Immagina di leggere un articolo, un report aziendale o il copy di una newsletter e di chiederti: "questo l'ha scritto un umano o un’AI?".

Beh, da agosto 2026 i testi generati da Claude portano con sé una risposta parziale a quella domanda, ma non nel modo in cui probabilmente te la immagini.

Non c'è nulla da vedere, nessun simbolo nascosto, nessuna sigla infilata tra le righe. C’è un pattern statistico invisibile, leggibile solo da chi ha la chiave giusta.

Ecco cosa significa in concreto, e perché non è solo un dettaglio tecnico da addetti ai lavori.

Indice

• Cos'è (e cosa non è) il watermark testuale
• Come funziona
• Lo spieghiamo col Monopoly
• Una famiglia di tecniche
• Cosa dimostra davvero (e i suoi limiti)
• Perché arriva ora: l'AI Act europeo
• Cosa cambia per aziende, media e content creator

Cos'è (e cosa non è) il watermark testuale

Il termine watermark (filigrana) trae in inganno. Sulle banconote o sui documenti digitali, una filigrana è visibile a occhio nudo: è progettata per essere notata. Il watermark testuale di Claude fa esattamente il contrario: è pensato per non lasciare traccia percepibile.

Chi legge un testo marcato e uno non marcato non troverà alcuna differenza, né di qualità né di contenuto. Non vengono aggiunti caratteri, non servono token in più, e il costo di generazione resta identico.

Quello che cambia è invisibile e riguarda il modo in cui il modello sceglie le parole. Un modello linguistico genera testo una parola alla volta, scegliendo a ogni passo tra una rosa di candidati più o meno ugualmente plausibili. Prendi una frase come "Il tempo oggi era freddo e...": la parola successiva difficilmente sarà "zuccherina", ma probabilmente "nuvoloso" e "grigio" sono ugualmente valide.

In questi casi la scelta si decide con un numero casuale, e per l’utente non cambia nulla quale delle due esca, se non per questioni stilistiche. Ed è esattamente in questi bivi a bassa posta, che in un testo lungo si ripetono centinaia di volte, che si annida il watermark di Anthropic.

Come funziona

Un modo intuitivo per visualizzare il meccanismo, usato spesso per spiegare questa famiglia di tecniche, è immaginare di colorare i token candidati a ogni passo.

A ogni bivio, in base alla chiave crittografica e alle parole immediatamente precedenti, i candidati plausibili vengono divisi idealmente in due gruppi - come se fossero “colorati” di verde e rosso.

Nella versione più semplice di questo approccio (nota in letteratura come green-list watermarking), il modello viene spinto a preferire leggermente i token verdi, e chi possiede la chiave può poi contare, su un testo lungo, quanti "verdi" sono usciti rispetto a quanti ne uscirebbero per puro caso. Uno sbilanciamento sistematico è la firma della marcatura.

Il metodo scelto da Anthropic è più raffinato di questa versione base, e si chiama Tournament Sampling, il cuore tecnico di SynthID-Text: invece di applicare un bias fisso che spinge sempre verso un colore, il sistema genera più candidati casuali e usa la chiave per far "vincere un torneo" a uno di essi tra quelli comunque equivalenti.

La differenza non è cosmetica: un bias fisso rischia di distorcere la distribuzione delle parole nel tempo (più "nuvoloso" che "grigio", sistematicamente), mentre il torneo è costruito per restare non distorsivo - in aggregato, su tanti testi, il modello continua a scegliere le due parole più o meno con la stessa frequenza di sempre. Cambia solo quale parola emerge in quella specifica sequenza, non quanto spesso emerge in generale. È anche per questo che i test di qualità non rilevano differenze: la marcatura non spinge il modello verso preferenze che non avrebbe comunque avuto.

La chiave crittografica funziona come un seme: combinata con il contesto immediatamente precedente, alimenta una funzione pseudo-casuale che decide, tra le opzioni ugualmente valide, quale vince il torneo in quel punto preciso.Chi ha la chiave può rifare lo stesso calcolo a posteriori e verificare se la sequenza osservata è compatibile con le scelte che ne deriverebbero.

In pratica è una perturbazione statistica non delle probabilità assolute delle parole (quelle restano intatte), ma della fonte di casualità con cui, tra più opzioni con probabilità identica, se ne sceglie una piuttosto che l'altra. Le parole restano casuali quanto lo erano prima. Cambia solo da dove arriva quella casualità.

