Il watermark di Claude: dove si trova il segno e cosa dimostra

Gran parte di ciò che è stato scritto sul watermark di Claude da agosto descrive un meccanismo che non è quello distribuito da Anthropic. La versione comune parla di un carattere invisibile inserito tra le parole, uno spazio a larghezza zero o un glifo Unicode simile, in attesa che un rilevatore lo trovi. Sarebbe un'ipotesi ragionevole. È anche sbagliata, e l'errore non è accademico: è il motivo per cui un'intera categoria di strumenti gratuiti commercializzati come rimuovi watermark non ha alcun effetto su questo particolare segno.

Il segno di Anthropic risiede nella scelta stessa delle parole. Non viene inserito nulla nel testo. Una volta chiarito questo, le domande pratiche trovano da sole la loro risposta in un modo in cui non possono farlo finché è ancora in gioco l'idea del carattere nascosto, comprese quali operazioni trasmettono il segno, quali lo eliminano, e che cosa un rilevatore stia davvero dicendo quando segnala una corrispondenza.

Ciò che segue è tratto dalla documentazione di Anthropic stessa, non dalla copertura che la circonda, ed è deliberatamente specifico sui limiti che la stessa azienda dichiara.

Cosa ha attivato Anthropic, e quando

Anthropic ha iniziato a marcare l'output di Claude l'11 agosto 2026. Il suo articolo del centro assistenza sull'argomento descrive il segno testuale come "un watermark impercettibile direttamente nel testo stesso", e afferma che un lettore "non lo vedrà, e non cambia il significato, la qualità o la leggibilità".

La copertura è ampia. I modelli lanciati il 2 agosto 2026 o successivamente portano la marcatura fin dal rilascio, e Anthropic elenca le superfici come Claude Platform API, Claude, Claude Code, Claude Cowork e Claude Tag, incluso Claude raggiunto tramite AWS, Google Cloud e Microsoft Foundry. Si applica a livello globale. Considerare automaticamente esente qualsiasi testo redatto prima di agosto è imprudente, poiché l'azienda ha descritto l'inserimento dei modelli precedenti nel corso di un periodo di transizione.

La spinta normativa che lo sostiene è Article 50 of the EU AI Act, i cui obblighi di trasparenza richiedono ai fornitori di sistemi generativi di contrassegnare l'output leggibile dalla macchina. Anthropic ha firmato il Code of Practice dell'Article 50(2). Da notare che la normativa disciplina i sistemi utilizzati all'interno dell'Unione Europea e non contiene nulla che imponga un'applicazione mondiale. Anthropic ha applicato il contrassegno ovunque comunque, il che è una scelta di politica aziendale e non un requisito legale, ed è per questo che un ricercatore a Kuala Lumpur o Chicago è soggetto a una norma europea.

Il contrassegno è uno schema di scelte lessicali, non un carattere nascosto

A ogni fase della generazione del testo, un modello linguistico sceglie tra diverse continuazioni che, secondo le sue statistiche interne, sono quasi equivalenti. Quando una parola vale quanto un'altra, occorre rompere la parità. Un watermark di campionamento rompe tali parità secondo una chiave detenuta dal fornitore, così che, lungo una ragionevole sequenza di testo, le scelte accumulate formino uno schema che un rilevatore in possesso della stessa chiave può misurare.

Non viene aggiunto nulla alla pagina. Non c'è alcun carattere da individuare, nessun campo di metadati nel testo, nessun artefatto di formattazione. Le parole che state leggendo sono il watermark, nel senso specifico che il contrassegno è la registrazione di quali parole sono state selezionate tra le alternative. Ecco perché Anthropic può affermare che il contrassegno non costa nulla in termini di significato o leggibilità: non ha mai dovuto alterare la prosa, ma solo preferire ripetutamente una formulazione accettabile a un'altra formulazione accettabile.

Spiega anche la durabilità. Anthropic afferma che il segno "viaggerà con il testo quando viene copiato e incollato altrove", e il motivo è strutturale, non ingegnoso. La copia conserva le vostre parole. La riformattazione conserva le vostre parole. Cambiare il carattere, esportare in PDF, incollare in un editor diverso, convertire in testo semplice: tutto ciò conserva la sequenza delle parole, e la sequenza delle parole è l'oggetto che viene misurato.

Perché i pulitori di caratteri invisibili non hanno alcun effetto su di esso

Un gran numero di strumenti gratuiti si presenta ora come rimuovitori di watermark AI. Quasi tutti svolgono un solo compito: cercare Unicode a larghezza zero, spaziatura invisibile e glifi simili, quindi eliminare ciò che trovano. Questa era una risposta sensata a un problema reale, poiché alcuni sistemi incorporano davvero la provenienza nei caratteri, ed è lo strumento corretto per rimuovere i residui di formattazione estranei da un testo incollato.

