liberlume-content-v3 lang: it title: La norma, la filigrana e la penna summary: Dall'agosto 2026 il testo generato dai modelli di Anthropic porterà una filigrana statistica, in adeguamento all'articolo 50 dell'AI Act. Come si filigrana una sequenza di parole (logit, softmax, entropia: il segnale vive dove il modello è indeciso), che cosa dice davvero quel segnale e quanto regge: una parafrasi lo scioglie, un positivo si può fabbricare, i modelli aperti eseguiti in proprio non lo applicano; con una prova replicabile in locale, filigrana inserita, misurata e rimossa su un modello da mezzo miliardo di parametri. E la domanda a cui il watermark non risponde: un testo è sempre opera di sintesi di qualcuno, e ciò che lo rende affidabile è il processo, le fonti, la responsabilità di chi firma, non la penna con cui è scritto. La filigrana, e la norma che la richiede, aggiungono qualcosa all'affidabilità di un contenuto o rischiano di generare malintesi? La stessa norma, dove parla di responsabilità editoriale, suggerisce la risposta. btc-anchor: 963084,0000000000000000000166e20d483b5cab5f8cc4fbfd855885448f310de52db2 prev: genesis --- body --- L'11 agosto 2026 Anthropic ha annunciato che il testo generato dai suoi modelli porterà un watermark: una filigrana invisibile, che non si vede rileggendo e non si trova cercandola nel file, ma che con la chiave giusta permette di stimare se un testo è passato da Claude. La regola vale per i modelli rilasciati dal 2 agosto 2026 in poi, quindi, alla data dell'annuncio, per i modelli a venire; quelli già in circolazione verranno adeguati nei mesi successivi. Vale in tutto il mondo, non solo in Europa. L'azienda dichiara che la qualità delle risposte non cambia, e promette un'API con cui chiunque potrà interrogare la filigrana. La data non l'ha scelta Anthropic. Il 2 agosto 2026 è il giorno in cui è diventato applicabile l'articolo 50 del regolamento europeo sull'intelligenza artificiale, l'AI Act. Per capire che cosa sia questa filigrana, e che cosa possa dire davvero a chi legge, conviene partire da lì. ## Che cosa chiede la norma L'articolo 50, comma 2, mette l'obbligo in capo a chi fornisce il sistema: chi offre sistemi che generano audio, immagini, video o testo deve fare in modo che l'output sia marcato in un formato leggibile meccanicamente e rilevabile come generato artificialmente. La norma non impone una tecnica: chiede soluzioni «efficaci, interoperabili, solide e affidabili nella misura in cui ciò sia tecnicamente possibile», e un considerando elenca le strade ammesse, filigrane, metadati, metodi crittografici di provenienza, impronte. Le sanzioni arrivano a quindici milioni di euro o al 3 per cento del fatturato mondiale, se maggiore. La tecnica l'ha scelta la pratica. Il codice di condotta sulla trasparenza dei contenuti generati, chiuso a giugno 2026 e firmato da circa centonovanta organizzazioni, distingue per tipo di contenuto: per immagini, audio e video chiede due strati, metadati firmati e filigrana impercettibile; per il testo libero, che un contenitore di metadati non ce l'ha, indica una tecnica sola, il watermarking, e solo sopra i duecento token. Entro febbraio 2027 la rilevazione dovrà essere interoperabile. Il codice è volontario, ma per chi lo firma diventa la via di adeguamento; Anthropic è tra i firmatari, e la filigrana di agosto è la sua attuazione. C'è però un dettaglio dello stesso articolo 50 che vale la pena leggere per intero, perché contiene già metà della discussione che segue. Il comma 4, dove l'obbligo non è più di chi fornisce il sistema ma di chi pubblica, tratta il testo diversamente da tutto il resto. Per immagini, audio e video manipolati esiste il deep fake, e va dichiarato. Per il testo l'obbligo di dichiarare scatta solo se viene pubblicato «allo scopo di informare il pubblico su questioni di interesse pubblico», e decade se c'è stata revisione umana e una persona, fisica o giuridica, si assume la responsabilità editoriale. La definizione stessa di deep fake, nel regolamento, copre immagini, audio e video: il testo non c'è. E conviene notare il perimetro che ne risulta: quasi tutto il testo che si scrive ogni giorno, i post sui social, le mail, i compiti e le tesi, i documenti di lavoro, dall'obbligo di dichiarare non è toccato; la filigrana del comma 2, invece, ci finisce sopra per intero. Vale la pena fissare il punto: quando la norma ragiona su che cosa dire al lettore, ammette che per il testo conta la responsabilità di chi pubblica, non lo strumento con cui è stato scritto. Quando ragiona su che cosa marcare, marca lo strumento. Le due metà dell'articolo sembrano rispondere a due filosofie diverse, e il resto di questo post è in fondo un confronto fra le due. ## Come si filigrana una sequenza di parole Un modello linguistico produce il testo una parola alla volta, o più precisamente un token alla volta. A ogni passo il modello non sceglie una parola: calcola un punteggio per ogni voce del suo vocabolario (i logit), e una funzione, la softmax, trasforma quei punteggi in probabilità. La temperatura regola quanto la distribuzione resta aperta: bassa, e quasi tutto il peso va sulla parola più probabile; più alta, e il modello resta indeciso fra più parole buone. Poi si tira a sorte, con dadi pesati da quelle probabilità. La filigrana vive esattamente in quel tiro di dadi. Lo schema più semplice della letteratura, proposto da Kirchenbauer e colleghi nel 2023, funziona così: a ogni passo una chiave segreta, combinata con l'ultimo token generato, divide il vocabolario in due liste, una «verde» e una «rossa», diverse a ogni passo; prima della softmax, i punteggi dei token verdi ricevono una piccola spinta. Il testo che ne esce è normale in tutto, ma contiene più token verdi di quanti il caso ne farebbe attendere. Chi ha la chiave può rifare il conto su un testo qualunque, senza bisogno del modello: conta i verdi, misura di quanto superano l'atteso, e ottiene un numero (uno z-score) che dice quanto è improbabile che quel testo sia nato senza conoscere la chiave. Gli schemi più recenti, come SynthID-Text di DeepMind, quello adottato da Anthropic, non spingono nemmeno i punteggi: sostituiscono il caso con una pseudocasualità derivata dalla chiave, così che la distribuzione delle risposte, in media, non cambia affatto. Da questa descrizione seguono due proprietà che conviene tenere a mente, perché tutto il resto dipende da loro. La prima: il segnale vive dove il modello è indeciso. Se a un passo la distribuzione è quasi tutta su una parola sola (una data, un nome, una riga di codice obbligata), non c'è nessun tiro di dadi da pilotare: forzare la scelta rovinerebbe il testo, non forzarla non lascia traccia. La filigrana si appoggia all'entropia del testo, e un testo a bassa entropia non la può portare. È il motivo per cui la soglia pratica sta intorno ai duecento token: il segnale si accumula piano, e sotto una certa lunghezza non c'è abbastanza indecisione da contare. La seconda: la qualità può davvero restare intatta, e su questo conviene credere ad Anthropic. DeepMind ha pubblicato su Nature un esperimento difficile da contestare: venti milioni di risposte servite agli utenti di Gemini, in parte con filigrana e in parte senza, e differenze nei giudizi degli utenti dello 0,01 e dello 0,02 per cento, statisticamente nulle. Chi vuole criticare questa filigrana deve cercare altrove, e altrove c'è parecchio. Una distinzione, prima di proseguire, perché è il punto in cui la discussione pubblica si confonde più spesso. Questa filigrana non va confusa con i «rilevatori di AI» che circolano da anni, quelli usati nelle scuole: quelli non hanno nessuna chiave e nessun segnale inserito, provano a indovinare dalla statistica del testo (quanto è prevedibile, quanto è uniforme) se somiglia a ciò che scriverebbe una macchina. Sono un'altra cosa, e il loro storico è pessimo: se ne riparla fra poco. ## Che cosa dice davvero il segnale Con la chiave in mano, che cosa si legge nella filigrana? La formulazione di Anthropic è onesta: una stima della probabilità che il testo sia stato scritto «in parte» da Claude. Non di più. Conviene girare la frase nei due sensi, perché in entrambi si rompe qualcosa che il senso comune dà per scontato. L'assenza del segnale non dice che il testo è opera umana. Basta che sia passato da un modello di un fornitore che non marca, da un modello aperto eseguito in proprio, o da una riscrittura qualunque. Chi tratta l'assenza di filigrana come un certificato di scrittura umana sta credendo alla stessa promessa che facevano i vecchi rilevatori, e su quella promessa i numeri ci sono: uno studio di Stanford su sette rilevatori diffusi ha misurato in media il 61 per cento di falsi positivi sui temi d'esame di studenti non madrelingua, con punte vicine al 98 per cento per il peggiore; OpenAI il proprio rilevatore l'ha ritirato nel 2023 «per la bassa accuratezza»; l'università Vanderbilt, per disattivare quello integrato in Turnitin, fece un conto semplice: con l'1 per cento di falsi positivi dichiarato dal produttore, su settantacinquemila elaborati l'anno sono settecentocinquanta segnalazioni sbagliate. La presenza del segnale, dall'altro lato, non dice che il contenuto l'ha pensato una macchina. Dice che a un certo punto della lavorazione quelle parole sono passate da Claude: anche solo per una traduzione, una revisione di forma, una riformulazione chiesta da una persona che le idee le aveva già tutte. Il segnale marca la penna, e la penna non è l'autore. C'è infine una proprietà che toglie alla filigrana anche il valore di prova. Nel 2024 un gruppo dell'ETH di Zurigo ha mostrato che interrogando l'API di un modello filigranato si può ricostruire abbastanza della chiave da fabbricare il segnale su un testo qualunque: testo scritto da una persona, fatto risultare positivo, con una spesa sotto i cinquanta dollari. Si chiama spoofing. Un segnale che si può apporre su un testo altrui non può essere una prova contro nessuno, in nessuna direzione. ## Quanto regge Poi c'è la domanda più semplice: la filigrana sopravvive a chi vuole toglierla? La letteratura, qui, è insolitamente unanime: no. Il modo più diretto è la parafrasi. Far riscrivere il testo a un altro modello, frase per frase, conservando il senso: i lavori che hanno misurato l'attacco riportano rilevazioni che crollano dal 99,3 al 9,7 per cento con parafrasi ripetute, anche su passaggi di trecento token, e un solo passaggio di un parafrasatore specializzato, eseguibile in locale, porta uno dei rilevatori di riferimento dal 70 al 5 per cento circa. Funziona anche la traduzione: andata e ritorno per un'altra lingua, e il segnale non c'è più. E nel 2024 è arrivato anche il risultato teorico, per opera di un gruppo fra Harvard e altre università: sotto ipotesi generali, chi può verificare la qualità di un testo e perturbarlo un poco alla volta può sempre rimuovere una filigrana forte senza degradare il testo. Non è un problema di ingegneria da sistemare alla prossima versione: è la natura stessa del segnale statistico, che non può resistere a chi rimescola la statistica. Il fenomeno si può riprodurre in piccolo, su un computer qualunque, senza GPU. La prova è uno script Python di una cinquantina di righe che usa la libreria transformers di Hugging Face, dove gli schemi di watermarking sono già inclusi, e un modello a pesi aperti da mezzo miliardo di parametri (Qwen2.5-0.5B). I tre testi della prova sono tutti generati dal modello, non c'è prosa preesistente: la filigrana può esistere solo in un testo prodotto col campionamento marcato, e il controllo si genera allo stesso modo per confrontare a parità di tutto. Quattro passi: si fa generare un paragrafo di prova da una richiesta qualunque (qui, un paragrafo divulgativo sui fari costieri prima dell'elettricità, in inglese, la lingua in cui un modello così piccolo scrive meglio); si rigenera dallo stesso prompt con la filigrana attivata fra le opzioni di generazione, schema della lista verde con un quarto del vocabolario «verde» a ogni passo; si misurano entrambi i testi col detector della stessa libreria, che riconta i verdi e restituisce lo z-score; si fa parafrasare il testo filigranato allo stesso modello, frase per frase e conservando il significato, e si misura anche quello. Il paragrafo senza filigrana contiene il 18,5 per cento di token verdi, in linea col caso: z-score −1,96, nessun segnale. Quello con la filigrana ne contiene il 48,4 per cento, z-score 6,07: la probabilità di un valore così per caso è dell'ordine di uno su trenta miliardi, su un testo di poco più di cento token. La parafrasi: 24,6 per cento di verdi, z-score −0,10, segnale sparito. Tre osservazioni da una prova di pochi minuti: il segnale c'è, e si misura in casa; una parafrasi fatta in casa, dallo stesso modello piccolo, lo scioglie; e soprattutto la filigrana è comparsa solo perché è stata chiesta esplicitamente nello script. Sul modello eseguito in proprio, il campionamento lo decide chi lo esegue. La figura mostra i tre testi della prova, coi token della lista verde evidenziati: la densità del verde è il segnale, e si vede a occhio dove compare e dove svanisce. Una precisazione sul perimetro della prova: la parafrasi è stata fatta apposta nel modo più povero, stesso modello piccolo, strumenti di base, costo praticamente zero per chiunque abbia un computer. Chi volesse conservare di più lo stile del testo di partenza ha a disposizione tecniche di rimozione più raffinate, anch'esse praticabili. Lo scopo qui è dimostrativo: replicare e capire, con uno sforzo quasi nullo, come il segnale si inserisce e come si toglie.
token nella lista verde del suo passo (atteso per caso: 25%) generato senza filigrana verdi 18,5% · z = −1,96 · 169 token Lighthouse lighting has been an essential feature of maritime navigation for centuries , serving as lifelines on the vast expanse of ocean. Prior to electricity , lighthouses provided vital navigational aids, helping sailors locate safe and reliable routes to distant shores . These beacon towers cast light onto water surfaces, illuminating paths for ships to navigate accurately. L ighthouses were strategically placed at strategic points, ensuring that even in the most treacher ous … (seguono altri 82 token; le misure valgono sul testo intero) generato con la filigrana verdi 48,4% · z = 6,07 · 127 token Lighthouses played a crucial role in navigation for maritime travelers on rough and dangerous coasts where visibility was limited. Before the widespread use of electricity , which revolution ized communication and navigation technology , lighthouses provided essential information to sailors navigating through foggy or storm y seas . By casting light into the darkness at night , lighthouses would alert passing vessels of their presence, allowing them to maintain safety distances from … (seguono altri 45 token; le misure valgono sul testo intero) la parafrasi del testo con filigrana verdi 24,6% · z = −0,10 · 123 token Before electricity 's introduction transformed communication and navigation methods, lighthouses were invaluable tools for maritime travelers crossing rocky coastlines with limited visibility . Their beacon lights illuminated the darkened waters at night , drawing attention from passing ships and helping ensure safe distances between vessels . The l ighthouses' primary function , which involved guiding ships safely through treacher ous seas, was a cornerstone of maritime navigation practices. Their … (seguono altri 44 token; le misure valgono sul testo intero)
I tre testi della prova, con evidenziati i token che cadono nella lista verde del loro passo: senza filigrana i verdi sono in linea col caso (18,5%, atteso 25%), con la filigrana quasi raddoppiano rispetto all'atteso (48,4%), dopo la parafrasi tornano al caso (24,6%). Sono mostrate le prime sei righe di ciascun testo; percentuali e z-score valgono sui testi interi. Dove il verde taglia una parola a metà è perché il modello lavora a token, non a parole.
E qui il punto smette di essere tecnico. Tutti gli schemi visti finora vivono nel campionamento, cioè nel codice che esegue il modello. Chi usa Claude o Gemini attraverso un'API riceve il campionamento del fornitore, filigrana inclusa. Chi scarica un modello a pesi aperti e lo esegue in casa fa da sé anche il campionamento, e la filigrana semplicemente non la applica: non c'è nulla da rimuovere, perché non è mai stata messa. I tentativi di cucire il segnale dentro i pesi, per ora, non sopravvivono a un fine-tuning. L'AI Act non esenta l'open source dall'articolo 50, ma l'obbligo grava su chi fornisce il sistema: chi esegue in proprio non ha un fornitore. Il risultato prevedibile è un effetto di selezione che rovescia lo scopo della norma. La filigrana finisce sul testo di chi usa i grandi fornitori commerciali alla luce del sole: studenti, professionisti, uffici. Chi ha interesse a non farsi marcare (lo spam, le operazioni di influenza, chi froda) ha a disposizione la parafrasi, la traduzione, o direttamente un modello aperto in locale. Il segnale rischia così di marcare, con affidabilità crescente, proprio il testo di chi non aveva niente da nascondere. E ogni giro di vite su questo fronte tende a rendere i modelli aperti e l'inferenza locale un po' più attraenti, per ragioni che con la frode non c'entrano niente: di quanto ci sia già oggi, in quella direzione, si è parlato in [un altro post di questo sito](/it/dentro-l-inferenza/). Per onestà va detto che un uso sensato della filigrana esiste, ed è quello che non ha bisogno di avversari. Un fornitore che marca il proprio output può riconoscerlo quando lo reincontra: per esempio per non riaddestrare i propri modelli sul proprio testo sintetico, un problema documentato e serio. E contro lo spam a basso sforzo, quello che nessuno si prende la briga di parafrasare, un po' di attrito lo aggiunge. Sono usi interni, volontari, nell'interesse di chi marca. È la promessa pubblica, «così saprete che cosa è scritto dall'AI», che non può essere mantenuta. ## La domanda sbagliata