Lo spieghiamo col Monopoly

Anthropic stessa, nel suo blogpost, ricorre a un'analogia che rende l'idea meglio di qualsiasi formula.

Pensa a una partita a Monopoly in cui, invece di lanciare i dadi, ogni giocatore usa le cifre decimali di pi greco per decidere di quante caselle avanzare: si parte da un punto casuale della sequenza (la milionesima cifra dopo la virgola, per dire) e da lì ogni turno si legge la cifra successiva. A tutti gli effetti le mosse restano casuali e la partita si gioca esattamente come prima, senza che nessuno dei giocatori se ne accorga.

Ma se dopo la fine avessimo la sequenza completa delle mosse e conoscessimo il valore di pi greco, potremmo verificare che quella partita ha usato pi greco per muoversi, risultando, in un certo senso, "marcata".

Con Claude funziona così: l'esperienza di lettura resta identica, ma chi possiede la chiave può controllare, a posteriori, se quel testo è compatibile con le scelte del modello - proprio come si controllerebbe se una sequenza di mosse è compatibile con le cifre di pi greco.

Una famiglia di tecniche

Il watermark di Claude è una variante di SynthID-Text, pubblicato da Google DeepMind su Nature nel 2024, che appartiene a una famiglia di tecniche che risale a una proposta di Scott Aaronson del 2022. Sia i test interni di Anthropic sia quelli condotti da Google DeepMind su una porzione del traffico di Gemini non hanno rilevato differenze percepibili nella qualità, creatività o leggibilità dei testi marcati.

Infatti, SynthID-Text non è un caso isolato, ma parte di una famiglia più ampia di strumenti che Google DeepMind chiama semplicemente SynthID, lo stesso marchio con cui dal 2023 Google marca le immagini generate con Imagen, l'audio generato con Lyria e i video generati con Veo all'interno dell'ecosistema Gemini.

Tutte queste tecniche condividono l'obiettivo (marcare al momento della generazione, senza intaccare la qualità percepita) e il marchio, ma non lo stesso meccanismo.

Per le immagini e i video, DeepMind addestra una coppia di reti neurali - una che incorpora il segnale nei pixel, una che lo legge - e il watermark vive direttamente nei valori dei pixel o nei fotogrammi. Per il testo, come abbiamo visto, il segnale vive nella sequenza di scelte lessicali tramite Tournament Sampling. Sono tecniche sorelle, non gemelle: stessa filosofia di prodotto, implementazione diversa per ciascun formato.

Cosa dimostra davvero (e i suoi limiti)

Ma attenzione, il watermark risponde a una sola domanda: qual è la probabilità che questo testo sia stato scritto, almeno in parte, da Claude?

Non risponde ad altre due domande che spesso vorremmo porre insieme a quella:

• Non conferma che un testo sia umano. L'assenza di watermark non equivale a una firma umana: può voler dire scrittura umana, ma anche testo troppo breve, contenuto fattuale, corretto/riscritto/tradotto da un altro modello, o una revisione leggera.
• Non rileva testi generati da altre AI. Ogni fornitore usa una chiave propria e potenzialmente un metodo diverso; la chiave di Anthropic non dice nulla sui testi prodotti da altri modelli. Anche se è plausibile una standardizzazione in futuro, come avvenuto col SynthID di Google.

Ci sono poi situazioni in cui il segnale è debole per costruzione.

• Sui testi brevi poche scelte lessicali significano poca informazione su cui lavorare: più il passaggio è lungo, più cresce la confidenza della verifica.
• Sui passaggi fattuali il watermark ha poco margine, perché non esistono alternative equivalenti tra cui scegliere: se la frase è "l'opera più celebre di Newton si intitola Principia...", la parola dopo - “Mathematica” - è obbligata, non c'è casualità su cui costruire un pattern.
• Lo stesso vale per il proofreading: se dai a Claude un tuo testo chiedendo di correggere solo grammatica e punteggiatura, quasi tutte le parole restano tue, e la manciata di interventi del modello può essere troppo esigua per lasciare un segnale rilevabile.
• Il codice segue la stessa logica: dove l'output deve essere esatto (2+2 fa 4, non c'è alternativa sensata), la marcatura non si applica, e resta un margine solo nei punti arbitrari, per esempio nei commenti.
• Le traduzioni, al contrario, sono il caso opposto: ogni parola dell'output è scelta dal modello, quindi la marcatura è piena. A meno che a tradurre non sia un altro modello, e in quel caso il watermark sparisce.

