I modelli precedenti riceveranno il supporto al watermark durante un periodo di transizione.
01 - I fatti
Cos'è successo il 2 agosto 2026
Dal 2 agosto 2026 tutti i modelli Claude incorporano un watermark invisibile nel testo generato. La misura nasce da un obbligo normativo: l'articolo 50 dell'AI Act europeo, che impone ai fornitori di AI che operano in UE di marcare i contenuti generati. Anthropic ha firmato a luglio 2026 il Code of Practice on Transparency of AI-Generated Content insieme a circa 190 altri firmatari.
Anthropic dichiara di non avere ancora un modo affidabile per circoscriverlo per regione.
Non esiste alcuna modalità di disattivazione documentata. Opera a livello di modello: app, API, Claude Code, Cowork.
Sono state annunciate ma non sono ancora disponibili.
• Dettaglio che incide su tutto il resto dell'analisi
02 - Il meccanismo
Non aggiunge nulla.
Cambia il modo in cui vengono generati i testi.
Un modello linguistico genera una parola alla volta. Molte di queste scelte sono a bassa posta in gioco: dopo «il tempo oggi era freddo e…», coperto o grigio sono equivalenti, e la scelta viene risolta da un numero casuale.
Il watermark che hanno introdotto non inserisce caratteri nascosti (come ha pensato qualcuno), ma sostituisce la sorgente di casualità: al posto di un generatore arbitrario usa una chiave segreta combinata con le parole precedenti. Le parole restano casuali, ma chi possiede la chiave può verificare se la sequenza è coerente con le scelte che il modello avrebbe fatto usando quella chiave, e assegnare una probabilità.
Il metodo è dichiarato: una versione di SynthID-Text, la tecnica pubblicata da Google DeepMind su Nature nel 2024, che appartiene a una famiglia di approcci risalente a una proposta di Scott Aaronson del 2022.
Il watermark statistico non sta nei caratteri, ma nella scelta delle parole: il modello, durante la generazione, sbilancia le probabilità verso un sottoinsieme di parole determinato.
Esempio in pratica.
Le parole in arancio sono le scelte a bassa posta in gioco.
Premi Rigenera in entrambe le modalità: il testo resta sensato, ma una delle due produce una sequenza sempre identica e quindi verificabile.
03 - Sfatare
Cosa non è il Watermark
Buona parte dell'allarme circolato riguarda cose che il meccanismo semplicemente non fa e vale la pena separarle dai timori fondati.
| Timore diffuso | Realtà dichiarata |
|---|---|
| Caratteri nascosti o Unicode invisibile | NO, al testo non viene aggiunto nulla |
| Identifica l'utente o l'organizzazione | NO, né il marchio né la chiave contengono informazioni riconducibili a persone, aziende o conversazioni |
| Peggiora la qualità dell'output | NO, test A/B su traffico reale non hanno mostrato differenze statisticamente significative e valutatori umani non hanno percepito differenze |
| Costa di più o rallenta il modello | NO, non produce token aggiuntivi |
| Cambia proprietà o diritti sull'output | NO, non dice nulla su titolarità o sulla paternità |
04 - I limiti
Il metodo è più debole di quanto si possa temere
Leggi questa parte per ridimensionare i timori che si sono diffusi: è dichiarata direttamente da Anthropic.
I rilevatori di watermark, infatti, non riescono a fare diverse delle cose che si temono:
- Non proveranno il fatto che l'autore sia umano. ma mostreranno solo la probabilità che Claude sia stato coinvolto nella scrittura
- Non permetteranno di distinguere tra «Claude ha scritto» o «Claude ha modificato», anche se in modo massiccio. Il testo scritto da Claude sarà sempre scritto da Claude
- Non funzionano su testi brevi perché le poche scelte lessicali non permettono di avere informazioni a sufficienza per un'analisi statisticamente rilevante
- Sono inutili sui contenuti fattuali nei quali esiste quasi una sola risposta corretta, togliendodi fatto margine di manovra all'indagine statistica (esempio: dopo Barack ci sarà quasi sempre Obama).
