Claude avrà un watermark nel testo. Il motivo è l'UE

Anthropic ha confermato il 14 agosto 2026 che i futuri modelli Claude porteranno un watermark nel testo, una sorta di filigrana invisibile [1]. La versione virale di questa notizia sbaglia due cose. Il watermark non è fatto di caratteri nascosti: vive nello schema delle parole che Claude sceglie. E il motivo dichiarato non sono i laboratori cinesi che copiano Claude. È l’AI Act europeo [1].

Tutto è partito da una grafica che gira sui social: «Claude ora applicherà un watermark invisibile al testo generato dall’AI, così che possa essere rilevato anche dopo essere stato copiato e incollato». Come sintesi in una frase, è sorprendentemente accurata. La parte sbagliata è quello che la gente ci legge dentro. «Invisibile» viene inteso come caratteri nascosti infilati nell’output, e la tempistica viene letta come Anthropic che si arma contro i laboratori cinesi accusati a inizio 2026 di aver estratto illecitamente le capacità di Claude. La prima lettura fraintende il meccanismo, la seconda corre più veloce della documentazione. Entrambe meritano di essere smontate con calma.

Come fa un watermark a sopravvivere al copia e incolla senza caratteri nascosti?

Perché il watermark non è attaccato al testo. È il testo. Claude marca il proprio output attraverso le parole che sceglie nei punti in cui più opzioni funzionerebbero ugualmente bene, e il Claude Help Center spiega la conseguenza senza giri di parole: il watermark fa parte del testo, quindi viaggia insieme a esso quando viene copiato e incollato altrove [2].

Ecco il meccanismo come lo descrive Anthropic. Un modello linguistico scrive scegliendo una parola dopo l’altra, e in molte posizioni la scelta conta poco perché diverse parole andrebbero bene comunque. Normalmente il modello sceglie a caso tra quelle accettabili. Il watermark mantiene le scelte casuali ma cambia da dove arriva la casualità: al posto di un generatore di numeri casuali qualsiasi, il modello usa una chiave segreta insieme ad alcune delle parole precedenti per decidere quale opzione prendere [1]. Ripetuto su tutte le scelte di poco conto di un brano, questo procedimento lascia uno schema che nessun lettore può vedere, ma che chiunque abbia la chiave può verificare [1]. Non viene aggiunto nulla al testo, non ci sono caratteri nascosti e il watermark non richiede token extra, quindi non rende Claude più costoso da servire o da usare [1].

Anthropic è altrettanto chiara su cosa il watermark non fa: non spinge mai Claude verso una parola che non avrebbe comunque preso in considerazione. L’esempio nell’annuncio è «nubilous», un sinonimo inglese raro di «nuvoloso» che Claude non userebbe quasi mai; il watermark cambia solo il modo in cui viene fatta la scelta tra parole plausibili [1].

L’approccio è preso in prestito, e dichiaratamente. Il watermark di Claude è una versione di SynthID-Text, che Google DeepMind ha pubblicato sulla rivista Nature nel 2024, e la famiglia di metodi risale a una proposta di Scott Aaronson del 2022 [1]. La descrizione di DeepMind coincide con quella di Anthropic: SynthID regola i punteggi di probabilità dei token candidati durante la generazione, e lo schema finale di quei punteggi lungo le scelte del modello è il watermark [3]. Il paper su Nature è il motivo per cui prendo sul serio l’affermazione che la qualità non ne risente. In un esperimento dal vivo nel sistema di produzione di Gemini, su quasi 20 milioni di risposte, la percentuale di valutazioni positive (pollice in su) del modello con watermark differiva da quella del modello senza dello 0,01%, e la percentuale di valutazioni negative dello 0,02%, entrambe differenze statisticamente non significative [4]. Anthropic riporta lo stesso risultato dai propri test interni: nessun impatto misurato sul contenuto, sulla creatività o sulla leggibilità dei testi di Claude [1].

Il rilevamento usa lo stesso trucco al contrario. Con la chiave, un rilevatore può controllare se un brano contiene le scelte di parole che una generazione con watermark avrebbe preferito, molto più spesso di quanto il caso possa spiegare. Il segnale si accumula scelta dopo scelta, quindi più il brano è lungo, più il rilevatore può essere sicuro del coinvolgimento di Claude, mentre un brano molto corto contiene troppo poche decisioni per dire qualcosa [1]. La metà della grafica virale sul copia e incolla è quindi corretta, e per una ragione che la grafica non può mostrare: nel testo non c’è nulla da togliere. È sulla metà del «perché adesso» che la storia di solito deraglia.

