Le filigrane de Claude, où il se trouve et ce qu'il prouve

La majeure partie de ce qui a été écrit au sujet du filigrane de Claude depuis août décrit un mécanisme qui n’est pas celui qu’Anthropic a déployé. Le récit courant évoque un caractère invisible glissé entre les mots, un espace à largeur nulle ou un glyphe Unicode ressemblant à un autre, en attente qu’un détecteur le repère. Ce serait une hypothèse raisonnable. Elle est aussi fausse, et l’erreur n’est pas académique, c’est la raison pour laquelle toute une catégorie d’outils gratuits commercialisés comme des suppressions de filigrane n’a absolument aucun effet sur cette marque particulière.

La marque d’Anthropic réside dans le choix même des mots. Rien n’est inséré dans le texte. Une fois cela établi, les questions pratiques trouvent d’elles-mêmes leur réponse, ce qu’elles ne peuvent pas faire tant que l’image du caractère caché reste en jeu, y compris les opérations qui transmettent la marque, celles qui l’effacent, et ce qu’un détecteur vous indique réellement lorsqu’il signale une détection.

Ce qui suit est tiré de la documentation propre à Anthropic plutôt que des articles qui l’entourent, et précise délibérément les limites que l’entreprise énonce elle-même.

Ce qu’Anthropic a activé, et quand

Anthropic a commencé à marquer les sorties de Claude le 11 août 2026. Son article du centre d’aide sur le sujet décrit la marque textuelle comme « un filigrane imperceptible directement dans le texte lui-même », et précise qu’un lecteur « ne le verra pas, et qu’il ne modifie ni le sens, ni la qualité, ni la lisibilité ».

La couverture est large. Les modèles lancés le 2 août 2026 ou après portent un marquage dès leur mise à disposition, et Anthropic indique comme surfaces la Claude Platform API, Claude, Claude Code, Claude Cowork et Claude Tag, y compris Claude accessible via AWS, Google Cloud et Microsoft Foundry. Cela s’applique à l’échelle mondiale. Considérer que tout ce qui a été rédigé avant août est automatiquement exempté serait imprudent, car l’entreprise a indiqué intégrer les modèles antérieurs sur une période de transition.

L’impulsion réglementaire qui le sous-tend est l’Article 50 du EU AI Act, dont les obligations de transparence exigent des fournisseurs de systèmes génératifs qu’ils marquent les sorties lisibles par machine. Anthropic a signé le Code of Practice de l’Article 50(2). Il convient de noter que la réglementation régit les systèmes utilisés au sein de l’Union européenne et ne contient rien qui imposerait une application mondiale. Anthropic a appliqué le marquage partout malgré cela, ce qui relève d’un choix de politique interne plutôt que d’une exigence juridique, et c’est pourquoi un chercheur à Kuala Lumpur ou à Chicago est concerné par une règle européenne.

Le marquage est un motif de choix de mots, non un caractère caché

À chaque étape de la génération de texte, un modèle de langage choisit entre plusieurs prolongements qui sont, selon ses propres statistiques, presque équivalents. Lorsqu’un mot vaut un autre, il faut bien départager. Un filigrane d’échantillonnage départage ces égalités selon une clé détenue par le fournisseur, de sorte qu’au fil d’une séquence raisonnable de texte, les choix accumulés forment un motif qu’un détecteur possédant la même clé peut mesurer.

Rien n’est ajouté à la page. Il n’y a aucun caractère à repérer, aucun champ de métadonnées dans le texte, aucun artefact de mise en forme. Les mots que vous lisez sont le filigrane, au sens précis où le marquage est l’enregistrement des mots qui ont été sélectionnés parmi les alternatives. C’est pourquoi Anthropic peut dire que le marquage ne coûte rien en sens ni en lisibilité, il n’a jamais eu à déformer la prose, seulement à préférer à plusieurs reprises une formulation acceptable à une autre formulation acceptable.

Il explique aussi la durabilité. Anthropic dit que la marque « will travel with the text when it's copied and pasted elsewhere », et la raison est structurelle plutôt qu’ingénieuse. Copier préserve vos mots. Reformatter préserve vos mots. Changer la police, exporter en PDF, coller dans un autre éditeur, convertir en texte brut, tout cela préserve la séquence des mots, et la séquence des mots est ce qui est mesuré.

Pourquoi les nettoyeurs de caractères invisibles n’ont aucun effet sur elle

Un grand nombre d’outils gratuits se présentent désormais comme des suppressions de filigrane AI. Presque tous font une seule chose, ils analysent les caractères Unicode à largeur nulle, les espacements invisibles et les glyphes ressemblants, puis suppriment ce qu’ils trouvent. C’était une réponse sensée à un vrai problème, puisque certains systèmes intègrent réellement une provenance dans les caractères, et c’est l’outil approprié pour éliminer les artefacts de mise en forme parasites du texte collé.

