 28,8 millions d’échanges via près de 25 000 comptes frauduleux entre le 22 avril et le 5 juin 2026, ce qu’Anthropic a décrit comme la plus grande attaque connue de ce type contre l’entreprise. Alibaba non plus n’a pas réagi dans l’immédiat [12].

Le volet recherche tient aussi. Dans un article présenté à NeurIPS 2024, Tom Sander et ses collègues ont montré que les filigranes rendent les modèles de langage « radioactifs » : un modèle affiné sur du texte filigrané hérite de traces faibles mais détectables du filigrane, et pour un modèle à poids ouverts ils ont pu prouver avec une confiance élevée l’entraînement sur des instructions filigranées, même quand 5 % seulement du texte d’entraînement portait une marque [13].

La contre-recherche est tout aussi réelle. Un article de Leyi Pan et ses collègues, accepté à ACL 2025, a testé si les filigranes peuvent empêcher la distillation de connaissances non autorisée et a trouvé deux parades : paraphraser les données d’entraînement avant la distillation, et neutraliser le filigrane à l’inférence une fois l’entraînement terminé. Les deux effacent en profondeur les marques héritées, et la méthode à l’inférence y parvient en conservant la capacité transférée, pour un surcoût minime [14]. La course aux armements a depuis produit des filigranes conçus pour ce combat précis : en mai 2026, des chercheurs du laboratoire FAIR de Meta, dont les auteurs principaux de l’article sur la radioactivité, ont publié TextSeal, un filigrane pensé pour rester détectable à travers la distillation et positionné directement face à SynthID-Text [15].

La théorie est donc cohérente. Ce qui lui manque, c’est la documentation. Aucune déclaration publique ne relie le filigrane de Claude à la distillation ; la raison qu’Anthropic donne est l’AI Act [1]. Le billet d’Anthropic de février sur les attaques par distillation liste ses propres défenses, et le filigrane n’y figure pas : des classifieurs et des empreintes comportementales sur le trafic API, la détection d’activité coordonnée entre comptes, une vérification renforcée pour les types de comptes les plus souvent détournés, et des contre-mesures destinées à rendre les sorties moins utiles à la distillation illicite [10]. Et le détail de déploiement relevé à la section précédente entre maintenant en jeu. Anthropic applique le filigrane partout uniquement faute d’un moyen fiable de le restreindre à une région, et elle en cherche toujours un [1]. Un laboratoire qui aurait construit le filigrane pour traquer la distillation ne chercherait pas comment l’éteindre hors d’Europe.

La chronologie pointe dans la même direction. L’annonce du filigrane est tombée douze jours après l’entrée en application de l’article 50 et bien avant l’échéance du 2 décembre 2026 pour les systèmes plus anciens ; elle a suivi les accusations contre DeepSeek de presque six mois, et la lettre sur Alibaba de sept semaines. Posez les deux calendriers côte à côte : l’explication par la conformité demande simplement moins d’hypothèses, chaque date du filigrane suit une obligation européenne, tandis que les dates de la distillation restent à des mois de distance.

1. 23 févr. 2026

   Accusations de distillation

   Anthropic nomme DeepSeek, Moonshot et MiniMax.

2. 24 juin 2026

   Accusation visant Alibaba

   Reuters rapporte 28,8 millions d'échanges via des comptes frauduleux.

3. 31 juil. 2026

   Décompte du code de bonnes pratiques

   La Commission compte environ 190 signataires, dont Anthropic.

4. 2 août 2026

   L'article 50 s'applique

   Les nouveaux systèmes d'IA doivent marquer les contenus générés.

5. 14 août 2026

   Filigrane annoncé

   Les futurs modèles Claude marqueront leur texte.

6. 2 déc. 2026

   Échéance pour les anciens systèmes

   L'obligation de marquage atteint les systèmes antérieurs au 2 août 2026.

