Nei giorni scorsi Anthropic ha annunciato che i prossimi modelli Claude applicheranno un watermark ai testi che generano, e ora ha pubblicato un documento che spiega come funziona il meccanismo. Nel testo non viene aggiunto nulla, non ci sono caratteri nascosti e la marcatura non consuma token aggiuntivi. Un testo marcato e uno privo di watermark sono indistinguibili per chi legge, e il costo di generazione resta lo stesso.
Un modello linguistico genera una parola per volta scegliendo fra più candidati plausibili, e in molti casi la scelta è a bassa posta: nella frase “il tempo oggi era freddo e…” la parola successiva difficilmente sarà “zuccherina”, mentre “coperto” e “grigio” valgono più o meno allo stesso modo. In condizioni normali a decidere fra le due è un numero casuale. Con il watermark attivo la casualità resta, ma cambia la sorgente: la parola viene selezionata combinando una chiave e le parole immediatamente precedenti. Chi possiede la chiave può ricontrollare la sequenza e stimare la probabilità che il testo venga da Claude.
La marcatura serve a rispettare l’AI Act europeo. Anthropic ha firmato a luglio, insieme ad altri fornitori di modelli e a circa 190 firmatari complessivi, il codice di condotta europeo sulla trasparenza dei contenuti generati dall’intelligenza artificiale, che dal 2 agosto impone a chi serve il mercato UE di marcare i testi prodotti dalle macchine. L’azienda applica il watermark a livello globale perché al momento non dispone di un modo affidabile per limitarlo a una singola area geografica, e dichiara che continuerà a valutare approcci diversi. Gli altri grandi sviluppatori hanno firmato lo stesso codice e adotteranno una propria marcatura.
I limiti dichiarati del metodo
Anthropic dichiara che metodo è una versione di SynthID-Text, l’approccio pubblicato da Google DeepMind su Nature nel 2024, che a sua volta appartiene a una famiglia di tecniche riconducibile a una proposta di Scott Aaronson del 2022. Il principio condiviso è quello descritto sopra: cambia soltanto la sorgente della casualità con cui si sceglie fra parole equivalenti. Sull’impatto qualitativo Anthropic cita i test interni e quelli di DeepMind, che aveva servito una parte del traffico Gemini con un modello marcato senza trovare differenze statisticamente significative nei giudizi degli utenti.
La chiave permette di rispondere a una sola domanda, cioè quanto è probabile che un testo sia stato scritto almeno in parte da Claude. Non dice se un testo è di mano umana e non riconosce l’intervento di un altro modello, che avrebbe una chiave diversa o un metodo diverso. Il rilevamento funziona male sui campioni brevi, dove le scelte disponibili sono poche, e si dirada nei passaggi fattuali: dopo “l’opera più famosa di Isaac Newton si intitola Principia” la parola giusta è una sola, e il watermark non ha su cosa agire. È inoltre cosa diversa dai software di rilevamento come Pangram, che non avendo la chiave si affidano alle spie tipiche della prosa dei modelli, come le costruzioni a contrasto del tipo “non è X, è Y”.
Lo stesso vale per la correzione di bozze. Il watermark riguarda solo le parole scelte dal modello: se Claude interviene su un testo umano limitandosi a punteggiatura e grammatica, le correzioni possono essere troppo poche perché il suo passaggio risulti rilevabile. Le traduzioni ricadono nel caso opposto e sono marcate in pieno, perché ogni parola la sceglie il modello. Quanto alla rimozione, l’azienda ammette che ritocchi leggeri probabilmente non cancellano del tutto la marcatura, mentre una riscrittura che sostituisca ogni parola sì, e osserva che in quel caso “è discutibile se il testo possa ancora essere descritto come generato dall’intelligenza artificiale”.
Il codice riceve meno marcatura del testo discorsivo, perché in molti casi l’output deve essere esatto e non esiste un’alternativa equivalente. Restano marcabili le porzioni dove la scelta è arbitraria, per esempio i commenti, con un effetto che Anthropic definisce trascurabile sul codice vero e proprio.
Le reazioni degli utenti
L’annuncio iniziale ha aperto un dibattito acceso fra chi usa il servizio. Su Reddit c’è chi ha letto la mossa come un complotto ai danni degli utenti in buona fede e chi ha replicato che “l’unico motivo per non volerlo è mentire alle persone”; su X diversi utenti hanno dichiarato di aver disdetto l’abbonamento. Sul fronte della riservatezza Anthropic non lascia aperte ipotesi dubbie: il watermark riguarda i modelli e i testi che producono, non contiene informazioni sull’utente, sulla sua organizzazione o sulle sue conversazioni, e né la marcatura né la chiave consentono di risalire a chi ha generato il testo.
Per la verifica l’azienda annuncia un’API di rilevamento, di cui però non ha ancora definito i dettagli implementativi. Per i file di immagine il meccanismo è un altro: al posto del watermark viene allegata una nota firmata crittograficamente nei metadati, secondo lo standard aperto C2PA usato anche dai produttori di fotocamere e dai software di fotoritocco, leggibile da qualsiasi strumento compatibile. I modelli usciti prima del 2 agosto rientrano in un periodo di transizione previsto dalla legge europea e riceveranno la marcatura nei prossimi mesi.