Face à un filigrane d’échantillonnage, cela ne produit absolument rien. Faites passer un passage de Claude dans un nettoyeur de caractères et chaque caractère invisible disparaît, tandis que le passage est mesuré exactement comme auparavant, parce qu’aucun mot n’a changé. L’outil cherche à un endroit où la marque n’a jamais été. C’est le malentendu le plus lourd de conséquences en circulation, et quiconque s’en remet à un suppressor de caractères pour cet usage obtient un résultat qui ressemble à une action et n’en est pas une.

Le point général s’inscrit à côté de la question plus large de how AI detectors actually work, bien qu’un filigrane à clé soit d’une autre nature qu’un classifieur statistique. Un classifieur devine à partir de la forme de l’écriture. Un filigrane lit un signal qui a été délibérément implanté, ce qui le rend bien plus précis quant à ce qu’il détecte et pas du tout meilleur pour vous dire qui a rédigé le document.

Le second mécanisme, qui s’applique aux fichiers plutôt qu’au texte

Anthropic exploite deux systèmes, et la couverture les a largement fondus en un seul. À côté du filigrane textuel, les fichiers produits par Claude peuvent porter des « métadonnées de provenance signées » conformément à la norme ouverte de la Coalition for Content Provenance and Authenticity (C2PA).

Cette moitié fonctionne à l’inverse de la première. Les métadonnées C2PA sont attachées au fichier plutôt qu’intégrées au texte, de sorte qu’elles sont relativement faciles à perdre, copiez le texte hors du fichier et les métadonnées restent en arrière, puisqu’elles n’ont jamais été dans les mots. Les deux systèmes ont des forces inversées. La marque textuelle survit aux déplacements et résiste aux modifications superficielles. La signature du fichier est précise et vérifiable, mais elle ne survit pas à l’acte ordinaire consistant à sélectionner un passage et à le coller dans un document personnel.

Ce qu’une détection positive établit réellement

Beaucoup moins que ce que le mot « détection » laisse entendre, et Anthropic est inhabituellement direct à ce sujet. Sa documentation indique que « détecter une marque Claude vous dit que le contenu a pu être traité par Claude » et que cela « ne confirme pas, à lui seul, la provenance complète ».

Lisez cela attentivement, car cette formulation est précise. Traité, et non écrit. Un résultat positif est compatible avec un document que Claude a rédigé à partir de rien. Il est tout aussi compatible avec un document que vous avez écrit vous-même et que vous avez demandé à Claude de resserrer. Le signal ne permet pas de distinguer ces cas, car dans les deux, Claude a généré les jetons qui ont fini sur la page.

Les limites vont aussi dans l’autre sens. Anthropic note que les marques peuvent ne pas survivre à des modifications importantes, à une conversion de format ou à des passages très courts, et qu’une marque absente n’indique pas que le contenu n’a pas été généré par IA. Ainsi, un résultat négatif n’établit presque rien, le texte peut provenir d’un autre modèle, d’un Claude antérieur, ou de Claude après suffisamment de révisions pour effacer le signal. La détection est prévue via l’interface propre à Anthropic plutôt que mise à disposition de tiers, ce qui explique pourquoi les détecteurs d’IA à usage général ne lisent pas ce signal et ne peuvent pas être censés le faire.

Opération	Effet sur le filigrane du texte	Pourquoi
Copier et coller	Se transmet	Vos mots sont conservés exactement
Reformatage, changements de police, exportation en PDF	Se transmet	La présentation change, pas la séquence des mots
Suppression de caractères invisibles	Aucun effet	La marque n'a jamais été stockée dans un caractère
Correction légère du texte	Se transmet généralement	La plupart des mots survivent, donc la plupart du motif survit
Réécriture substantielle	Se dégrade	De nouveaux mots impliquent de nouveaux choix, non reliés à l'original
Traduction dans une autre langue	Se dégrade	La séquence de jetons est reconstruite à partir de zéro
Extraits très courts	Peu fiable dans les deux sens	Une mesure statistique a besoin d'une suite de texte pour conclure quoi que ce soit

Le problème d'attribution que cela crée pour les personnes qui ont rédigé leur propre travail

La réponse la plus vive à l'annonce n'est pas venue de personnes cherchant à dissimuler un travail rédigé par une machine. Elle est venue de juristes, de chercheurs, d'universitaires et de rédacteurs qui utilisent le modèle comme ils utiliseraient un correcteur, et qui ont remarqué ce que la marque enregistre.