Rien de tout cela ne prouve une intention, et une entreprise peut avoir deux raisons et n’en publier qu’une. Ce que je peux séparer, c’est ce qui est documenté de ce qui ne l’est pas. La guerre de la distillation est réelle, et Anthropic la mène avec des outils qu’elle nomme. Le filigrane, lui, a exactement une raison déclarée : la conformité européenne. Et si de la sortie filigranée de Claude finit un jour dans les données d’entraînement de quelqu’un, la recherche sur la radioactivité suggère qu’Anthropic gagne une option de détection par ricochet, que quelqu’un l’ait planifié ou non [13]. Ce qu’une telle détection établirait vraiment est une question à part.

Que prouve vraiment une détection positive ?

Que Claude a probablement été impliqué, et guère plus. Anthropic précise que sa clé répond à une seule question : la probabilité qu’un texte ait été en partie écrit par Claude. Une correspondance ne peut pas séparer « Claude a écrit ceci » de « Claude a lourdement retouché ceci », ne peut pas confirmer qu’un texte est d’origine humaine, et ne peut pas reconnaître l’IA d’une autre entreprise, qui utiliserait une autre clé ou une autre méthode [1].

Une marque peut même exagérer l’implication. Le centre d’aide de Claude note qu’une sortie peut porter une marque Claude alors que les idées, le texte ou les données de départ venaient d’ailleurs : une détection dit que Claude a traité les mots à un moment donné, pas d’où viennent les idées [2].

Un résultat négatif prouve encore moins. Le centre d’aide liste les situations où un contenu marqué cesse d’être détectable : le passage est très court, ou le texte a été fortement remanié, paraphrasé, traduit ou mélangé à d’autres écrits [2]. Le texte peut aussi venir d’un modèle Claude qui ne marque pas encore, parce que les modèles lancés avant le 2 août 2026 sont en transition ; Anthropic dit que leur filigrane arrivera au fil des prochains mois [1] [2]. La traduction demande ici une phrase précise, parce qu’elle coupe dans les deux sens : une traduction produite par Claude porte un filigrane neuf, chacun de ses mots étant un choix de Claude [1], tandis que passer un texte déjà marqué dans un autre traducteur remplace les choix de mots et peut effacer le signal [2].

Le filigrane est aussi inégal par construction. Là où une seule sortie est correcte, il ne s’applique pas, parce que choisir un autre mot rendrait le texte faux. L’exemple d’Anthropic est la complétion de « Isaac Newton’s most famous work was called Principia », où « Mathematica » est la seule bonne réponse : le filigrane n’a aucune prise [1]. La même logique affaiblit la marque dans le code, qui doit surtout être exact ; les choix libres, comme la formulation des commentaires, peuvent le porter, mais Anthropic attend un effet négligeable sur le code produit [1]. La relecture se comporte de la même façon : quand Claude ne corrige que la grammaire et la ponctuation d’un texte humain, le filigrane ne peut vivre que dans la poignée de corrections, parfois trop peu pour être détecté [1]. Ce comportement rejoint d’ailleurs le texte de la loi, puisque l’article 50 exempte l’IA qui joue un rôle d’assistance pour l’édition standard ou ne modifie pas substantiellement les données d’entrée [5].

Peut-on retirer le filigrane volontairement ? Personne hors d’Anthropic n’a encore testé la version de Claude, mais la famille SynthID-Text, elle, a été mise à l’épreuve. En décembre 2024, le SRI Lab de l’ETH Zurich a évalué SynthID-Text sur un modèle Llama déployé localement et l’a trouvé plus difficile à contrefaire que des schémas comparables, mais plus facile à effacer : la paraphrase le retirait plus aisément que d’autres filigranes de pointe, même quand l’attaquant se contentait d’outils de paraphrase du commerce [16]. Anthropic le concède elle-même : une retouche légère ne retirera probablement pas le filigrane en entier, mais une réécriture complète où chaque mot est remplacé y parviendra, et à ce stade on peut se demander si le texte est encore généré par IA [1].

Deux limites encore. Le filigrane ne transporte rien sur vous : Anthropic déclare que rien dans le filigrane ni dans sa clé ne permettrait de retrouver des informations sur l’utilisateur, son organisation ou ses conversations, et une marque ne change rien à la propriété de la sortie ni aux droits de l’utilisateur [1]. Et pour l’instant, personne ne peut rien vérifier. La détection exige la clé, c’est pourquoi les détecteurs d’IA tiers utilisent d’autres méthodes [1], et l’API de détection qu’Anthropic promet n’avait, au 17 août 2026, ni détails d’implémentation publiés, ni seuils, ni modèle d’accès [1].

Ce que cela change pour le code, les fichiers et le travail courant

La détection est peut-être fermée pour l’instant, mais le marquage n’attend pas, et mieux vaut savoir où les marques apparaîtront ou non. Le déploiement suit les modèles, pas les produits : le filigrane est appliqué au niveau du modèle, donc un modèle concerné marque son texte partout où il tourne, que ce soit les applications Claude, l’API de la Claude Platform, Claude Code, Claude Cowork ou Claude Tag, ou l’accès via AWS, Google Cloud et Microsoft Foundry [2]. Anthropic nuance : certaines plateformes ou fonctionnalités peuvent ne pas prendre en charge chaque type de marquage [2]. Les modèles lancés à partir du 2 août 2026 marquent dès le lancement ; les plus anciens l’obtiendront au fil de la transition [2]. Il n’y a pas de jour unique où tout le texte de Claude devient marqué, donc pas non plus de jour unique où la détection devient fiable partout.

Pour les développeurs, les conséquences pratiques devraient rester minces. Le code doit surtout être exact, une sortie exacte n’est pas filigranée, et Anthropic attend un effet négligeable sur le code que Claude produit réellement ; dans une session de code, le signal vit surtout là où la formulation est libre, comme les commentaires [1]. C’est la prose ordinaire qui laisse au filigrane la place de travailler, et là, les tests internes d’Anthropic comme l’expérience Gemini de DeepMind disent que la qualité ne bouge pas de façon mesurable [1] [4].

Les fichiers reçoivent un traitement entièrement différent. Quand Claude produit un type de fichier pris en charge, comme un .png, un .jpg ou un .svg, il y joint un certificat de contenu : une petite note signée cryptographiquement, placée dans les métadonnées du fichier, qui enregistre que le fichier a été créé ou traité avec Claude [1]. Le format est C2PA, de la Coalition for Content Provenance and Authenticity, un standard technique ouvert pour établir l’origine et l’historique de modification des contenus numériques, le même que celui qu’utilisent les fabricants d’appareils photo et les logiciels de retouche [1] [17]. N’importe quel outil compatible C2PA peut lire le certificat, et Anthropic dit qu’elle fournira son propre outil de vérification [1].

Ma lecture des deux mécanismes : leurs points faibles sont exactement inverses. Le filigrane textuel survit au copier-coller parce qu’il est fait des mots eux-mêmes, et il ne s’estompe qu’à mesure que l’édition remplace ces mots [2]. Le certificat de fichier ne touche pas au contenu, mais il vit dans les métadonnées, qui se perdent à la première capture d’écran, conversion de format ou réenregistrement [2].

Propriété	Filigrane textuel	Certificat de fichier C2PA
Où vit le signal	Dans le motif des choix de mots	Dans des métadonnées signées jointes au fichier
Modifie le contenu lui-même	✗ Non	✗ Non
Survit au copier-coller	Oui, la marque est le texte	Seulement si les métadonnées suivent
Ce qui l'efface	Une réécriture qui remplace les mots	Captures d'écran, conversions de format, réenregistrements
Identifie l'utilisateur	✗ Non	✗ Non
Comment vérifier	La clé d'Anthropic ; une API de détection est prévue	Tout outil compatible C2PA

Ce qui sort ici n’est pas le détecteur d’IA que réclament les enseignants et les rédactions, et Anthropic ne prétend pas le contraire : sans la clé il n’y a rien à vérifier, et même avec elle la réponse est une probabilité, pas un verdict [1]. Ce qui sort, c’est de la provenance intégrée aux modèles eux-mêmes, parce qu’une loi l’exige et qu’environ 190 organisations se sont mises d’accord sur la manière de la fournir [8]. La suite, pour moi, est concrète : quand l’API de détection sortira, j’y passerai mes articles publiés et une pile de transcriptions Claude, et je noterai ce que font vraiment les scores de confiance selon la longueur des textes.