La filigrana dell'intelligenza artificiale nei testi di Claude: come funziona e che cosa non dimostra

Pubblicato il 19 agosto 2026

I modelli di Claude lanciati dal 2 agosto 2026 marcano i testi che producono con un segnale statistico che il lettore non percepisce, e dal 14 agosto la marcatura vale ovunque, non soltanto nell’Unione Europea. La filigrana dell’intelligenza artificiale entra così nel funzionamento ordinario di uno strumento che redazioni, studi legali e reparti di sviluppo usano tutti i giorni.

Il segnale, però, nasce già fragile: una riscrittura integrale lo cancella, una parafrasi lo dirada, e chi riceve un testo non ha modo di controllarlo, perché l’API di rilevamento annunciata da Anthropic non è ancora disponibile.

La distinzione da tenere ferma è questa: la filigrana marca come un contenuto è nato, non che cosa quel contenuto dimostra. Sopravvive al copia e incolla, perché vive nelle parole scelte e non nel file, ma non sopravvive alla riscrittura. È un’etichetta apposta dal produttore del modello per adempiere a un obbligo di trasparenza, non una prova costruita nell’interesse di chi dovrà difendere quel contenuto.

Che cosa ha annunciato Anthropic e da quando vale

Anthropic marca i contenuti prodotti da Claude con due tecniche distinte, che agiscono su oggetti diversi e falliscono per ragioni diverse: una filigrana statistica inserita dentro il testo e metadati di provenienza firmati crittograficamente allegati ai file. Confonderle è l’errore più diffuso nella copertura italiana della notizia. I modelli lanciati dal 2 agosto 2026 supportano la marcatura fin dal lancio, mentre quelli precedenti rientrano nel periodo transitorio previsto dall’Unione Europea e la riceveranno nei mesi successivi. Dal 14 agosto 2026 l’applicazione è globale.

I due meccanismi: segnale nel testo e credenziali nei metadati dei file

Il primo meccanismo interviene sulla generazione: mentre il modello produce il testo, la scelta fra le parole disponibili viene guidata in modo da lasciare un’impronta statistica riconoscibile. Nulla viene aggiunto al testo, perché cambia soltanto quali parole sono state selezionate fra quelle equivalenti.

Il secondo riguarda i file di immagine prodotti da Claude, cioè i formati .png, .jpg e .svg, che ricevono metadati di provenienza firmati secondo lo standard C2PA, lo stesso adottato dai produttori di fotocamere. Anche qui il contenuto non cambia: cambia il contenitore. Le due marcature reagiscono così in modo opposto, perché il testo marcato regge la copia e cede alla riscrittura, mentre il file marcato regge il trasferimento e cede allo screenshot.

Modelli, servizi e date di applicazione

La marcatura copre l’app Claude, la Claude Platform accessibile via API, Claude Code, Claude Cowork e Claude Tag, e si estende agli accessi attraverso AWS, Google Cloud e Microsoft Foundry. La documentazione di Anthropic non prevede esenzioni né possibilità di rinuncia, nemmeno per le utenze aziendali: chi costruisce il proprio prodotto sopra l’API di Claude non ha alcuna leva per disattivarla.

Come funziona la filigrana nel testo

La filigrana dell’intelligenza artificiale nel testo agisce sul modo in cui il modello sceglie le parole: non aggiunge un carattere nascosto, non annota il formato del documento, ma vincola la selezione lessicale. È il segnale che la stampa tecnica chiama anche watermark. Anthropic si appoggia a SynthID-Text, la tecnica pubblicata da Google DeepMind su Nature nel 2024, che interviene sulla sorgente di casualità usata durante la generazione: la scelta fra le alternative statisticamente accettabili smette di essere pseudo-casuale e viene decisa da una chiave segreta insieme alle parole già scritte. Nella spiegazione pubblicata da Anthropic l’analogia è quella del Monopoli: sostituire i dadi con le cifre di pi greco lascia le mosse imprevedibili per chi gioca, ma verificabili da chi conosce la regola.

