C'è un marchio nascosto nel testo che pubblichi (e non lo vedi)

Ogni frase che un assistente IA produce oggi si porta dietro qualcosa che l'occhio non coglie. Niente timbro in calce, niente filigrana come quelle che deturpano le foto delle nostre imprese sportive... quello che resta è un motivo statistico, seminato tra le parole proprio nell'istante in cui il modello le sceglie. È costruito per resistere a un "copia e incolla", a una condivisione, a un salvataggio. E dal 2 agosto 2026 ha smesso di essere una curiosità da laboratorio, in Europa è diventato un obbligo di legge. Chiunque, almeno una volta, ha guardato un testo troppo raffinato per un essere umano, o un'immagine perfetta fino al pixel, e si è chiesto da dove venisse (a me e alle persone con cui mi confronto è capitato spesso!). A quella domanda oggi si può rispondere in modo tecnico, e conviene fermarsi a capirlo, perché riguarda da vicino chiunque, specie se un'azienda, scriva, pubblichi materiale prodotto con l'IA.

Un pò di fatti normativi

Il perno è l'articolo 50 dell'AI Act "Obblighi di trasparenza per i fornitori e i deployers di determinati sistemi di IA" (Capo IV "Obblighi di trasparenza per i fornitori e i deployer di determinati sistemi di IA). Impone a chi fornisce sistemi di intelligenza artificiale di marchiare i contenuti generati o manipolati in un formato che una macchina possa leggere: testo, immagini, audio, video, senza distinzioni. L'obbligo è scattato il 2 agosto 2026. Nel frattempo la Commissione Europea ha messo sul tavolo un Codice di condotta sulla trasparenza dei contenuti IA, e a firmarlo sono state circa 190 organizzazioni: Anthropic, Google, OpenAI, Meta, Microsoft, Mistral. Chi non ha messo la firma, come xAI, non se la cava lo stesso: gli obblighi di legge restano, e la legge non è un Club sportivo a cui ci si iscrive quando si ha voglia.

Una distinzione, però, ridistribuisce le responsabilità e va tenuta a mente. Marchiare i contenuti tocca a chi costruisce i modelli. Ma la norma guarda anche a un secondo soggetto, il deployer: chiunque, dentro un'azienda, usi quei sistemi per pubblicare qualcosa. Diffondi un deepfake? Devi dichiararlo (comma 4 dell' Art. 50). Pubblichi un testo scritto dall'IA per informare il pubblico su questioni di interesse collettivo? Ne devi segnalare l'origine artificiale, a meno che quel testo non sia passato sotto gli occhi di una persona, con una responsabilità editoriale attribuita a qualcuno in modo chiaro. Il cerchio, insomma, non si chiude con la tecnologia... si chiude con l'organizzazione.

Un pezzo di storia che di rado viene citato: la Cina è arrivata prima, e ha alzato l'asticella più in alto. Dal 1° settembre 2025 le regole della Cyberspace Administration of China pretendono due cose insieme ovvero, un'etichetta visibile dentro il contenuto e un marchio nascosto nel file, che riporta il nome del fornitore e un codice identificativo pensato per far risalire il contenuto fino alle autorità. Il volume dà la misura della cosa: nei primi quattro mesi Doubao, DeepSeek, Qwen ed Ernie Bot hanno etichettato più di centocinquanta miliardi di contenuti. Al codice europeo, però, nessuno dei colossi cinesi ha aderito: sono due approcci normativi lontani, che inseguono scopi diversi.

Le tre strade diverse

È qui che la faccenda si fa interessante, almeno per chi ci lavora. I grandi fornitori non hanno reagito in "coro" ognuno ha preso una strada sua, e quelle strade raccontano idee diverse di cosa voglia dire essere trasparenti.

Google gioca con l'anticipo di chi lavora al problema da anni. SynthID le permette di coprire testo, immagini, audio e video, e resta l'unica del terzetto ad aver messo in mano al pubblico uno strumento di verifica multimodale, il SynthID Detector, pensato anche per redazioni e ricercatori (qui dobbiamo ammettere che Google è stata furba e lungimirante).

OpenAI, sulle immagini, ha impilato due difese: i metadati C2PA (se ci cliccate sopra potete accedere alle specifiche tecniche aggiornate) più un watermark SynthID. Il dettaglio che fa sorridere è quale watermark abbia scelto... quello del rivale Google, ormai avviato a diventare lo standard di fatto dell'intero settore. Sul testo, invece, non ha ancora reso pubblico nulla di paragonabile a ciò che offrono Claude o Gemini, viene da pensare che la tecnologia esiste nei cassetti...il rilascio no.