Prenons le cas ordinaire. Vous rédigez un paragraphe. L'argument est le vôtre, les preuves sont les vôtres, la structure est la vôtre. Vous demandez à Claude de corriger le rythme et de supprimer deux cents mots. Ce qui revient est votre paragraphe, marqué, et la marque ne peut pas dire que presque toute la réflexion et la majeure partie du phrasé étaient déjà là avant que le modèle ne le voie. Si une institution, un éditeur ou un employeur considère un résultat positif comme une preuve établie de paternité par l'IA, ce qui est une interprétation plus forte que celle que le propre libellé d'Anthropic permet, l'auteur se retrouve à contester un signal qui n'a jamais été conçu pour répondre à la question qu'on lui pose.

Il s’agit d’un véritable problème d’attribution plutôt que d’un problème de dissimulation, et il vaut la peine de le dire clairement, car les deux sont constamment confondus. Vouloir que votre propre argument vous soit attribué n’est pas la même chose que vouloir cacher la manière dont un document a été produit. Quelles que soient les exigences de la politique de divulgation de votre institution, elles s’appliquent toujours, enlever une marque ne change rien à ce que vous devez à un lecteur dans une déclaration d’utilisation de l’IA.

Ce qui enlève la marque, et ce qui donne seulement cette impression

Un seul principe couvre l’ensemble. Toute opération qui laisse vos mots en place transmet la marque. Toute opération qui produit de nouveau les mots à partir de rien la rompt. Tout le reste en découle.

Copier, reformater, convertir des types de fichiers et supprimer des caractères invisibles laissent tous les mots en place, donc ils transmettent tous la marque. La traduction et la réécriture substantielle produisent de nouveau les mots, donc elles la rompent toutes deux, et Anthropic a reconnu qu’une édition lourde peut faire disparaître la marque. Réécrire à la main fonctionne parfaitement bien si vous avez le temps de le faire, ce que, pour un chapitre entier, la plupart des gens n’ont pas.

C’est sur ce mécanisme que repose notre free Claude watermark remover. Il reconstruit un passage phrase par phrase au moyen d’un autre modèle, de sorte que chaque jeton est généré à nouveau et qu’un signal lié à l’échantillonnage de Claude n’a plus rien auquel s’accrocher. Les débuts changent et l’ordre des propositions se déplace, tandis que les chiffres, les dates, les noms, les atténuations et le vocabulaire du domaine sont conservés, et que le matériau cité ainsi que les références sont recopiés exactement plutôt que reformulés. Une conséquence de cette dernière règle mérite d’être connue à l’avance, un long bloc de citation extrait de Claude conserve la marque avec laquelle il est arrivé, car reproduire une citation avec exactitude est l’obligation la plus importante des deux.

Pour les documents plus longs, ou pour les travaux universitaires où le registre et la gestion des citations comptent davantage que dans une prose générale, la même approche de réécriture s’applique à un manuscrit complet dans le TextPulse humanizer, qui a été conçu spécifiquement pour l’écriture de recherche et traite les citations, les termes définis et le vocabulaire technique comme des points fixes.

Si votre propre texte a été signalé

Commencez par être précis sur ce que vous examinez. Un signal signifie que Claude a traité le texte à un moment donné. Il n’évalue pas la part du document qui est la vôtre, et la formulation même d’Anthropic vous appuiera sur ce point si la conversation devient formelle.

Conservez toute preuve de votre processus que vous avez déjà. L’historique des brouillons, les fichiers de version, les notes et les plans attestent tous de la paternité d’une manière qu’un signal de provenance ne peut pas faire, et ils sont nettement plus convaincants qu’un argument fondé sur des statistiques. Si votre travail doit paraître sous votre propre nom et que le signal crée un véritable problème d’attribution, la réécriture du passage dans vos propres mots le résout, que vous le fassiez à la main ou avec un outil, et cela le résout précisément parce que la réécriture est la seule chose qui touche ce type de signal.

Anthropic continuera à modifier les détails. La couverture continue encore de s’étendre aux modèles plus anciens, la détection continue de se développer, et le cadre réglementaire qui l’entoure est plus récent que la technologie. La partie qui a peu de chances de changer est le mécanisme, et savoir que le signal se situe dans le choix des mots plutôt que dans un caractère caché est ce qui distingue une étape qui produit un effet d’une étape qui donne seulement l’impression d’en produire un. Si vous voulez voir la même question du côté du classifieur plutôt que du côté du filigrane, le vocabulaire qui trahit une écriture IA à un lecteur humain constitue encore un signal différent, qu’aucune clé ne peut mesurer.