La scelta delle parole come portatrice del segnale

La filigrana dell’intelligenza artificiale nel testo è un segnale statistico inserito nella scelta delle parole: fra alternative equivalenti, il modello preferisce sistematicamente quelle indicate da una chiave. Il risultato non cambia significato né leggibilità, ma rende il testo riconoscibile a un rilevatore che quella chiave la possiede.

Ciò che distingue SynthID-Text da una filigrana digitale tradizionale è che il segnale non sta in un punto preciso, ma è distribuito lungo l’intero testo sotto forma di preferenza ripetuta. La verifica funziona per accumulo statistico, ed è la ragione per cui la lunghezza del campione conta tanto.

Lo schema, però, non nasce in Google DeepMind. A sostenerlo per primo è Scott Aaronson, informatico dell’Università del Texas, che comincia a proporlo nell’estate 2022 subito dopo essere entrato nel team Alignment di OpenAI, come ricostruisce nelle slide di un suo intervento del 2024; altri gruppi di ricerca ne sviluppano poi le varianti, e la versione pubblicata da Google DeepMind è quella che Anthropic adotta oggi. Nella formulazione originale la selezione è guidata da una funzione pseudocasuale calcolata sulle parole immediatamente precedenti, mentre il rilevamento avviene per soglia: si somma il contributo delle singole parole e, se il totale supera un valore stabilito, si conclude che quel testo è stato probabilmente prodotto dal modello. Il verdetto, quindi, è probabilistico per costruzione.

Perché non si vede e non cambia il significato

L’intervento avviene solo dove le alternative sarebbero comunque valide. Se una frase può iniziare con “tuttavia” o con “però” senza che nulla cambi nel senso, la filigrana orienta quella scelta; se il contesto impone una parola sola, resta inerte. Anthropic dichiara per questo che la marcatura non altera qualità, precisione o leggibilità dell’output.

C’è poi un effetto meno ovvio. Poiché il segnale sta nelle parole e non nel file, copiare il testo e incollarlo altrove non lo rimuove, e la filigrana viaggia con il contenuto attraverso documenti e conversazioni. È la proprietà che ha allarmato di più chi usa Claude come supporto alla scrittura.

Dove il segnale si dirada: testi brevi, testi fattuali, codice, revisione

Anthropic elenca apertamente i casi in cui la marcatura non regge. Sui testi brevi il rilevamento non funziona, perché il campione non basta ad accumulare il segnale; sui testi fattuali la filigrana si dirada, dato che le alternative equivalenti sono poche, e l’esempio scelto è una frase su Isaac Newton e i Principia. Il codice risulta meno marcato per la stessa ragione, mentre se il modello si limita a correggere le bozze di un testo altrui il segnale non compare affatto. Le traduzioni eseguite dal modello stesso, invece, portano la filigrana, perché è Claude a riscegliere ogni parola del testo di arrivo; se a tradurre è un altro strumento, il passaggio vale come una riscrittura e il segnale non sopravvive.

Dietro quell’elenco c’è una ragione matematica precisa. La quantità di testo necessaria al rilevamento cresce con l’inverso del quadrato dell’entropia media per token, cioè del margine di scelta di cui il modello dispone davvero: quanto meno numerose sono le alternative equivalenti, tanto più testo serve per raggiungere la soglia. Ne discende che definizioni giuridiche, risposte fattuali e codice sorgente non sono eccezioni sfortunate, bensì i casi strutturalmente peggiori, e sono proprio quelli in cui l’attribuzione conterebbe di più.

La documentazione di Anthropic è netta: rilevare un marchio di Claude dice che il contenuto può essere stato elaborato da Claude e, da solo, non ne conferma la provenienza. Se un utente carica un proprio testo e lo fa rivedere al modello, l’output può risultare marcato anche quando idee e dati venivano da un’altra fonte. Il marchio segnala un’elaborazione, non una paternità.

Perché Anthropic l’ha introdotta adesso

La coincidenza delle date non è casuale. L’annuncio arriva nel momento in cui due ordinamenti diversi, quello europeo e quello californiano, iniziano a chiedere che i contenuti sintetici siano riconoscibili da una macchina. La marcatura risponde a un obbligo normativo, non a una domanda del mercato.