- Sono inefficaci sul codice perché, dal momento che il codice deve essere esatto, resta margine statistico solo nei commenti e in poche altre scelte arbitrarie.
- Non identificano altri modelli perché ogni fornitore ha chiave e metodo diversi
- Non danno risultati quando si usa il testo come bozza perché la revisione inserirà quasi solo parole dell'autore.
- Il watermark è rimovibile. Anche se una modifica leggera potrebbe non bastare, una riscrittura SÌ, rendendo i verificatori inefficaci (ma a questo punto andrebbe capito se il testo sia ancora da considerare come generato da AI).
Da non confondere
I rilevatori commerciali non hanno la chiave usata da Claude né da nessun altro chatbot. Lavorano su altro come il rilevamento di tic stilistici dell'AI, caratteri a larghezza zero, spazi anomali, omoglifi e simili, usati come marcatori nascosti nel testo. Anthropic ne cita due con autoironia: la predilezione per la costruzione «non è X, è Y» e un uso anomalo della parola tranquillamente. Io aggiungo l'onnipresente trattino lungo ( — ).
Non lo dico io, ma il file README della SKILL "Watermark Remover", la più chiacchierata di queste settimane: "Until vendors ship public detectors and keys, no tool can honestly certify this fails the official check.".
05 - La reazione
Perché la community si è preoccupata comunque
Se non esiste ancora un rilevatore pubblico, da dove viene l'agitazione? Le ragioni razionali sono tre, a cui va aggiunta una buona parte di allarmismo.
Asimmetria di verifica
«Nessun detector pubblico» non significa «Nessun detector». Chi ha la chiave può già verificare. Non noi utenti. Il vendor può controllare il tuo testo mentre ora noi utenti non siamo nemmeno in grado di verificare se la riscrittura è stata abbastanza profonda da aver rimosso il watermark.
Retroattività
I testi scritti e consegnati oggi resteranno archiviati e quando i sistemi di rilevamento diventeranno accessibili, li si potrà applicare anche a quei file. I timori, quindi, non riguardano solo i controlli che potrebbero essere fatti oggi.
Assenza di scelta
Non avere possibilità di opt-out e il fatto che l'applicazione della marcatura sia globale e a livello di modello ha contribuito ad aumentare la paura del controllo: chi usa Claude per lavoro non ha scelta.
... e poi il battage
Molti hanno letto Watermark immaginando qualcosa di più pervasivo di quello che è, confondendo i marcatori Unicode (banali, verificabili e rimovibili da chiunque) con il Watermark statistico che è tutta un'altra cosa. Il picco di visibilità della notizia è stato notevole con reazioni prevalentemente negative specie tra gli utenti paganti.
06 - Gli strumenti
Tre layer e tre livelli di affidabilità diversi
Gli strumenti di rimozione in circolazione operano su piani che vanno tenuti separati, perché il risultato è profondamente diverso.
Unicode e metadati
Si tratta di caratteri a larghezza zero, omoglifi, metadati C2PA/EXIF/XMP. Funzionano, sono deterministici e verificabili perché puoi contare, e talvolta vedere, cosa è stato rimosso.
Credenziali C2PA
Note inserite in file .png, .jpg o
.svg possono essere tolte senza modificare le immagini o le grafiche, ma ciò che ri-collega il file alla fonte resta fuori portata.
Riscrittura statistica
L'unico livello che tocca il watermark di cui si parla qui, e l'unico ancora non verificabile e non eliminabile.
Le SKILL che dichiarano di togliere le impronte lasciate dalle AI sugli altri due livelli, quando sono oneste, lo dichiarano: best-effort, resta un rischio residuo e comunque il loro utilizzo non rende il risultato presentabile come prova di scrittura umana.
Le modifiche al Layer A non hanno effetto sul watermark statistico e non si può avere certezza che le modifiche al Layer B siano state sufficienti.
07 - L'errore centrale
Far riscrivere il testo all'AI non serve a niente
Testo marchiato → Riscrittura con LLM →Testo con nuovo marchio
Questa è la conclusione più solida dell'intera analisi, ed è confermata dal funzionamento stesso, non solo dedotta. Anthropic scrive che "il watermark si applica alle parole che Claude sceglie".
