O Claude vai aplicar marca de água ao texto. A razão é a UE

A Anthropic confirmou a 14 de agosto de 2026 que os futuros modelos Claude vão incluir uma marca de água («watermark», no termo inglês) no texto que geram [1]. A versão viral desta notícia erra em dois pontos. A marca não é feita de caracteres ocultos: vive no padrão das palavras que o Claude escolhe. E a razão declarada não são os laboratórios chineses que copiam o Claude. É o AI Act da UE [1].

O ponto de partida foi um gráfico a circular nas redes sociais: «O Claude vai agora aplicar uma marca de água invisível ao texto gerado por IA, para que este possa ser detetado depois de copiado e colado.» Para um resumo de uma frase, é surpreendentemente exato. O problema está no que as pessoas leem nele. «Invisível» é entendido como caracteres escondidos dentro do texto, e o momento do anúncio é lido como a Anthropic a armar-se contra os laboratórios chineses que acusou de extrair ilicitamente as capacidades do Claude no início de 2026. A primeira leitura confunde o mecanismo, e a segunda corre à frente da documentação. Ambas merecem ser desmontadas com calma.

Como é que uma marca de água sobrevive ao copiar e colar sem caracteres ocultos?

Porque a marca de água não está presa ao texto. Ela é o texto. O Claude marca o que escreve através das palavras que escolhe nos momentos em que várias opções serviriam igualmente bem, e o Claude Help Center afirma a consequência sem rodeios: a marca de água faz parte do texto, por isso acompanha-o quando é copiado e colado noutro sítio [2].

Eis o mecanismo tal como a Anthropic o descreve. Um modelo de linguagem escreve escolhendo repetidamente a palavra seguinte, e em muitas posições a escolha pouco importa, porque várias palavras encaixariam. Normalmente o modelo escolhe entre essas palavras aceitáveis ao acaso. A marca de água mantém as escolhas aleatórias, mas muda a origem da aleatoriedade: em vez de um gerador de números aleatórios qualquer, o modelo usa uma chave secreta, combinada com algumas das palavras anteriores, para decidir qual das opções toma [1]. Repetido ao longo das muitas escolhas de baixo risco de uma passagem, isto deixa um padrão que nenhum leitor consegue ver, mas que qualquer pessoa com a chave consegue testar [1]. Nada é acrescentado ao texto, não há caracteres ocultos e a marca não precisa de tokens extra, por isso não torna o Claude mais caro de servir nem de usar [1].

A Anthropic é igualmente clara sobre o que a marca de água não faz: nunca empurra o Claude para uma palavra que ele não teria considerado de qualquer forma. O exemplo do anúncio é «nubilous», um sinónimo inglês obscuro de céu encoberto que o Claude quase nunca usaria; a marca só muda a forma como se decide entre palavras plausíveis [1].

A abordagem é emprestada, e assumidamente. A marca de água do Claude é uma versão do SynthID-Text, que a Google DeepMind publicou na revista Nature em 2024, e a família de métodos remonta a uma proposta de Scott Aaronson em 2022 [1]. A descrição da própria DeepMind coincide com a da Anthropic: o SynthID ajusta as pontuações de probabilidade dos tokens candidatos durante a geração, e o padrão final dessas pontuações ao longo das escolhas do modelo é a marca de água [3]. O artigo na Nature é a razão pela qual levo a sério a promessa de que a qualidade não sofre. Numa experiência ao vivo no sistema de produção do Gemini, com perto de 20 milhões de respostas, a taxa de avaliações positivas do modelo com marca diferiu da do modelo sem marca em 0,01%, e a taxa de avaliações negativas em 0,02%, ambas sem significância estatística [4]. A Anthropic relata o mesmo dos seus testes internos: nenhum impacto medido no conteúdo, na criatividade ou na legibilidade do texto do Claude [1].

A deteção faz o mesmo truque ao contrário. Com a chave, um detetor pode verificar se uma passagem contém as escolhas de palavras que uma geração marcada teria preferido, com uma frequência que o acaso não explica. O sinal acumula-se escolha a escolha, por isso a confiança sobre o envolvimento do Claude cresce com o comprimento da passagem, e uma passagem muito curta tem poucas decisões para dizer o que quer que seja [1]. A metade do gráfico viral sobre o copiar e colar está, portanto, certa, e por uma razão que o gráfico não consegue mostrar: não há nada no texto para arrancar. É na metade do «porquê agora» que a história costuma descarrilar.