L’articolo 50 dell’AI Act e il codice di condotta sulla trasparenza

L’articolo 50 dell’AI Act contiene gli obblighi di trasparenza applicabili dal 2 agosto 2026: chi fornisce sistemi di intelligenza artificiale generativa deve marcare gli output in formato leggibile dalla macchina e rendere riconoscibili i contenuti sintetici. È la norma che spiega perché il segnale debba essere automatico e verificabile da un programma, e non una dichiarazione testuale accanto al contenuto. A luglio 2026 circa 190 aziende hanno sottoscritto il codice di condotta dell’Unione Europea sulla trasparenza dei contenuti generati dall’intelligenza artificiale, che traduce quel principio in impegni operativi. Il funzionamento di quell’obbligo è trattato nell’analisi dedicata all’etichettatura dei contenuti sintetici prevista dall’articolo 50, mentre il perimetro documentale completo è negli obblighi di conservazione previsti dall’AI Act.

La legge californiana e il testo che resta scoperto

Il California AI Transparency Act, approvato come SB 942, doveva entrare in vigore il 1° gennaio 2026, ma un intervento successivo ne ha spostato l’avvio al 2 agosto 2026 per allinearlo al calendario europeo. Si applica a chi rende accessibile al pubblico un sistema di intelligenza artificiale generativa con più di un milione di utenti mensili in California, e impone marcatori latenti, durevoli e leggibili dalla macchina oltre a uno strumento pubblico e gratuito di verifica. La legge, però, copre immagini, video e audio: il testo ne resta fuori. L’esclusione non è una svista, bensì il riconoscimento che la provenienza del testo è ancora troppo immatura per essere imposta per legge.

Una scelta globale invece di due prodotti diversi

Le due giurisdizioni convergono sulla stessa data, e segmentare la marcatura per area geografica moltiplicherebbe versioni del modello, percorsi di verifica e superfici di errore. La decisione di applicare la filigrana in tutto il mondo dal 14 agosto 2026 va letta anche come conformità europea consegnata su scala globale, perché costa meno che gestire due prodotti.

Il dibattito: chi la difende e chi la contesta

La marcatura ha diviso nettamente gli utenti, e la frattura passa fra chi considera l’uso del modello un fatto da dichiarare e chi lo considera un fatto privato. La discussione si è concentrata su tre nodi: la trasparenza, i falsi positivi e l’impossibilità di verificare in autonomia il risultato.

Gli argomenti a favore

La posizione favorevole è maggioritaria nelle discussioni su Reddit e si riassume in una formula che ha circolato molto: l’unico motivo per non volere la filigrana è voler mentire alle persone. Ha una sua solidità, perché rende verificabile un’affermazione finora indimostrabile in entrambe le direzioni. Il secondo argomento riguarda il livello a cui la trasparenza viene collocata: finché dichiarare l’uso dell’intelligenza artificiale resta una questione di costume professionale dipende dalla correttezza del singolo, mentre se il segnale sta nell’infrastruttura non dipende più dalla buona volontà di chi scrive.

Le obiezioni: falsi positivi, paternità dell’opera, disdette

La reazione contraria è stata immediata e dura su Reddit, X e LinkedIn, con utenti che hanno annunciato la disdetta di abbonamenti a pagamento. Le categorie più esposte sono studenti, giornalisti, scrittori e programmatori, cioè chi produce testo per lavoro e teme un’etichetta che non distingue fra le forme d’uso.

Il timore più concreto riguarda i falsi positivi: chi si serve di Claude per riordinare un paragrafo o uniformare la terminologia svolge un lavoro legittimo, ma rischia di risultare positivo alla verifica come se avesse generato tutto. Un programmatore ha riassunto bene l’obiezione sulla paternità: istruzioni, contesto e decisioni erano suoi, il modello era lo strumento, e non è chiaro che cosa la marcatura stia rivendicando. Nella critica ricorre la metafora della lettera scarlatta, e John Gruber sostiene che una filigrana nascosta snatura il mestiere stesso di scrivere. Vi si aggiunge un’incoerenza mai sciolta: si marca l’output di un modello addestrato su opere altrui che marcate non erano.