Quindi se dai a Claude o a qualunque altro LLM, un testo marchiato chiedendo di riscriverlo, le nuove parole saranno comunque scelte da un LLM: l'output non avrà più il vecchio Watermark, ma ne avrà uno nuovo applicato dal nuovo LLM.
Paradossalmente, la riscrittura ti porterà ad avere un risultato peggiore di una tua revisione manuale, perché più parole potrà scrivere, più decisioni dovrà prendere e più chiara sarà l'impronta lasciata dal watermark statistico.
E, attenzione, vale anche l'altra faccia: se si dà ad un LLM un testo che non ha il watermark, lo applicherebbe mentre modifica il testo.
Chiedere ad un LLM di riscrivere il testo è un passaggio privo di senso, se si ha la necessità di eliminare il watermark.
Corollario - il passaggio cross-vendor
Riscrivere con un altro modello che a sua volta marca l'output non produce testo ripulito: sostituisce la marcatura A con la marcatura B.
Potrebbe avere senso solo contro un rilevatore specifico tipo «questo testo lo ha scritto Claude?», non come pulizia definitiva del watermark.
E in più espone il contenuto a un altro fornitore, ma questo è un altro discorso.
08 - La questione che smonta tutto
Usa i modelli locali già dalla prima scrittura
L'unico modo per ottenere testo davvero non marcato tramite riscrittura è usare un modello che non applichi watermark: realisticamente, un modello open-weight servito in locale, dove il codice di inferenza non contenga alcun intervento sul campionamento e sulla scelta delle parole.
| Genera con Claude e poi ripulisci | Genera in locale | |
|---|---|---|
| Passaggi | Due modelli + riscrittura manuale | Uno |
| Qualità | Degradata a ogni parafrasi | Costante |
| Watermark | Incerto, non verificabile | Assente per costruzione |
| Verificabilità | Nulla | Non necessaria |
Il processo di scrittura con un LLM che appone il watermark statistico, seguita dal tentativo di pulizia dello stesso, ha senso in un solo scenario: testo già esistente,
prodotto in passato, che non si può rigenerare.
Per tutto ciò che devi ancora scrivere, il generare direttamente con il modello più corretto al raggiungimento dello scopo, batte ogni altra soluzione.
Da notare
Chi insiste su voler tentare di ripulire il watermark passando il testo da un modello di frontiera all'altro rivela cosa cerca davvero: la qualità degli strumenti più avanzati e l'assenza delle loro tracce. Sono due cose che non si possono avere insieme, e il tentativo di pulizia dà solo l'illusione di averle risolte, ma non lo fa.
09 - Trasparenza
I modelli open-weight sono davvero puliti?
Non è dimostrabile.
Il meccanismo è assente a livello di campionamento con inferenza open source, e questo è controllabile leggendo il codice.
Esiste però un filone di ricerca che indaga sulla possibile trasferibilità dei watermark tramite distillazione: un modello potrebbe ereditare una firma statistica dai dati di addestramento, senza che ci sia un intervento al momento della generazione. Se così fosse, cambiare stack di inferenza non servirebbe.
Non risultano evidenze specifiche su Llama, Mistral, Qwen o Gemma, ma non vuol dire che sia dimostrato che non lo fanno. Va inoltre notato che Gemma è di Google, cioè del fornitore che più di tutti ha investito nel creare il watermark SynthID.
Resta separata la questione del fingerprinting stilistico, che non è un watermark a chiave ma rende comunque un testo attribuibile ad una famiglia di modelli ed è proprio il terreno su cui lavorano i rilevatori commerciali che oggi si hanno a disposizione.
10 - Il rischio vero
Nessuna pulizia può coprire il rischio reputazionale
Questo è il punto più importante, ed è quello che potrebbe venire davvero ignorato. Il rilevamento tecnico non è il rischio principale. Se un'azienda ha una policy contraria all'uso dell'Intelligenza Artificiale, il problema non si risolve cancellando i watermark.
Le cose che espongono al rischio di essere "scoperti" davvero sono altre, spesso banali e non hanno nulla a che vedere con l'Unicode o con la distribuzione statistica delle parole.