Perché Anthropic lo sta facendo?

Per rispettare l’AI Act europeo. Anthropic lo dice senza mezzi termini: sta introducendo il watermark, insieme a diversi altri grandi fornitori di AI, per conformarsi alla legge [1]. L’articolo 50(2) di quella legge, il Regolamento (UE) 2024/1689, impone ai fornitori di sistemi di AI che generano testo, audio, immagini o video di marcare gli output in un formato leggibile dalle macchine, riconoscibile come generato artificialmente [5].

Le date spiegano la tempistica di agosto. Le FAQ della Commissione europea sull’articolo 50 precisano che gli obblighi si applicano dal 2 agosto 2026, con un’unica proroga: i sistemi già sul mercato prima di quella data hanno tempo fino al 2 dicembre 2026 per rispettare l’obbligo di marcatura e rilevamento [6]. E la posta in gioco non è simbolica, perché le multe possono arrivare a 15 milioni di euro o al 3% del fatturato mondiale totale dell’esercizio precedente [6].

Anthropic ha anche scelto la più prevedibile delle due strade verso la conformità. A luglio 2026 ha firmato il Codice di buone pratiche europeo sulla trasparenza dei contenuti generati dall’AI [1], e la pagina della Commissione sul codice spiega perché a un fornitore conviene: i firmatari possono appoggiarsi alle misure del codice per dimostrare la conformità, mentre chi sceglie una strada propria deve convincere una per una le autorità di vigilanza del mercato che le sue misure sono adeguate [7]. A fine luglio 2026 avevano firmato circa 190 organizzazioni, e tra i firmatari di rilievo la Commissione cita Anthropic, Google, Meta, Microsoft, Mistral e OpenAI [8]. Qualunque cosa diventino i watermark testuali, non saranno una stranezza di Claude.

Cosa sta cercando di prevenire l’UE, in concreto? Le linee guida della Commissione su questi obblighi di trasparenza descrivono il problema così: i contenuti AI stanno diventando difficili da distinguere da quelli umani, e questo alza i rischi di disinformazione e manipolazione su larga scala, frode, furto d’identità e inganno dei consumatori [9].

C’è un dettaglio che stona, per una norma europea: il watermark arriva in tutto il mondo. La spiegazione di Anthropic è operativa, non legale. Non ha ancora un modo affidabile per limitare il watermark su base geografica, quindi al lancio lo applica ovunque e dice che continuerà a valutare altre soluzioni [1]. Il Claude Help Center conferma la portata: la marcatura riguarda l’output dei modelli supportati ovunque Claude venga offerto [2]. Tieni a mente questo dettaglio, perché conta per la prossima sezione.

La teoria cinese, presa sul serio

La spiegazione rivale merita più di una scrollata di spalle, perché ogni fatto su cui poggia è reale. La teoria suona così: Anthropic ha passato il 2026 ad accusare i laboratori cinesi di distillazione, la pratica di addestrare il proprio modello sull’output di un altro, e la ricerca mostra che i watermark possono sopravvivere dentro i modelli addestrati su testo marcato. Quindi il watermark sarebbe in realtà uno strumento per incastrare quei laboratori, e l’AI Act una comoda copertura.

La guerra della distillazione è documentata a fondo. Il 23 febbraio 2026 Anthropic ha dichiarato di aver individuato campagne su scala industriale di DeepSeek, Moonshot e MiniMax per estrarre le capacità di Claude: più di 16 milioni di scambi con Claude attraverso circa 24.000 account fraudolenti, mirati al ragionamento agentico, all’uso di strumenti e al coding di Claude [10]. Reuters ha riportato le accuse lo stesso giorno, notando che nessuna delle tre aziende ha risposto nell’immediato [11]. Il round di giugno è stato più grande. Il 24 giugno 2026 Reuters ha riferito, citando una lettera di Anthropic a due senatori statunitensi, che operatori legati ad Alibaba e al suo laboratorio Qwen avevano generato più di 28,8 milioni di scambi tramite quasi 25.000 account fraudolenti tra il 22 aprile e il 5 giugno 2026, quello che Anthropic ha definito il più grande attacco noto di questo tipo contro l’azienda. Nemmeno Alibaba ha risposto subito [12].