Anthropic ha scommesso soprattutto sul testo. Nei modelli Claude usciti dopo il 2 agosto 2026 il watermark non è un'aggiunta successiva..... è cucito dentro la generazione stessa, a livello di modello. Vuol dire che c'è comunque, non importa da dove passi: l'app, l'API, Claude Code. Resta un buco, e conviene ammetterlo..uno strumento pubblico per verificarlo non esiste ancora. La documentazione tecnica sul rilevamento è stata promessa, non pubblicata (qui la pagina rilasciata il 14 agosto sul sito di anthropic). Giusto per essere precisi, ad oggi 26 agosto la documentazione ufficiale di Claude conferma che il lavoro è ancora in corso: Anthropic dichiara di stare lavorando per permettere a utenti e terze parti di rilevare sia i watermark testuali sia i metadati di provenienza sui file, e promette di condividere i dettagli tecnici del meccanismo di rilevamento in una documentazione futura, ancora da pubblicare (Fonte: Claude Support, paragrafo "Detecting Claude's marks)

Detective Claude alla ricerca di indizi in un testo sospetto*. L'ironia è voluta anche l'illustrazione che vedete è stata generata con l'intelligenza artificiale, e come racconta questo stesso articolo, porta con sé un segno che dichiara "da dove viene". Immagine generata con Gemini.*

Mistral ha firmato il codice come fornitore, ma di un meccanismo di marcatura concreto non ha ancora dato documentazione i suoi stessi testi legali parlano di un cantiere aperto..

Come funziona davvero, per ogni Big!

Conviene guardarci bene dentro, perché il meccanismo è più raffinato di quanto ci si aspetti, e capirlo aiuta a misurare quanta fiducia riporvi. Per il testo il principio è lo stesso per tutti. Mentre scrive, il modello si trova continuamente davanti a un bivio: ci sono più parole che andrebbero bene allo stesso modo per continuare la frase. Uno schema come SynthID di Google, su cui si basa anche l'approccio di Anthropic, spinge leggermente quella scelta in una direzione precisa, seguendo un pattern legato a una chiave segreta. A leggerlo non cambia nulla, il testo scorre naturale come sempre. Ma ripetuta su tante parole, quella piccola spinta lascia una traccia riconoscibile, che uno strumento compatibile può leggere. E resta lì anche dopo un copia-incolla, perché non è un file allegato: è dentro il testo stesso.

Con le immagini e i file la logica si ribalta. Lì si ricorre a metadati di provenienza, firmati con la crittografia secondo lo standard aperto C2PA, cioè la Coalition for Content Provenance and Authenticity, che annotano quale strumento ha creato o ritoccato un file e rendono visibile ogni manomissione successiva. Portano molto più contesto di un watermark, ma sono anche molto più fragili una conversione di formato, uno screenshot, il caricamento su una piattaforma che ripulisce i metadati, e sono spariti.

Anthropic insiste su un punto ovvero, il suo watermark testuale nasce dentro la generazione, non viene appiccicato dopo. Per questo lo considera una cosa diversa da un rilevatore esterno che indaga uno scritto già pubblicato in cerca dei segni tipici della scrittura IA. Sono due logiche che non si toccano, e infatti i rilevatori generici alla GPTZero o Originality.ai, privi della chiave del fornitore, non leggono nulla tirano a indovinare a partire dallo stile.

C'è un aspetto tecnico che spiega i confini del sistema meglio di ogni altro, e sorprende. Il watermark lavora solo dove il rischio è basso, cioè dove più parole andrebbero bene allo stesso modo. Ma non tutte le frasi lasciano questo spazio. Se Claude scrive che l'opera più celebre di Dante si intitola «Divina Commedia», alternative valide non ce ne sono è quella e basta, e il watermark non ha su cosa far leva. Il codice si comporta quasi sempre così.. ogni token ha in pratica un solo valore giusto, perché cambiarlo romperebbe la sintassi o il risultato. Ecco perché un testo fattuale, un passaggio tecnico o un frammento di codice tendono a portare meno watermark di un paragrafo disteso e discorsivo. La correzione di bozze segue la stessa regola, se Claude ritocca solo grammatica e punteggiatura di un testo altrui, quasi tutte le parole restano quelle di partenza, e al segnale non resta terreno dove attecchire.

I limiti

Arriviamo al punto che manda in frantumi un'illusione comoda quella per cui basterebbe dare un testo in pasto a un rilevatore per sapere, senza dubbi, da dove arriva.

Le cose non stanno così. Un watermark trovato non prova che l'intero testo l'abbia scritto l'IA. Uno non trovato non prova che dietro ci sia una persona. Riscrivi il testo da capo, parola per parola, e il segnale sparisce; e a quel punto, nota la stessa Anthropic, viene da chiedersi se quel testo si possa ancora chiamare «generato dall'IA». Con la traduzione succede l'opposto il watermark resta, perché a scegliere ogni parola è di nuovo l'IA. E i testi molto corti non contengono mai segnale a sufficienza per un verdetto che regga. I metadati dei file sono ancora più delicati. Una conversione, un salvataggio, il caricamento su un social che li azzera in automatico la provenienza evapora senza lasciare traccia.