Il nodo del rilevatore che non c’è

Anthropic dichiara che offrirà “presto” un’API di rilevamento, ma allo stato attuale nessuno strumento pubblico consente di verificare la presenza della filigrana: l’unico soggetto in grado di dire se un testo è marcato è il fornitore stesso del modello. Ne discende una condizione singolare, in cui si può essere marcati senza avere modo di accertarlo. Chi riceve un documento non dispone di alcuna verifica propria e deve rimettersi a un responso che oggi non è nemmeno in grado di chiedere. I rilevatori già in circolazione non colmano il vuoto, perché non leggono affatto la filigrana: ne stimano la presenza dall’andamento stilistico del testo e restituiscono una probabilità, esposta agli stessi falsi positivi che l’annuncio ha portato al centro della discussione.

La difficoltà era del resto nota a chi il metodo lo ha inventato. Fra le ragioni per cui OpenAI non ha mai rilasciato il proprio strumento, Aaronson elenca il paradosso dell’accesso: un rilevatore pubblico consentirebbe a chi vuole eludere la verifica di ritoccare il documento finché non risulta più marcato, mentre un rilevatore chiuso impone di stabilire chi abbia titolo per verificare. L’asimmetria fra chi marca e chi verifica non è dunque un incidente di percorso, bensì una difficoltà nota fin dall’origine del metodo.

L’asimmetria che ne deriva pesa più della fragilità tecnica del segnale. Un meccanismo di prova in cui nessuna delle parti verifica il risultato in modo indipendente non è, in senso proprio, un meccanismo di prova. Le organizzazioni che devono produrre elementi utilizzabili in un contenzioso ricorrono per questo alla certificazione forense alla fonte, che restituisce un’origine opponibile invece di una probabilità statistica.

Perché ogni filigrana si può togliere

Nessuna marcatura statistica resiste a un avversario determinato, e Anthropic non sostiene il contrario: la sua documentazione afferma che i marchi possono sparire con modifiche, conversioni di formato o riscritture pesanti. La domanda utile non è se si possa togliere la filigrana, ma che cosa costi toglierla e chi possa accorgersene.

Si tratta peraltro di un limite dimostrato, non di un difetto dell’implementazione scelta da Anthropic. Un teorema di impossibilità formulato da Boaz Barak e altri nel 2023 stabilisce che, percorrendo un cammino casuale sull’insieme dei documenti equivalenti, qualunque filigrana può essere rimossa, a condizione di riuscire a mantenere la qualità del testo. La rimovibilità appartiene quindi alla categoria e non alla singola realizzazione.

Gli attacchi noti: riscrittura e ritraduzione

A differenza dei metadati, che sono presenti o assenti e si eliminano con un’operazione netta, la filigrana statistica si aggredisce soltanto alterando il pattern delle parole. Gli attacchi documentati in letteratura sono noti da anni e sono due: la parafrasi e la ritraduzione, cioè il passaggio del testo attraverso una o più lingue intermedie. In entrambi i casi a rielaborare il testo è uno strumento diverso da quello che lo ha marcato, e quindi il segnale cade per la sostituzione integrale delle parole, non per il cambio di lingua in sé.

La riscrittura profonda, però, appiattisce il tono e riduce la precisione dell’originale, che è esattamente ciò che chi ha usato il modello voleva evitare, mentre le modifiche leggere lasciano il segnale intatto. Fra i due estremi resta una zona in cui nessuno può dire dove si trovi il testo.

I progetti pubblici di rimozione e il limite che dichiarano loro stessi

Dopo l’annuncio sono comparsi progetti pubblici che dichiarano di rimuovere i marchi di provenienza di più fornitori, e operano su due categorie distinte. La prima è la rimozione verificabile: eliminare caratteri invisibili, metadati EXIF e XMP e blocchi C2PA dai file, elementi che ci sono o non ci sono e il cui esito si controlla per confronto diretto. La seconda è la riscrittura statistica, che fa rielaborare il testo a un altro modello, ed è l’unica che aggredisce la filigrana vera e propria.

Il dato più significativo viene dagli autori stessi di questi strumenti, che parlano di tentativo e non di cancellazione verificata: finché i fornitori non rilasciano rilevatori pubblici e specifiche, nessuno può certificare che il controllo ufficiale fallirà. Chi promette la rimozione della filigrana vende un risultato che non è in condizione di misurare.

L’asimmetria fra chi marca, chi verifica e chi cancella

Le tre posizioni dispongono di informazioni radicalmente diverse: il fornitore conosce la chiave e può verificare, il destinatario del testo non ha alcuno strumento e deve fidarsi, chi tenta la rimozione lavora alla cieca. Finché l’asimmetria resta, la filigrana funziona come deterrente e come adempimento normativo: rende più costoso spacciare per proprio un testo generato da AI, il che ha un valore reale a scuola e in redazione, ma non è stata progettata per stabilire davanti a un giudice che cosa un contenuto sia e da dove venga.

I metadati C2PA e la fragilità dei file

Anthropic allega alle immagini prodotte da Claude nei formati .png, .jpg e .svg un manifesto di provenienza firmato secondo lo standard C2PA. Il manifesto vive nel contenitore del file e non nei pixel, e questa collocazione ne determina l’intero comportamento pratico.

Uno screenshot cancella la provenienza

Uno screenshot dell’immagine, seguito dal salvataggio come nuovo file, azzera il manifesto: il nuovo file contiene gli stessi pixel e nessuna provenienza. Lo stesso effetto lo producono ricompressione, ridimensionamento e conversione di formato. Quando i metadati di provenienza vengono rimossi da uno screenshot o da una riconversione, la certificazione forense dell’atto di acquisizione resta l’unico elemento verificabile: è l’approccio adottato da TrueScreen.

Quanto sopravvive davvero online

Uno studio Imatag del 2018 rilevava che l’80% delle immagini caricate sui siti aveva i metadati rimossi, e nel 2026 la cifra è di fatto il 100% sulle grandi piattaforme sociali, perché Instagram, X, LinkedIn, TikTok e Facebook eliminano i manifesti in fase di caricamento. L’analisi Overpromising on Digital Provenance and Security, pubblicata da RAND Corporation nel giugno 2025, ne spiega la ragione: il successo di C2PA dipende dalla conformità di tutti gli elementi della catena, e in un ecosistema aperto quella conformità non è realistica.

Le credenziali durevoli e perché non chiudono il cerchio

La risposta dello standard si chiama Durable Content Credentials: agganci deboli, come una filigrana invisibile o un’impronta del contenuto, che permettono di ritrovare la credenziale anche quando è stata tolta dal file. Il meccanismo attenua il problema senza risolverlo, perché reintroduce le fragilità della filigrana statistica e richiede comunque un registro consultabile e la cooperazione delle piattaforme. Restano poi i limiti già noti, discussi nell’analisi dedicata ai limiti strutturali dello standard C2PA.

Marcare l’origine o dimostrarla: due problemi diversi

Filigrana e credenziali rispondono alla domanda “questo contenuto l’ha scritto una macchina?”, non alla domanda “questo contenuto è autentico e opponibile a chi lo contesta?”. Sono due problemi distinti, con due destinatari distinti, e trattarli come uno solo è la ragione per cui molte organizzazioni si sentiranno protette senza esserlo.

Che cosa dice una filigrana e che cosa non dirà mai

Il criterio che separa i tre approcci è chi appone il segno, e nell’interesse di chi: filigrana e credenziali C2PA arrivano dal produttore del modello o del file per adempiere a un obbligo, mentre la certificazione forense viene richiesta da chi ha bisogno di dimostrare qualcosa.

Che cosa significa certificare un contenuto alla fonte

TrueScreen, la Data Authenticity Platform, affronta il problema opposto: invece di stabilire se un contenuto sia stato generato da un modello, fissa in modo verificabile come e quando quel contenuto è stato acquisito. La certificazione alla fonte non è un’etichetta applicata a un file esistente, ma una metodologia forense che entra in funzione nel momento dell’acquisizione: il contenuto viene catturato secondo procedura, se ne verifica l’integrità e il risultato riceve marca temporale qualificata e sigillo elettronico erogati da un QTSP terzo integrato via API. Ciò che ne esce non è una probabilità, ma un riferimento opponibile.