Anche la metà scientifica della teoria regge. In un paper presentato a NeurIPS 2024, Tom Sander e colleghi hanno mostrato che i watermark rendono i modelli linguistici «radioattivi»: un modello sottoposto a fine-tuning su testo con watermark eredita tracce deboli ma rilevabili del watermark, e per un modello a pesi aperti i ricercatori sono riusciti a dimostrare con alta confidenza l’addestramento su istruzioni marcate anche quando solo il 5% del testo di addestramento portava il segno [13].

La contro-ricerca è altrettanto reale. Un paper di Leyi Pan e colleghi, accettato ad ACL 2025, ha verificato se i watermark riescono a impedire la distillazione non autorizzata e ha trovato due modi per aggirarli: parafrasare i dati di addestramento prima della distillazione e neutralizzare il watermark in fase di inferenza dopo l’addestramento. Entrambi rimuovono a fondo i segni ereditati, e il metodo in inferenza lo fa conservando la capacità trasferita e con poco overhead [14]. La corsa agli armamenti ha già prodotto watermark costruiti apposta per questo scontro: a maggio 2026 i ricercatori del laboratorio FAIR di Meta, tra cui gli autori principali del paper sulla radioattività, hanno pubblicato TextSeal, un watermark progettato per restare rilevabile attraverso la distillazione e confrontato direttamente con SynthID-Text [15].

La teoria è quindi coerente. Quello che le manca è la documentazione. Non esiste alcuna dichiarazione pubblica che leghi il watermark di Claude alla distillazione; il motivo che Anthropic fornisce è l’AI Act europeo [1]. Il post di febbraio sugli attacchi di distillazione elenca le difese di Anthropic, e il watermark non compare nella lista: classificatori e fingerprinting comportamentale sul traffico API, rilevamento di attività coordinata tra account, verifiche più severe per i tipi di account più abusati e contromisure pensate per rendere gli output meno utili alla distillazione illecita [10]. E qui il dettaglio del rollout della sezione precedente fa il suo lavoro. Anthropic applica il watermark in tutto il mondo solo perché non ha un modo affidabile per limitarlo su base geografica, e ne sta ancora cercando uno [1]. Un laboratorio che avesse costruito il watermark per scovare la distillazione non starebbe studiando come spegnerlo fuori dall’Europa.

Anche il calendario punta nella stessa direzione. L’annuncio del watermark è arrivato dodici giorni dopo l’entrata in applicazione dell’articolo 50 e con largo anticipo sulla scadenza del 2 dicembre 2026 per i sistemi più vecchi; ha seguito le accuse a DeepSeek di quasi sei mesi e la lettera su Alibaba di sette settimane. Metti i due calendari uno accanto all’altro e la spiegazione della conformità richiede semplicemente meno ipotesi: ogni data del watermark segue un obbligo europeo, mentre le date della distillazione stanno a mesi di distanza.

1. 23 feb 2026

   Accuse di distillazione

   Anthropic nomina DeepSeek, Moonshot e MiniMax.

2. 24 giu 2026

   Accusa ad Alibaba

   Reuters riporta 28,8 milioni di scambi tramite account fraudolenti.

3. 31 lug 2026

   Firme del Codice di buone pratiche

   La Commissione conta circa 190 firmatari, Anthropic inclusa.

4. 2 ago 2026

   Si applica l'articolo 50

   I nuovi sistemi di AI devono marcare i contenuti generati.

5. 14 ago 2026

   Annuncio del watermark

   I futuri modelli Claude marcheranno il loro testo.

6. 2 dic 2026

   Scadenza per i sistemi più vecchi

   L'obbligo di marcatura raggiunge i sistemi precedenti al 2 agosto 2026.