Poi c'è una falla strutturale, e riguarda i modelli aperti: Llama, Qwen, DeepSeek. Gli schemi di watermarking documentati non intaccano i pesi del modello; agiscono a runtime, nel momento in cui il servizio che lo esegue orienta la scelta delle parole. Per i modelli chiusi poco importa, perché chi li ha creati controlla ogni strada che porta al loro uso. Per quelli aperti la storia cambia.. chi scarica i pesi decide da sé se marcare l'output o lasciarlo pulito. Si è visto che un watermark si può addestrare direttamente nei pesi, ma è bastato un fine-tuning ordinario a cancellarlo di nuovo (vi lasciamo un paper davvero interessante "On the Learnability of Watermarks for Language Models", Stanford University, arXiv:2312.04469 (2023)"). Il risultato, oggi, è che il testo uscito da un hosting di modelli aperti di norma non porta alcun marchio, a prescindere da cosa abbia firmato chi ha costruito il modello di partenza.

Per chi in azienda deve decidere dove e come usare l'IA, la morale non è tecnica ma organizzativa: sapere in quali punti l'IA produce testo, stabilire chi se ne prende la responsabilità editoriale, e non appoggiare mai un processo di verifica su un solo rilevatore, in nessuna delle due direzioni. La trasparenza non la sforna uno strumento di rilevamento. La mette al mondo chi firma ciò che pubblica.

Gli strumenti per rilevarli, oggi

Serve mettere in chiaro una distinzione che quasi tutti gli articoli danno per scontata, e che invece decide quanto puoi fidarti di un risultato. Di strumenti ne esistono due famiglie, del tutto diverse, anche se da fuori sembrano fare lo stesso mestiere.

La prima è quella dei verificatori ufficiali dei fornitori: leggono per davvero il watermark crittografico che il modello ha inciso. Google mette in campo l'attrezzo più completo, il SynthID Detector, pensato soprattutto per giornalisti e ricercatori, che copre immagini, video e audio; in più, dentro l'app Gemini, puoi caricare un file e chiedere se contiene un segnale SynthID. Anche OpenAI offre un suo strumento pubblico, che verifica sulle immagini sia i metadati C2PA sia il watermark SynthID, e dal 31 luglio 2026 controlla pure i file audio generati con ChatGPT Voice o via API. Anthropic, va detto senza giri di parole, un verificatore per il proprio watermark testuale non l'ha ancora rilasciato. Promette a breve un'API dedicata al rilevamento, ma sta ancora limando l'implementazione, per ora un lettore o un redattore non ha alcun modo ufficiale di controllare se un testo porta la firma di Claude.

Un avvertimento che serve a tutti! in rete pullulano siti che si spacciano per "rilevatori universali di watermark IA" o "SynthID checker". Nella stragrande maggioranza dei casi non verificano un bel niente di crittografico, perché quella verifica richiede una chiave privata che possiede solo il fornitore. Fanno girare un loro modello probabilistico, e questo ci porta dritti alla seconda famiglia.

La seconda famiglia è quella dei rilevatori euristici generici, GPTZero o Originality.ai in testa. Funzionano in modo strutturalmente diverso: non leggono nessun segnale inciso dal modello, perché una chiave non ce l'hanno. Tirano a indovinare, guardando come è scritto il testo.

La differenza con il watermark è netta, e la spiega bene proprio Anthropic quando mette il suo metodo a confronto con servizi come Pangram, privi della chiave crittografica di qualunque fornitore, quei tool si mettono a caccia delle «impronte» tipiche della scrittura IA, certe costruzioni ricorrenti tipo «non è X, è Y», oppure l'uso spropositato di parole come «quietly». Sono peculiarità stilistiche notate su montagne di testo generato, non un segnale piazzato apposta.

L'idea di partenza, quella che nel 2023 ha fatto la fortuna di GPTZero, poggiava su due misure. La prima è la perplessità, che stima quanto un testo risulti prevedibile per un modello linguistico.. più le parole sono quelle "scontate", quelle che un modello avrebbe scelto comunque, più il testo profuma di IA, perché la scrittura umana è meno prevedibile e sceglie termini meno ovvi. La seconda è la burstiness, cioè quanto la lunghezza e la forma delle frasi variano lungo il testo una persona alterna per istinto periodi corti e lunghi, cambia passo, si perde; un testo troppo uniforme suona artificiale.