Porque é que a Anthropic está a fazer isto?

Para cumprir o AI Act da UE. A Anthropic di-lo diretamente: está a implementar a marca de água, tal como vários outros grandes fornecedores de IA, para cumprir a lei [1]. O n.º 2 do artigo 50.º do Regulamento (UE) 2024/1689 exige que os fornecedores de sistemas de IA que geram texto, áudio, imagens ou vídeo marquem os resultados num formato legível por máquina, detetáveis como gerados artificialmente [5].

As datas explicam o momento do anúncio. As perguntas frequentes da Comissão Europeia sobre o artigo 50.º indicam que as obrigações se aplicam desde 2 de agosto de 2026, com um único período de tolerância, curto: os sistemas que já estavam no mercado antes dessa data têm até 2 de dezembro de 2026 para cumprir a obrigação de marcação e deteção [6]. E o risco não é simbólico, porque as coimas podem chegar aos 15 milhões de euros ou a 3% do volume de negócios mundial do exercício anterior [6].

A Anthropic também escolheu a mais previsível das duas vias de conformidade. Em julho de 2026 assinou o Código de Práticas da UE sobre a transparência de conteúdos gerados por IA [1], e a página da Comissão sobre o código explica porque é que um fornecedor o faria: os signatários podem apoiar-se nas medidas do código para demonstrar conformidade, enquanto quem seguir caminho próprio tem de convencer individualmente as autoridades de fiscalização do mercado de que as suas medidas chegam [7]. No final de julho de 2026, cerca de 190 organizações tinham assinado, e entre os signatários de IA em destaque a Comissão conta a Anthropic, a Google, a Meta, a Microsoft, a Mistral e a OpenAI [8]. Seja qual for o futuro das marcas de água em texto, não vão ser uma excentricidade do Claude.

O que é que a UE quer, afinal, evitar? As orientações da Comissão sobre estas obrigações de transparência descrevem o problema: o conteúdo de IA está a tornar-se difícil de distinguir do conteúdo humano, o que aumenta os riscos de desinformação e manipulação em grande escala, fraude, usurpação de identidade e engano dos consumidores [9].

Um detalhe parece estranho para uma regra europeia: a marca de água chega ao mundo inteiro. A explicação da Anthropic é operacional, não jurídica. A empresa ainda não tem uma forma sólida de limitar a marcação por região, por isso aplica a marca globalmente no lançamento e diz que vai continuar a avaliar outras abordagens [1]. O Claude Help Center confirma o âmbito: a marcação aplica-se ao que os modelos suportados produzem onde quer que o Claude seja oferecido [2]. Guarde este detalhe, porque vai ser importante na secção seguinte.

A teoria da China, levada a sério

A explicação rival merece mais do que um encolher de ombros, porque todos os factos em que assenta são reais. A teoria diz o seguinte: a Anthropic passou 2026 a acusar laboratórios chineses de destilação de modelos («model distillation», no termo inglês), a prática de treinar um modelo próprio com o output de outro, e a investigação mostra que as marcas de água podem sobreviver dentro de modelos treinados com texto marcado. Logo, a marca de água só pode ser uma ferramenta para apanhar esses laboratórios, e o AI Act é uma cobertura conveniente.

A guerra da destilação está fartamente documentada. A 23 de fevereiro de 2026, a Anthropic disse ter identificado campanhas à escala industrial da DeepSeek, da Moonshot e da MiniMax para extrair as capacidades do Claude: mais de 16 milhões de interações com o Claude através de cerca de 24 mil contas fraudulentas, dirigidas ao raciocínio agêntico, ao uso de ferramentas e à programação [10]. A Reuters cobriu as acusações no próprio dia e registou que nenhuma das três empresas respondeu de imediato [11]. A ronda de junho foi maior. A 24 de junho de 2026, a Reuters noticiou, citando uma carta que a Anthropic enviou a dois senadores norte-americanos, que operadores ligados à Alibaba e ao seu laboratório Qwen geraram mais de 28,8 milhões de interações através de quase 25 mil contas fraudulentas entre 22 de abril e 5 de junho de 2026, aquilo a que a Anthropic chamou o maior ataque conhecido do género contra a empresa. A Alibaba também não respondeu de imediato [12].

A metade científica também se aguenta. Num artigo apresentado no NeurIPS 2024, Tom Sander e colegas mostraram que as marcas de água tornam os modelos de linguagem «radioativos»: um modelo submetido a fine-tuning com texto marcado herda vestígios fracos, mas detetáveis, da marca, e num modelo de pesos abertos os autores conseguiram provar com elevada confiança o treino com instruções marcadas, mesmo quando apenas 5% do texto de treino trazia marca [13].

A contrainvestigação é igualmente real. Um artigo de Leyi Pan e colegas, aceite na ACL 2025, testou se as marcas de água conseguem impedir a destilação não autorizada de conhecimento e encontrou duas formas de as contornar: parafrasear os dados de treino antes da destilação e neutralizar a marca na inferência, depois do treino. Ambas removeram por completo as marcas herdadas, e o método aplicado na inferência fê-lo mantendo a capacidade transferida e acrescentando pouco custo [14]. Entretanto, a corrida ao armamento já produziu marcas de água desenhadas exatamente para esta luta: em maio de 2026, investigadores do laboratório FAIR da Meta, entre eles os primeiros autores do artigo da radioatividade, publicaram o TextSeal, uma marca de água concebida para continuar detetável depois da destilação e posicionada diretamente contra o SynthID-Text [15].

A teoria é, portanto, coerente. O que lhe falta é documentação. Não existe nenhuma declaração pública a ligar a marca de água do Claude à destilação; a razão que a Anthropic dá é o AI Act da UE [1]. A publicação de fevereiro da Anthropic sobre os ataques de destilação nomeia o seu próprio conjunto de defesas, e a marca de água não está nessa lista: classificadores e impressões digitais comportamentais no tráfego da API, deteção de atividade coordenada entre contas, verificação reforçada para os tipos de conta mais abusados e contramedidas destinadas a tornar o output menos útil para destilação ilícita [10]. E o detalhe do lançamento mundial referido na secção anterior faz agora o seu trabalho. A Anthropic aplica a marca globalmente apenas porque não tem uma forma sólida de a limitar por região, e continua à procura de uma [1]. Um laboratório que tivesse construído a marca para apanhar destilação não andaria a investigar maneiras de a desligar fora da Europa.

O calendário aponta na mesma direção. O anúncio da marca de água chegou doze dias depois de o artigo 50.º começar a aplicar-se e bem antes do prazo de 2 de dezembro de 2026 para os sistemas mais antigos; ao mesmo tempo, chegou quase seis meses depois das acusações contra a DeepSeek e sete semanas depois da carta sobre a Alibaba. Postos os dois calendários lado a lado, a explicação da conformidade precisa simplesmente de menos suposições: todas as datas da marca de água acompanham uma obrigação europeia, enquanto as datas da destilação ficam a meses de distância.

1. 23 de fev. de 2026

   Acusações de destilação

   A Anthropic nomeia a DeepSeek, a Moonshot e a MiniMax.

2. 24 de jun. de 2026

   Acusação à Alibaba

   A Reuters noticia 28,8 milhões de interações através de contas fraudulentas.

3. 31 de jul. de 2026

   Contagem do Código de Práticas

   A Comissão conta cerca de 190 signatários, incluindo a Anthropic.

4. 2 de ago. de 2026

   Artigo 50.º aplica-se

   Os novos sistemas de IA têm de marcar o conteúdo gerado.

5. 14 de ago. de 2026

   Marca de água anunciada

   Os futuros modelos Claude vão marcar o seu texto.

6. 2 de dez. de 2026

   Prazo para sistemas antigos

   A obrigação de marcação chega aos sistemas anteriores a 2 de agosto de 2026.

Nada disto prova o motivo, e uma empresa pode ter duas razões e publicar apenas uma. O que consigo separar é o documentado do não documentado. A guerra da destilação é real, e a Anthropic combate-a com ferramentas que nomeia uma a uma. A marca de água tem exatamente um propósito declarado: a conformidade europeia. E se o output marcado do Claude acabar nos dados de treino de alguém, a investigação sobre radioatividade sugere que a Anthropic ganha uma opção de deteção como efeito secundário, quer alguém o tenha planeado assim quer não [13]. O que essa deteção provaria, na prática, é uma pergunta à parte.

O que é que uma deteção positiva prova, afinal?

Que o Claude esteve provavelmente envolvido, e pouco mais. A Anthropic afirma que a sua chave responde a uma única pergunta: a probabilidade de um texto ter sido escrito, em parte, pelo Claude. Uma correspondência não consegue separar «o Claude escreveu isto» de «o Claude editou isto a fundo», não consegue confirmar que um texto é de autoria humana e não consegue reconhecer a IA de outra empresa, que usaria outra chave ou outro método [1].

Uma marca pode até exagerar o envolvimento. O Claude Help Center nota que o output pode trazer uma marca do Claude quando as ideias, o texto ou os dados de base vieram de outra fonte, por isso uma deteção diz que o Claude processou as palavras em algum momento, não de onde vieram as ideias [2].

Um resultado negativo prova ainda menos. O centro de ajuda enumera as situações em que conteúdo marcado deixa de ser detetável: a passagem é muito curta, ou o texto foi fortemente editado, parafraseado, traduzido ou misturado com outra escrita [2]. O texto também pode vir de um modelo Claude que ainda não marca, porque os modelos lançados antes de 2 de agosto de 2026 estão em transição; a Anthropic diz que a marcação nesses modelos vai chegar ao longo dos próximos meses [1] [2]. A tradução exige aqui uma frase precisa, porque corta nos dois sentidos: uma tradução feita pelo Claude traz uma marca de água nova, porque cada palavra dela é uma escolha do Claude [1], enquanto passar texto já marcado por outro tradutor substitui as escolhas de palavras e pode apagar o sinal [2].

A marca de água é também desigual por definição. Onde só um resultado está correto, não é aplicada, porque escolher outra palavra tornaria o texto errado. O exemplo da Anthropic é completar o título da obra mais famosa de Isaac Newton: depois de «Principia», «Mathematica» é a única resposta certa, por isso a marca não tem onde atuar [1]. A mesma lógica dilui a marca no código, que na maior parte tem de ser exato; as escolhas livres, como a redação dos comentários, podem carregá-la, mas a Anthropic espera um efeito negligenciável no código propriamente dito [1]. A revisão de texto comporta-se da mesma maneira: quando o Claude só corrige gramática e pontuação num texto humano, a marca só pode viver nesse punhado de correções, que pode ser pequeno demais para ser detetado [1]. Este comportamento calha alinhar com a lei, porque o artigo 50.º isenta a IA que desempenha uma função de assistência na edição corrente ou que não altera substancialmente o material de entrada [5].

Alguém pode arrancar a marca de propósito? Fora da Anthropic ninguém testou ainda a versão do Claude, mas a família SynthID-Text já foi posta à prova. Em dezembro de 2024, o SRI Lab da ETH Zurich avaliou o SynthID-Text num modelo Llama instalado localmente e concluiu que é mais difícil de falsificar do que esquemas comparáveis, mas mais fácil de apagar: a paráfrase removeu-o com mais facilidade do que removia outras marcas de água de topo, mesmo quando o atacante usou apenas ferramentas de paráfrase comuns [16]. A própria Anthropic reconhece o limite: uma edição ligeira provavelmente não remove a marca por completo, e uma reescrita total em que cada palavra é substituída remove-a, altura em que é discutível se o texto ainda é gerado por IA [1].

Há ainda dois limites que importam. A marca não transporta nada sobre si: a Anthropic afirma que não há nada na marca de água nem na chave que permita recuperar informação sobre o utilizador, a sua organização ou as suas conversas, e uma marca não muda nada quanto à propriedade do resultado nem aos direitos do utilizador [1]. E, para já, ninguém consegue verificar de facto. A deteção exige a chave, e é por isso que os detetores de IA de terceiros usam outros métodos [1], e a API de deteção que a Anthropic diz que vai disponibilizar em breve não tinha detalhes de implementação, limiares nem modelo de acesso publicados a 17 de agosto de 2026 [1].

O que isto significa para código, ficheiros e trabalho do dia a dia

A deteção pode ainda estar indisponível, mas a marcação não está à espera, por isso convém saber onde as marcas vão e não vão aparecer. O lançamento segue os modelos, não os produtos: a marcação é aplicada ao nível do modelo, por isso um modelo suportado marca o seu texto em todo o lado onde corre, seja nas aplicações Claude, na API da Claude Platform, no Claude Code, no Claude Cowork ou no Claude Tag, seja no acesso através de AWS, Google Cloud e Microsoft Foundry [2]. A Anthropic ressalva que algumas plataformas ou funcionalidades podem não suportar todos os tipos de marcação [2]. Os modelos lançados a partir de 2 de agosto de 2026 marcam desde o primeiro dia; os mais antigos recebem a capacidade à medida que o trabalho de transição avança [2]. Não há um dia único em que todo o texto do Claude passa a estar marcado, o que também significa que não há um dia único em que a deteção passa a ser fiável em todo o lado.

Para quem programa, o efeito prático deve continuar pequeno. O código tem sobretudo de ser exato, o que é exato não é marcado, e a Anthropic espera um efeito negligenciável no código que o Claude realmente produz; numa sessão de programação, o sinal vive principalmente onde a redação é livre, como nos comentários [1]. A prosa corrente é onde a marca de água tem espaço para trabalhar, e aí tanto os testes internos da Anthropic como a experiência da DeepMind com o Gemini dizem que a qualidade não se move de forma mensurável [1] [4].

Os ficheiros recebem um tratamento completamente diferente. Quando o Claude produz um tipo de ficheiro suportado, como .png, .jpg ou .svg, anexa-lhe uma credencial de conteúdo: uma pequena nota assinada criptograficamente nos metadados do ficheiro, a registar que este foi criado ou processado com o Claude [1]. O formato é o C2PA, da Coalition for Content Provenance and Authenticity, uma norma técnica aberta para estabelecer a proveniência e o histórico de edição de conteúdos digitais, a mesma que os fabricantes de câmaras e o software de edição de fotografia usam [1] [17]. Qualquer ferramenta compatível com C2PA consegue ler a credencial, e a Anthropic diz que vai disponibilizar a sua própria ferramenta de verificação [1].

A minha leitura dos dois mecanismos é que falham em direções opostas. A marca de água no texto sobrevive ao copiar e colar porque é feita das próprias palavras, e só se desvanece à medida que a edição vai substituindo essas palavras [2]. A credencial no ficheiro deixa o conteúdo intacto, mas vive nos metadados, que se perdem quando alguém tira uma captura de ecrã, converte o formato ou volta a guardar o ficheiro [2].

Propriedade	Marca de água no texto	Credencial C2PA no ficheiro
Onde vive o sinal	No padrão das escolhas de palavras	Em metadados assinados anexados ao ficheiro
Altera o próprio conteúdo	✗ Não	✗ Não
Sobrevive ao copiar e colar	Sim, a marca é o texto	Só se os metadados acompanharem a cópia
O que a remove	Uma reescrita que substitui as palavras	Capturas de ecrã, conversão de formato, voltar a guardar
Identifica o utilizador	✗ Não	✗ Não
Como verificar	A chave da Anthropic; está prevista uma API de deteção	Qualquer ferramenta compatível com C2PA

O que chega aqui não é o detetor de IA que professores e editores continuam a pedir, e a Anthropic não finge o contrário: sem a chave não há nada para verificar, e mesmo com ela a resposta é uma probabilidade, não um veredicto [1]. O que chega é proveniência incorporada nos próprios modelos, porque uma lei o exige e cerca de 190 organizações concordaram na forma de o cumprir [8]. O meu próximo passo é concreto: quando a API de deteção aparecer, vou passar por ela os meus artigos publicados e uma pilha de transcrições do Claude e registar o que os números de confiança fazem de facto em diferentes comprimentos.