Contro un watermark di campionamento non ottiene assolutamente nulla. Eseguite un passaggio di Claude attraverso un pulitore di caratteri e ogni carattere invisibile in esso scompare, mentre il passaggio viene misurato esattamente come prima, perché non è cambiata una sola parola. Lo strumento sta cercando in un luogo in cui il segno non è mai stato. Questo è il fraintendimento più rilevante in circolazione, e chiunque faccia affidamento su un rimuovi-caratteri per questo scopo ottiene un risultato che sembra un'azione ma non lo è.

Il punto generale si colloca accanto alla questione più ampia di come funzionano realmente i rilevatori AI, anche se un watermark con chiave è un animale diverso da un classificatore statistico. Un classificatore formula un'ipotesi dalla forma della scrittura. Un watermark legge un segnale che è stato inserito deliberatamente, il che lo rende molto più preciso riguardo a ciò che rileva e non migliore affatto nel dirvi chi ha scritto il documento.

Il secondo meccanismo, che si applica ai file e non al testo

Anthropic gestisce due sistemi, e la copertura li ha in gran parte fusi in uno solo. Accanto alla filigrana testuale, i file prodotti da Claude possono contenere "signed provenance metadata" secondo lo standard aperto della Coalition for Content Provenance and Authenticity (C2PA).

Questa metà funziona in modo opposto rispetto alla prima. I metadati C2PA sono associati al file anziché intrecciati nella prosa, quindi è relativamente facile perderli: basta copiare il testo fuori dal file e i metadati restano indietro, poiché non erano mai presenti nelle parole. I due sistemi hanno punti di forza invertiti. Il segno testuale sopravvive agli spostamenti e resiste a modifiche casuali. La firma del file è precisa e verificabile, ma non sopravvive al normale atto di selezionare un passaggio e incollarlo in un documento proprio.

Cosa stabilisce davvero una rilevazione positiva

Molto meno di quanto implichi la parola "detection", e Anthropic è insolitamente diretta su questo punto. La sua documentazione afferma che "detecting a Claude mark tells you that the content may have been processed by Claude" e che "does not, on its own, confirm the full provenance".

Leggilo con attenzione, perché sta svolgendo un lavoro preciso. Processed, non written. Un risultato positivo è coerente con un documento che Claude ha redatto da zero. È altrettanto coerente con un documento che hai scritto tu stesso e che hai chiesto a Claude di rifinire. Il segnale non ha modo di distinguere questi casi, perché in entrambi Claude ha generato i token che sono finiti sulla pagina.

I limiti vanno anche nella direzione opposta. Anthropic osserva che i segni possono non sopravvivere a modifiche pesanti, conversioni di formato o passaggi molto brevi, e che l'assenza di un segno non indica che il contenuto non sia stato generato da AI. Quindi un risultato negativo stabilisce quasi nulla: il testo può essere provenuto da un modello diverso, da un Claude precedente, oppure da Claude attraverso una revisione sufficiente a cancellare il segnale. La rilevazione è prevista tramite la stessa interfaccia di Anthropic, anziché essere esposta a terzi, ed è per questo che i rilevatori AI di uso generale non leggono questo segnale e non ci si può aspettare che lo facciano.

Operazione	Effetto sulla filigrana del testo	Perché
Copia e incolla	Si conserva	Le tue parole vengono preservate esattamente
Riformattazione, cambi di carattere, esportazione in PDF	Si conserva	Cambia la presentazione, non la sequenza delle parole
Eliminazione di caratteri invisibili	Nessun effetto	Il segno non è mai stato memorizzato in un carattere
Leggera revisione stilistica	Di solito si conserva	La maggior parte delle parole sopravvive, quindi sopravvive anche la maggior parte del modello
Riscrittura sostanziale	Si rompe	Parole nuove significano nuove scelte, non collegate all'originale
Traduzione in un'altra lingua	Si rompe	La sequenza di token viene ricostruita da zero
Estratti molto brevi	Non affidabile in entrambi i casi	Una misurazione statistica richiede una sequenza di testo per trarre qualsiasi conclusione

Il problema di attribuzione che questo crea per le persone che hanno scritto il proprio lavoro

La risposta più netta all'annuncio non è arrivata da chi cercava di mascherare un lavoro scritto da una macchina. È arrivata da avvocati, ricercatori, accademici ed editori che usano il modello come userebbero un revisore di testi, e che hanno notato ciò che il segno registra.