Va detto che questo impianto, in gran parte, è già acqua passata. GPTZero stessa ha dichiarato apertamente di aver mollato perplessità e burstiness come base già dall'autunno 2023, per passare a un'architettura di deep learning che intreccia più segnali insieme: un confronto diretto con enormi archivi di testo e un'analisi lessicale dei pattern tipici della scrittura IA. Le due metriche originali, però, non sono affatto abbandonate in soffitta (o in un garage californiano).. restano lo strato statistico sotto vari strumenti concorrenti, da ZeroGPT a Copyleaks. E a giugno 2026 la stessa GPTZero è finita nelle mani di Superhuman, l'azienda dietro Grammarly, segno di quanto il mercato del rilevamento testuale si stia stringendo in poche mani. Il tallone d'Achille di tutta questa seconda famiglia è lo stesso da anni, ed è di struttura, non un bug che un aggiornamento sistema, sono stime probabilistiche costruite sullo stile, non prove. Sfornano falsi positivi, in particolare con chi non ha l'inglese come madrelingua o con chi scrive in modo naturalmente ordinato e lineare. E soprattutto, al contrario di un watermark crittografico, non hanno alcuna chiave che le renda verificabili in modo oggettivo: restano euristiche. Un'ipotesi ben informata, non un accertamento. Per chi in azienda prende decisioni, la conseguenza è facile da dire e scomoda da rispettare. Il punteggio di un rilevatore euristico, da solo, non basta né per accusare qualcuno di aver usato l'IA di nascosto né per certificare che un testo sia opera di una persona. È un indizio, non una sentenza vera e propria.

Il repo aggiratutto e come installarli (per i più nerd)!

Manca un tassello, quello che negli articoli ufficiali non si trova quasi mai.. esiste già un piccolo ecosistema di strumenti nati per togliere questi segni, e ci si arriva con meno fatica di quanto la parola "aggiratutto" suggerisca. Non parliamo di software clandestino. Stanno su GitHub, hanno una licenza e una documentazione, e quasi sempre dichiarano uno scopo che è difensivo prima che offensivo ovvero, igiene dei metadati, privacy, ricerca sui limiti reali del watermarking. Un po' come studiare una serratura.. serve soprattutto a chi le serrature le progetta!

Il più facile da mettere alla prova nasce come plugin per Claude Code e porta un nome senza fronzoli, watermarks-remover.

Bastano due righe da terminale, prima registri il marketplace e poi installi il pacchetto, e ti ritrovi due comandi: uno per ripulire metadati e caratteri invisibili da file e testo, l'altro per rifinire la prosa destinata a chi legge.

/plugin marketplace add guillaumemeyer/watermarks-remover
/plugin install watermarks-remover@watermarks-remover
/reload-plugins

Qui, però, salta fuori il dettaglio che separa la promessa dai fatti, in linea con tutto il resto di questo articolo. Il plugin è solo una scorza sottile: il lavoro pesante lo svolge un servizio HTTP a parte, da avviare per conto suo, di solito con un docker compose up -d. Ed è un servizio che sa fare bene una cosa sola, ma in modo verificabile, cancellare ciò che è meccanico, cioè i codepoint Unicode invisibili in un testo e i metadati di provenienza C2PA ed EXIF dentro un'immagine o un PDF. Su quel terreno funziona, perché toglie dati che o ci sono o non ci sono.

Sul watermark statistico del testo, quello che vive nella scelta delle parole, nessun repo può promettere altrettanto. L'unico modo per levarlo è riscrivere in profondità, ed è esattamente il punto in cui, come osserva la stessa Anthropic, diventa lecito domandarsi se quel testo sia ancora "generato dall'IA" o sia ormai un'altra cosa. Gli strumenti stessi lo mettono nero su bianco: la riscrittura è best-effort, non certifica niente, e andrebbe idealmente affidata a un modello diverso da quello sospettato, perché chiedere a Claude di cancellare la firma di Claude è un cortocircuito. Più in là ci sono strumenti di ricerca ben più pesanti, come MarkLLM per il testo e MarkDiffusion, CtrlRegen o la DiffusionPurification per le immagini, che però vivono sotto licenze non commerciali, chiedono una GPU e verificano uno schema per volta: strumenti da laboratorio, non pulsanti da premere.

Anche qui la morale non è tecnica. Questi strumenti esistono, installarli è legale e in molti casi utile, ma non regalano l'innocenza che sembrano promettere. Cancellano una prova, non costruiscono un alibi. E la trasparenza, come si diceva più su, non nasce da un repo che toglie un segno.. nasce da chi mette la propria firma su ciò che pubblica.

## Ah dimenticavo!

Per trasparenza! Tutte le immagini sono state generate dall'IA. L'immagine di copertina però l'abbiamo "setacciata" con il tool che abbiamo descritto nell'ultimo capitolo, il risultato è stato il seguente: