Indice

• Il watermarking sui testi AI arriva per tutti
• Come Funziona
• Da marchio di autenticità a marchio di artificialità
• Cosa dice, e cosa non dice
• Immagini, file e codice: un'altra storia
• Come si aggira
• A cosa serve, in fondo

Oggi chi produce contenuti lavora con un sospetto sempre in agguato. Basta poco anche per un testo scritto bene perché qualcuno lo archivi come "roba fatta con l'AI", e quell'etichetta ne abbassa il valore percepito anche quando dietro c'è lavoro vero. In parte è un sospetto che ci siamo meritati. Di slop generato dall'intelligenza artificiale ne siamo circondati, prodotto da chi usa questi strumenti con pigrizia e senza criterio, e pubblica testi vuoti o pieni di errori. Ma quando l'AI diventa una penna, uno strumento in mano a chi scrive e non un pilota automatico a cui affidare tutto, il risultato raggiunge una qualità che prima richiedeva molto più tempo. Insomma, il confine tra "generato dall'AI" e "fatto a mano" è ben più sfumato di quanto suggerisca lo stigma.

Il watermarking sui testi AI arriva per tutti

Il tema è tornato d'attualità a metà agosto, quando Anthropic ha annunciato che i suoi modelli Claude avrebbero iniziato a inserire un watermark nei testi generati. Un segnale che il lettore non vede, ma che chiunque possieda la chiave giusta è in grado di riconoscere. 

Non è una mossa isolata di Claude. Nasce dal Codice di condotta europeo sulla trasparenza dei contenuti generati dall'AI, firmato a luglio 2026 da circa 190 organizzazioni, che dal 2 agosto chiede a chi opera sul mercato europeo di contrassegnare i contenuti prodotti dall'intelligenza artificiale. Google filigrana i testi di Gemini già dal 2024, OpenAI avrebbe messo a punto un proprio strumento salvo poi tenerlo nel cassetto, e gli altri grandi player si stanno allineando, ciascuno con la sua chiave. Più che l'iniziativa di un singolo laboratorio, quindi, è una regola che sta diventando trasversale al settore, sulla scia dell'AI Act europeo

Un aspetto conta più di ogni altro, ed è proprio quello che di solito si capisce male: al testo non si aggiunge niente. Niente caratteri nascosti, niente token in più, e di conseguenza nessun costo né rallentamento. Non è la filigrana in senso classico, quella che guardi in controluce su una banconota. Per chi legge, un testo con il watermark e uno senza sono identici.

Come Funziona

Capire il meccanismo aiuta, perché è lo stesso che ne spiega i limiti. Un modello linguistico costruisce il testo una parola alla volta, e a ogni passo sceglie tra più candidati plausibili. Nella frase "il tempo oggi era freddo e...", la parola dopo difficilmente sarà "zuccherino", mentre "grigio" o "coperto" vanno benissimo: il senso cambia appena. Di solito quella scelta la decide un numero casuale.

Ed è qui che entra in gioco il watermarking. La scelta resta casuale, ma cambia la sorgente: al posto di un generatore di numeri casuali qualunque, il modello si affida alla chiave e alle ultime parole scritte per orientare la selezione. La sequenza che ne esce, se la si ricontrolla con la chiave, risulta compatibile con le scelte che il modello avrebbe fatto usando quella chiave, e da lì si può stimare la probabilità che il testo arrivi proprio da lui.

Il metodo è una variante di SynthID-Text, sviluppato da Google DeepMind e pubblicato su Nature nel 2024, a partire da un'intuizione del 2022 di Scott Aaronson.

La verifica, tra l'altro, non richiede di far girare di nuovo il modello. Rendiamola con un esempio: immaginate una partita a Monopoli in cui, al posto dei dadi, si usano le cifre del pi greco. Per i giocatori non cambia nulla, le mosse restano imprevedibili, ma chi conosce il pi greco può controllare a partita finita se quei numeri sono stati usati davvero. Il watermark fa la stessa cosa, ma con le parole.

Da marchio di autenticità a marchio di artificialità

Per capire cosa sia davvero in gioco, conviene risalire alle origini della filigrana. È un'idea antica e, tra l'altro, tutta italiana: già nel Duecento i cartai italiani imprimevano marchi distintivi sui fogli per indicare la cartiera di provenienza, come ricostruisce la CNN. Col tempo è diventata un segno di qualità e autenticità, comparendo su banconote e documenti ufficiali, dai francobolli ai contratti, spesso proprio in funzione antifrode. Nel 1954 la stessa logica è passata all'audio, con un brevetto per nascondere codici di identificazione impercettibili nella musica di sottofondo, e negli anni Novanta è approdata al digitale, per difendere musica e film dalla pirateria.

Con l'AI, spiega alla CNN la storica dell'informatica Gili Vidan, quel segno si ribalta. La filigrana tradizionale certificava autenticità e proprietà. Quella sui testi AI fa l'opposto: dichiara che dietro le parole c'è stata una macchina, e mette in discussione il fatto che chi le ha prodotte possa dirsene autore. Una tensione che ci riporta esattamente al problema del valore percepito da cui siamo partiti.

Cosa dice, e cosa non dice

Sui testi il discorso si fa più delicato che su immagini o video. La chiave risponde a una domanda sola: quanto è probabile che un certo passaggio l'abbia scritto, almeno in parte, il modello. Non è un verdetto secco. Come precisa alla CNN Daniel Susser, che si occupa di etica e policy dell'AI alla Cornell, Gili Vidansi tratta di un segnale statistico da interpretare, non di un sì o no.

E i limiti sono concreti. Sui testi brevi il metodo funziona male, perché ha poche scelte da leggere, e perde colpi sui testi fattuali, dove un'unica risposta corretta non lascia margine di manovra. Discorso analogo per la revisione: se il modello si limita a sistemare grammatica e punteggiatura di un testo scritto da una persona, le modifiche possono essere troppo poche per lasciare traccia. E per ora l'API che dovrebbe fare la verifica non è nemmeno disponibile.

L'annuncio ha comunque messo in agitazione chi teme cosa potrebbe rivelare quell'etichetta, lo spettro di una nuova categoria di creatori "sporchi", puniti per aver osato usare uno strumento. Per Susser è il sintomo di regole ancora tutte da definire. In certi ambiti l'AI è ormai quasi d'obbligo, in altri è vista di traverso, e l'idea che un dettaglio tecnico possa smascherare chi la usa fa paura.

Immagini, file e codice: un'altra storia

Per i file come le immagini di solito non si parla di watermark, ma di content credential. Una nota firmata crittograficamente nei metadati, che tiene traccia del coinvolgimento dell'AI. Anthropic si affida qui allo standard aperto C2PA , lo stesso che usano produttori di fotocamere e software di fotoritocco, senza nascondere nulla dentro l'immagine. Il codice, invece, si presta poco alla filigrana: spesso deve essere esatto e non lascia scelte arbitrarie da orientare, così l'eventuale segnale finisce al massimo nei commenti.

Come si aggira

La domanda viene naturale: si può togliere? In parte sì. Una revisione leggera con ogni probabilità non lo cancella del tutto, una riscrittura parola per parola sì. Ma a quel punto è lecito chiedersi se quel testo sia ancora "generato dall'AI".

E non serve per forza riscrivere a mano. Alcune ricerche indipendenti hanno mostrato che SynthID-Text si indebolisce quando il testo subisce trasformazioni che ne conservano il significato, come una parafrasi automatica o una traduzione andata e ritorno in un'altra lingua. Nel dibattito seguito all'annuncio c'era già chi proponeva di far passare l'output attraverso più riscritture in sequenza, come si mescola un mazzo di carte, finché il segnale non svanisce. La conferma di cosa sia davvero questo watermark, un indizio probabilistico, non una prova a prova di manomissione.

C'è pure un risvolto quasi comico. Gli strumenti di rilevamento più diffusi, come Pangram, il watermark non lo leggono affatto, perché la chiave non ce l'hanno. Vanno a caccia dei soliti tic del fraseggio AI. Tra questi, la stessa Anthropic cita la costruzione "non è X, è Y" e l'abuso della parola "quietly" ("silenziosamente"). Per chi scrive è un promemoria utile, a tradire un testo sono più certe abitudini stilistiche che qualsiasi filigrana.

A cosa serve, in fondo

Torniamo al valore. Sul singolo testo il watermark dice poco: non identifica nessuno, si limita a certificare un coinvolgimento probabile. La sua utilità, suggeriscono Vidan e Susser, sta piuttosto sui grandi numeri. 

Non ti dice chi ha prodotto cosa, ma quanto i contenuti sintetici hanno permeato l'ecosistema informativo, una preoccupazione che gli stessi autori di SynthID avevano sollevato su Nature.

Poi c'è la questione della fiducia. Vidan ricorda cosa successe con le banconote negli anni Ottanta: la paura dei falsi prodotti con le fotocopiatrici a colori rischiava di far dubitare della validità di tutto il contante, e furono proprio i nuovi watermark a ricucire quella fiducia. 

Con i media vale lo stesso: se prende piede l'idea che buona parte di ciò che leggiamo sia falso, si finisce col diffidare di tutto. In questo senso il watermark funziona più come un termometro dello stato dell'informazione che come un timbro sul singolo autore.

Sul piano individuale, allora, dichiarare l'uso dell'AI resta soprattutto una questione di trasparenza. Come nota Sarah Fisher della Cardiff University, un docente o un editore ha tutto l'interesse a sapere se un'idea è frutto del ragionamento di una persona o è arrivata così com'era uscita dal modello. Ma il vero metro di giudizio è un altro: come quello strumento viene usato.