Si consideri il caso ordinario. Si scrive un paragrafo. L'argomentazione è propria, le prove sono proprie, la struttura è propria. Si chiede a Claude di correggere il ritmo e tagliare duecento parole. Ciò che ritorna è il proprio paragrafo, marcato, e il segno non può dire che quasi tutto il pensiero e gran parte della formulazione erano già presenti prima che il modello lo vedesse. Se un'istituzione, un editore o un datore di lavoro considera un esito positivo come prova definitiva di paternità da AI, che è una lettura più forte di quanto la stessa formulazione di Anthropic consenta, lo scrittore si ritrova a discutere contro un segnale che non è mai stato progettato per rispondere alla domanda che gli viene posta.

Questo è un problema genuino di attribuzione, non un problema di occultamento, ed è opportuno dirlo chiaramente perché le due cose vengono costantemente confuse. Volere che il proprio argomento sia attribuito a sé non è la stessa cosa che voler nascondere come è stato prodotto un documento. Qualunque sia la politica di divulgazione richiesta dalla tua istituzione, essa continua a richiederla: rimuovere un segno non cambia nulla rispetto a ciò che devi a un lettore in una dichiarazione di uso dell'AI.

Cosa rimuove il segno, e cosa solo sembra farlo

Un solo principio copre tutto. Qualsiasi operazione che lascia intatte le tue parole trasporta il segno in avanti. Qualsiasi operazione che produce di nuovo le parole da zero lo interrompe. Tutto il resto ne consegue.

Copiare, riformattare, convertire tipi di file e rimuovere caratteri invisibili lasciano intatte le parole, quindi tutte queste operazioni trasportano il segno. La traduzione e la riscrittura sostanziale producono di nuovo le parole, quindi entrambe lo interrompono, e Anthropic ha riconosciuto che un editing pesante può far scomparire il segno. La riscrittura a mano funziona perfettamente bene se si ha il tempo per farla, cosa che per un capitolo intero la maggior parte delle persone non ha.

Questo è il meccanismo su cui si basa il nostro free Claude watermark remover. Ricostruisce un passaggio frase per frase tramite un modello diverso, così ogni token viene generato ex novo e un segnale legato al campionamento di Claude non ha più nulla a cui agganciarsi. Le aperture cambiano e l'ordine delle proposizioni si sposta, mentre cifre, date, nomi, attenuazioni e lessico disciplinare restano fissi, e il materiale citato e i riferimenti vengono copiati esattamente, invece di essere riformulati. Una conseguenza di quest'ultima regola è utile da conoscere in anticipo: una lunga citazione testuale estratta da Claude conserva qualunque segno con cui è arrivata, perché riprodurre con precisione una citazione è l'obbligo più importante dei due.

Per documenti più lunghi, o per lavori accademici in cui il registro e la gestione delle citazioni contano più che nella prosa generale, lo stesso approccio di ricostruzione si estende a un intero manoscritto nel TextPulse humanizer, che è stato costruito specificamente per la scrittura di ricerca e considera le citazioni, i termini definiti e il lessico tecnico come punti fissi.

Se la tua scrittura è stata segnalata

Comincia con l'essere accurato su ciò che stai osservando. Una segnalazione significa che Claude ha gestito il testo in qualche momento. Non classifica quanta parte del documento sia tua, e la formulazione stessa di Anthropic ti darà ragione su questo se la conversazione diventa formale.

Conserva qualunque prova del processo tu abbia già. La cronologia delle bozze, i file di versione, gli appunti e le scalette parlano tutti di paternità in un modo che un segnale di provenienza non può fare, e sono considerevolmente più persuasivi di un argomento basato sulle statistiche. Se il tuo lavoro deve uscire sotto il tuo nome e la segnalazione crea un vero problema di attribuzione, ricostruire il passaggio con le tue parole lo risolve, sia che tu lo faccia a mano sia con uno strumento, e lo risolve precisamente perché la ricostruzione è l'unica cosa che interviene su questo tipo di segnalazione.

Anthropic continuerà a cambiare i dettagli. La copertura si sta ancora estendendo ai modelli più vecchi, il rilevamento è ancora in sviluppo e il quadro normativo che lo circonda è più recente della tecnologia. La parte che difficilmente cambierà è il meccanismo, e sapere che la segnalazione risiede nella scelta delle parole e non in un carattere nascosto è ciò che separa un passaggio che fa qualcosa da un passaggio che sembra soltanto farlo. Se vuoi vedere la stessa questione dal lato del classificatore invece che da quello della filigrana, il lessico che rivela la scrittura di AI a un lettore umano è ancora un segnale diverso, e uno che nessuna chiave può misurare.