Niente di tutto questo dimostra il movente, e un’azienda può avere due ragioni e pubblicarne una sola. Quello che posso separare è ciò che è documentato da ciò che non lo è. La guerra della distillazione è reale, e Anthropic la combatte con strumenti che ha nominato. Il watermark ha un solo scopo dichiarato: la conformità europea. E se l’output marcato di Claude finisse davvero nei dati di addestramento di qualcuno, la ricerca sulla radioattività suggerisce che Anthropic si ritroverebbe un’opzione di rilevamento come effetto collaterale, che qualcuno l’abbia pianificato o no [13]. Cosa dimostrerebbe davvero un simile rilevamento è una domanda a parte.

Cosa dimostra davvero un rilevamento positivo?

Che Claude è stato probabilmente coinvolto, e poco altro. Anthropic precisa che la sua chiave risponde a una sola domanda: la probabilità che un testo sia stato scritto in parte da Claude. Una corrispondenza non può separare «l’ha scritto Claude» da «Claude l’ha pesantemente modificato», non può confermare che un testo sia opera di un umano e non può riconoscere l’AI di un’altra azienda, che userebbe una chiave o un metodo diversi [1].

Un segno può perfino sopravvalutare il coinvolgimento. Il Claude Help Center osserva che l’output può portare un segno di Claude anche quando le idee, il testo o i dati di partenza vengono da un’altra fonte, quindi un rilevamento dice che Claude ha maneggiato quelle parole a un certo punto, non da dove arrivano le idee [2].

Un risultato negativo dimostra ancora meno. L’help center elenca le situazioni in cui un contenuto marcato smette di essere rilevabile: il brano è molto corto, oppure il testo è stato pesantemente modificato, parafrasato, tradotto o mescolato ad altra scrittura [2]. Il testo può anche venire da un modello Claude che ancora non marca, perché i modelli lanciati prima del 2 agosto 2026 sono ancora in transizione; Anthropic dice che per quei modelli il watermark arriverà nei prossimi mesi [1] [2]. Sulla traduzione serve una frase precisa, perché taglia in entrambe le direzioni: una traduzione prodotta da Claude porta un watermark tutto suo, dato che ogni sua parola è una scelta di Claude [1], mentre far passare un testo già marcato per un altro traduttore sostituisce le scelte di parole e può cancellare il segnale [2].

Il watermark è anche disomogeneo per costruzione. Dove esiste un solo output corretto non viene applicato, perché scegliere una parola diversa renderebbe il testo sbagliato. L’esempio di Anthropic è il completamento di «l’opera più famosa di Isaac Newton si intitola Principia», dove «Mathematica» è l’unica risposta giusta, quindi il watermark non ha nulla su cui agire [1]. La stessa logica assottiglia il segno nel codice, che per lo più deve essere esatto; le scelte libere, come la formulazione dei commenti, possono portarlo, ma Anthropic prevede un effetto trascurabile sul codice vero e proprio [1]. La correzione di bozze si comporta allo stesso modo: quando Claude sistema solo grammatica e punteggiatura in un testo umano, il watermark può vivere solo in quella manciata di correzioni, che possono essere troppo poche per lasciare un segnale misurabile [1]. E questo comportamento si allinea con la legge, perché l’articolo 50 esenta l’AI che svolge una funzione di assistenza nell’editing standard o che non altera in modo sostanziale l’input [5].

Si può togliere il watermark di proposito? Nessuno fuori da Anthropic ha ancora testato la versione di Claude, ma la famiglia SynthID-Text è stata messa alla prova. A dicembre 2024 il laboratorio SRI dell’ETH di Zurigo ha valutato SynthID-Text su un modello Llama installato in locale e l’ha trovato più difficile da falsificare rispetto a schemi comparabili, ma più facile da ripulire: rispetto ad altri watermark allo stato dell’arte, una parafrasi lo rimuoveva con più facilità, anche quando l’attaccante usava soltanto strumenti di parafrasi già pronti [16]. Anthropic stessa lo ammette: una modifica leggera probabilmente non elimina il watermark del tutto, mentre una riscrittura completa in cui ogni parola viene sostituita sì, e a quel punto è discutibile che il testo sia ancora generato dall’AI [1].

Contano altri due limiti. Il watermark non contiene nulla su di te: Anthropic dichiara che né nel watermark né nella sua chiave c’è qualcosa che possa ricostruire informazioni sull’utente, sulla sua organizzazione o sulle sue conversazioni, e un segno non cambia nulla sulla proprietà dell’output o sui diritti di chi lo usa [1]. E per ora nessuno può davvero controllare. Il rilevamento richiede la chiave, ed è per questo che i rilevatori di AI di terze parti usano metodi diversi [1]; l’API di rilevamento che Anthropic dice di voler offrire presto non aveva, al 17 agosto 2026, dettagli pubblicati su implementazione, soglie o modello di accesso [1].

Cosa cambia per codice, file e lavoro di tutti i giorni

Il rilevamento per ora è chiuso, ma la marcatura non aspetta, quindi conviene sapere dove i segni compariranno e dove no. Il rollout segue i modelli, non i prodotti: il watermark viene applicato a livello di modello, quindi un modello supportato marca il suo testo ovunque giri, che siano le app Claude, l’API della Claude Platform, Claude Code, Claude Cowork o Claude Tag, oppure l’accesso tramite AWS, Google Cloud e Microsoft Foundry [2]. Anthropic mette le mani avanti: alcune piattaforme o funzioni potrebbero non supportare ogni tipo di marcatura [2]. I modelli lanciati dal 2 agosto 2026 in poi marcano fin dal lancio; quelli più vecchi ricevono la funzione man mano che il lavoro di transizione procede [2]. Non esiste un giorno unico in cui tutto il testo di Claude diventa marcato, e quindi nemmeno un giorno unico in cui il rilevamento diventa affidabile su tutta la linea.

Per chi programma, l’impronta pratica dovrebbe restare piccola. Il codice per lo più deve essere esatto, l’output esatto non viene marcato, e Anthropic prevede un effetto trascurabile sul codice che Claude produce davvero; in una sessione di coding il segnale vive soprattutto dove la formulazione è libera, per esempio nei commenti [1]. La prosa ordinaria è il terreno dove il watermark ha spazio per lavorare, e lì sia i test interni di Anthropic sia l’esperimento di DeepMind su Gemini dicono che la qualità non si muove in modo misurabile [1] [4].

I file ricevono un trattamento del tutto diverso. Quando Claude produce un tipo di file supportato, come .png, .jpg o .svg, gli allega una content credential: una piccola nota firmata crittograficamente nei metadati del file, che registra che il file è stato creato o elaborato con Claude [1]. Il formato è C2PA, della Coalition for Content Provenance and Authenticity, uno standard tecnico aperto per stabilire l’origine e la storia delle modifiche dei contenuti digitali, lo stesso che usano i produttori di fotocamere e i software di fotoritocco [1] [17]. Qualsiasi strumento compatibile con C2PA può leggere la credenziale, e Anthropic dice che fornirà un proprio strumento di verifica [1].

La mia lettura dei due meccanismi è che falliscono in direzioni opposte. Il watermark testuale sopravvive al copia e incolla perché è fatto delle parole stesse, e sbiadisce solo man mano che quelle parole vengono sostituite dalle modifiche [2]. La credenziale del file lascia intatto il contenuto ma vive nei metadati, che si perdono con uno screenshot, una conversione di formato o un nuovo salvataggio [2].

Proprietà	Watermark testuale	Credenziale C2PA del file
Dove vive il segnale	Nello schema delle scelte di parole	Nei metadati firmati allegati al file
Modifica il contenuto	✗ No	✗ No
Sopravvive al copia e incolla	Sì, il segno è il testo	Solo se i metadati viaggiano insieme al file
Cosa lo rimuove	Una riscrittura che sostituisce le parole	Screenshot, conversioni di formato, nuovi salvataggi
Identifica l'utente	✗ No	✗ No
Come si verifica	La chiave di Anthropic; un'API di rilevamento è in arrivo	Qualsiasi strumento compatibile con C2PA

Quello che arriva qui non è il rilevatore di AI che insegnanti e redattori continuano a chiedere, e Anthropic non finge il contrario: senza la chiave non c’è nulla da controllare, e anche con la chiave la risposta è una probabilità, non un verdetto [1]. Quello che arriva è la provenienza integrata nei modelli stessi, perché una legge la richiede e circa 190 organizzazioni si sono accordate su come fornirla [8]. Il mio prossimo passo è concreto: quando l’API di rilevamento uscirà, ci farò passare i miei articoli pubblicati e una pila di trascrizioni di Claude, e annoterò cosa fanno davvero i punteggi di confidenza alle diverse lunghezze.