Un errore fattuale che nessun esperto commetterebbe
Uno stile che stacca completamente da tutto ciò che quella persona ha scritto fino ad ora
Una citazione o un riferimento inesistente o sbagliato
Una domanda diretta in riunione, o una citazione del testo, che colgono l'autore impreparato
È così che queste situazioni vengono a galla, non tramite analisi fatte con strumenti inaffidabili come i rilevatori attualmente disponibili. E se il tentativo di inganno emerge in uno di questi modi, aver attivamente cercato di occultare l'origine peggiora sensibilmente la posizione rispetto al non aver fatto nulla. In una valutazione disciplinare o di fiducia professionale la differenza è sostanziale: la prima è una questione di processo, la seconda è una questione di condotta.
Si passa da «ha usato l'AI» a «ha usato l'AI e ha lavorato per nasconderlo».
Aggiungiamo che la promessa di superare i test fatta da alcune SKILL poco oneste è strutturalmente indimostrabile.
Oggi non esiste alcun modo di verificare che le modifiche al testo abbiano funzionato e dal momento che i rilevatori evolvono e le API ufficiali per fare le verifiche al Layer B sono state annunciate, i testi consegnati oggi restano archiviati e saranno riesaminabili domani.
Una tecnica già incerta nel 2026 non può garantire nulla su cosa sarà analizzabile, anche solo un paio di anni, sullo stesso file.
11 - Conclusioni
Sette punti operativi
Il watermark esiste ed è realeIn Claude SynthID-Text è attivo dal 2 agosto 2026, in tutto il mondo e non è disattivabile.
È molto più debole di quanto si temaIl fatto che ci sia un watermark non prova nulla sul fatto che l'autore non sia umano, non funziona su testi brevi, è inefficace sui contenuti fattuali e quasi assente nella scrittura del codice.
Nel codice si può riconoscere l'AI grazie all'uso di costrutti formalmente corretti ma difficilmente riproducibili "a mano" in modo sempre corretto/uguale. (ndr)
L'API di rilevamento non è (ancora) pubblicaQuesto significa asimmetria, non assenza, ma soprattutto che, almeno in questo momento, nessuno può verificare l'efficacia della rimozione del watermark statistico al Layer B.
Si può pulire davvero solo il Layer ASe l'obiettivo è togliere Unicode invisibili, caratteri a larghezza zero, omoglifi, trattino lungo e metadati, allora i "Watermark Remover" sono efficaci e se ne può controllare il risultato.
La riscrittura con LLM è inutile per costruzioneRiscrivere in testo usando lo stesso modello o un nuovo modello di frontiera, può eliminare la prima marcatura, ma ne genererà una nuova. Non è una questione di implementazione o prompt, è il meccanismo che sta alla base del funzionamento dei modelli che hanno inserito il watermark statistico.
Se hai un modello locale, usalo da subitoUsare modelli open-weight che girano in locale per pulire un testo scritto da un modello id frontiera non è detto sia efficace e allunga il processo di creazione e revisione.
Il vero rischio è da un'altra parteLa domanda che conta non è come nascondere l'uso dell'Intelligenza Artificiale, ma capire se si ha il permesso di usarla per quel lavoro.
• Se la risposta è SÌ, non serve nascondere nulla.
• Se è NO, nessuna pulizia metterà davvero al sicuro.
12 - Fonti
Riferimenti
- Anthropic, How Claude's text watermark works, 14 agosto 2026 - anthropic.com/news
- Anthropic Help Center, How Claude marks AI-generated content - support.claude.com
- Google DeepMind, paper SynthID-Text, Nature, 2024 - nature.com
- Commissione Europea, Code of Practice on Transparency of AI-Generated Content, luglio 2026 - digital-strategy.ec.europa.eu
- Ricostruzione tecnica di Alex Cui (CTO GPTZero), 11 agosto 2026 - linkedin.com/pulse/ - con l'avvertenza che lui vende rilevatori di testo AI ed è quindi parte in causa
- Copertura giornalistica: Unite.AI, explainX, AI News, StartupItalia, Punto Informatico, Geopop - Agosto 2026