La differenza è di natura, non di grado: la filigrana è una dichiarazione apposta dopo, nell’interesse di chi produce il modello, e per costruzione removibile, mentre l’acquisizione certificata è un atto compiuto prima, nell’interesse di chi dovrà difendere quel contenuto.

Un esempio chiarisce che cosa cambi nella pratica. Una redazione riceve da una fonte un documento che sarebbe stato prodotto da un modello: il rilevatore, quando esisterà, restituirà una probabilità, e la filigrana, se c’era, è sparita quando il testo è stato riportato in italiano con un altro strumento. Resta verificabile non l’origine del testo, ma l’atto di acquisizione: quando quel documento è stato ricevuto, da quale schermata, in quale stato. È l’unico elemento che regge in un procedimento, e si raccoglie con l’app di certificazione o integrando la piattaforma nei sistemi già in uso.

Prepararsi a un mondo in cui l’origine non si ricostruisce a posteriori

L’origine di un contenuto digitale non si ricostruisce a ritroso. O viene fissata nel momento in cui il contenuto nasce, con marca temporale qualificata e sigillo elettronico apposto da un QTSP terzo, oppure quell’informazione è persa e nessuna analisi successiva la restituisce.

Le decisioni da prendere ora

La prima decisione riguarda la selezione: stabilire quali contenuti, fra quelli che l’organizzazione produce o riceve, dovranno reggere una contestazione. Non sono molti, e trattarli tutti allo stesso modo è tanto costoso quanto inutile. La seconda riguarda il momento, perché per quei contenuti l’acquisizione certificata deve avvenire alla nascita o alla ricezione, non a valle di una segnalazione. La terza riguarda le aspettative: la filigrana dell’intelligenza artificiale e le credenziali di provenienza vanno lette per quello che sono. Rendono il panorama informativo più leggibile, ma non trasformano un contenuto in una prova.

FAQ: filigrana e origine dei contenuti

Come funziona SynthID?
+

SynthID-Text, la tecnica di Google DeepMind pubblicata su Nature nel 2024 e adottata da Anthropic per i testi di Claude, sostituisce la sorgente di casualità che il modello usa nella scelta delle parole. Una chiave segreta e le parole già scritte orientano la selezione fra alternative equivalenti e lasciano un’impronta statistica verificabile.

Come si capisce se un testo è stato scritto da un’intelligenza artificiale?
+

Oggi non esiste un metodo affidabile per riconoscere testo scritto da AI. La filigrana applicata da Anthropic dal 2 agosto 2026 è verificabile solo da chi possiede la chiave, e l’API di rilevamento annunciata non è ancora disponibile. I rilevatori commerciali in circolazione restituiscono probabilità statistiche, non certezze.

È facile riconoscere i contenuti generati dall’IA?
+

No, e la difficoltà cresce con la qualità dei modelli. Anthropic dichiara che la marcatura non funziona su testi brevi, si dirada nei testi fattuali e nel codice e scompare del tutto quando il contenuto viene riscritto integralmente. Un testo umano rifinito da un modello può inoltre risultare marcato.

Si può togliere la filigrana da un testo generato dall’IA?
+

Sì, ma nessuno può dimostrarlo. Parafrasi e ritraduzione alterano le scelte lessicali su cui il segnale statistico poggia, e gli autori dei progetti pubblici di rimozione qualificano il proprio risultato come tentativo e non come cancellazione verificata: senza rilevatori pubblici l’esito resta impossibile da controllare.

La filigrana di Claude vale anche fuori dall’Unione Europea?
+

Sì. Dal 14 agosto 2026 Anthropic applica la marcatura a livello globale, non soltanto agli utenti europei. La scelta risponde all’articolo 50 dell’AI Act, applicabile dal 2 agosto 2026, ed evita la gestione di implementazioni differenti per area geografica, che moltiplicherebbe versioni del modello e superfici di errore.

Come si dimostra l’origine di un contenuto digitale?
+

La verifica dell’origine a posteriori non è garantita, perché filigrane e metadati possono sparire con una riscrittura o con uno screenshot. La certificazione alla fonte, come quella fornita da TrueScreen, produce invece un riferimento verificabile fin dal momento dell’acquisizione, con marca temporale qualificata e sigillo di un QTSP integrato via API.