Perché arriva ora: l'AI Act europeo

Questa non è una scelta di prodotto, ma un obbligo normativo. Dal 2 agosto 2026, con la piena applicabilità dell’art. 50 dell’AI Act, l'Unione Europea richiede ai provider AI che operano sul suo mercato di marcare i contenuti generati.

Nel luglio 2026 Anthropic ha firmato, insieme ad altri grandi sviluppatori di modelli e a circa 190 firmatari complessivi, il Codice di condotta europeo sulla trasparenza dei contenuti generati da AI. Non è quindi una caratteristica esclusiva di Claude: gli altri principali fornitori stanno implementando i propri watermark, ciascuno con la propria chiave, il che spiega perché la verifica di un provider non possa dire nulla sui testi prodotti da un altro.

Al lancio la marcatura viene applicata a livello globale, indipendentemente da dove si trovi chi la usa, perché al momento manca un modo affidabile di limitarla per area geografica. Per i modelli usciti prima del 2 agosto 2026 la normativa prevede un periodo transitorio, e il rilascio della marcatura anche su questi è in corso nei prossimi mesi.

Per le immagini e i file vale un meccanismo diverso da quello testuale: quando Claude produce un file supportato (.png, .jpg, .svg), allega una content credential, una nota firmata crittograficamente nei metadati secondo lo standard aperto C2PA, già usato da produttori di fotocamere e software di fotoritocco. A differenza del watermark, qui non cambia nulla nel contenuto del file: la credenziale dichiara solo che Claude è stato coinvolto, senza informazioni identificative.

Cosa cambia per aziende, media e content creator

Per le aziende, nessun rischio di tracciabilità aggiuntivo. Il watermark riguarda Claude e le sue scelte lessicali, non chi lo usa. Non contiene informazioni riconducibili a una persona, a un'organizzazione o a una singola conversazione, e non intacca la proprietà dell'output né la responsabilità legale sui contenuti prodotti: i termini di servizio restano quelli che erano.

Se hai policy interne su AI disclosure, il watermark non ti solleva dal doverle definire tu: dice solo se Claude è stato coinvolto, non se lo è stato per il 5% o per il 95% del testo.

Per le media company, il punto delicato è proprio quella distinzione - che il watermark non fa - tra "Claude ha scritto questo" e "Claude ha rivisto pesantemente questo". Se stai costruendo una policy editoriale su contenuti assistiti da AI, non puoi appoggiarti al watermark per tracciare la linea tra "assistito" e "generato": quella soglia la devi definire tu, per redazione, indipendentemente dallo strumento.

Vale anche la pena ricordare che gli strumenti di rilevamento come Pangram lavorano in modo strutturalmente diverso: non hanno la chiave di Anthropic, e riconoscono invece i tic stilistici tipici dei modelli (Anthropic stessa cita, non senza ironia, la costruzione "non è X, è Y" e un uso sproporzionato dell'avverbio "quietly").

Un detector stilistico e una verifica crittografica possono dare risposte diverse sullo stesso testo, e una policy editoriale seria dovrebbe saperlo prima di adottare un tool o l'altro.

Per chi crea contenuti, incluso chi usa Claude per script, bozze o traduzioni, il criterio pratico è quello descritto sopra: più il modello scrive di suo pugno, più cresce la marcatura; più ti limiti a farlo intervenire su un tuo testo già scritto, più la marcatura resta debole o assente.

Questo significa, per esempio, che un pezzo lungo scritto da zero con Claude è statisticamente più rilevabile di un articolo corretto solo nella forma. Non è una scappatoia da sfruttare, è semplicemente come funziona la matematica sottostante, ed è utile saperlo se un domani una piattaforma o un editore ti chiederà conto della provenienza di un testo.

Tuttavia, sebbene oggi il watermark sia già operativo, applicato di default e senza opt-out su ogni testo prodotto dai modelli Claude, Anthropic ha annunciato un'API di rilevamento - che non ha ancora rilasciato - e ancora non c'è un tool di detection pubblico.

Il messaggio di fondo, in ogni caso, è lo stesso: il watermark è un indizio probabilistico, non una prova. Un esito positivo è un segnale forte, un esito negativo è assenza di prova, non prova di assenza. Trattarlo come un verdetto binario - "marcato quindi AI, non marcato quindi umano" - è l'errore più facile da fare, ed è esattamente quello che questo meccanismo, per come è costruito, non permette di fare.

Simone Conversano - AI Transformation Specialist - Datapizza