Fin qui i limiti tecnici. Ma vale la pena fare un passo indietro, perché per le immagini gli stessi strumenti, con gli stessi limiti, un senso ce l'hanno, e la differenza insegna qualcosa. Una fotografia pretende di essere la registrazione di un fatto: questa scena, davanti a questo obiettivo, è accaduta. Un video, lo stesso. Per contenuti così, «generato o reale?» è una domanda sensata, perché il contenuto stesso avanza una pretesa sul mondo, e chi guarda ha bisogno di sapere se reggerla. Il testo non ha mai avanzato quella pretesa. Un testo è sempre stato opera di sintesi di qualcuno: dettato a uno scriba, riscritto da un editor, tradotto, firmato da chi non l'ha materialmente battuto a macchina. Nessuno ha mai creduto che un testo fosse «una registrazione»: si è sempre chiesto, semmai, chi ne risponde e su che cosa si fonda. La domanda «l'ha scritto una macchina?» applica al testo una categoria nata per le immagini, e sul testo non misura niente di ciò che al lettore serve. Si può dire anche così. Una cosa è un testo che riporta dati, l'esito di un esperimento, poche righe e una sequenza di numeri: lì una pretesa di registrazione esiste, e infatti si verifica con i mezzi suoi, rifacendo il conto, risalendo alla fonte. Un'altra cosa è un testo descrittivo, un editoriale, un approfondimento: quello è «generato» per natura, sempre, da chiunque lo firmi, perché è un prodotto di sintesi; e per un prodotto di sintesi conteranno sempre il processo, la bontà delle fonti, lo spirito critico, le idee di chi scrive. Non è un caso che sia la stessa linea tracciata più sopra dall'entropia: il testo obbligato, quello dei dati, la filigrana non lo può nemmeno portare; il testo con margine di scelta è esattamente quello in cui qualcuno, le scelte, le ha fatte. Lo si vede bene da un caso limite che la norma stessa ha dovuto trattare: il correttore. L'articolo 50 esenta esplicitamente gli strumenti che svolgono una «funzione di assistenza per l'editing standard» e non alterano nella sostanza il testo. Giusto: nessuno vorrebbe una filigrana su ogni testo passato dal correttore ortografico. All'altro capo del lavoro vale lo stesso: nessuno proporrebbe una filigrana che distingua una ricerca fatta col motore di ricerca da una fatta in una biblioteca fisica, e la discussione di vent'anni fa sulla «ricerca con Google» si è chiusa con una norma di processo, citare le fonti, non con una marcatura dello strumento. Chi obietta che il modello, a differenza del motore di ricerca, scrive anche la forma ha ragione: ma è proprio ciò che la filigrana non sa distinguere. E fra i due estremi l'assistenza è una scala continua: il correttore sul versante della forma, il motore su quello delle fonti, e in mezzo il suggerimento grammaticale, la traduzione, la riformulazione di un paragrafo, la stesura in buon italiano di idee che l'autore ha già tutte e non sa mettere in fila. In quale gradino esatto il testo smette di essere dell'autore? La norma traccia la linea sullo strumento, ma la giustificazione della linea ragiona sull'uso: sembra il segno di una categoria che non ritaglia la realtà lungo le sue giunture. Su quella scala, intanto, ci sono persone vere. Chi scrive in una lingua non sua, chi ha idee costruite con studio e fatica ma non i mezzi linguistici per dar loro una forma pulita: per loro il modello è una penna migliore, e la filigrana marca la loro voce come «in parte di macchina» proprio mentre per la prima volta riescono a usarla. Non è un rischio ipotetico: OpenAI il proprio watermark ce l'ha pronto dal 2023, con un'accuratezza dichiarata molto alta, e ha scelto di non attivarlo citando, fra le ragioni, l'impatto sproporzionato su chi usa i modelli per scrivere in una lingua che non padroneggia. E dall'altra parte della filigrana c'è il lettore rassicurato a torto. Un testo senza segnale, «di pugno umano», può essere stato costruito su informazioni raccolte da un modello scadente e mai verificate: la filigrana non se n'è accorta, perché la penna era umana. Ciò che rende un testo affidabile non è mai stato lo strumento: sono le fonti, il processo di verifica, la responsabilità di chi firma. La filigrana misura la penna. Il processo non lo vede. ## L'alternativa che già esiste Se la domanda giusta è «chi ne risponde, e su che cosa si fonda», la risposta tecnica esiste da decenni e non ha niente di statistico: si chiama firma. Non rilevare la macchina, ma permettere a chi rivendica un contenuto di dichiararlo e provarlo: una firma crittografica lega un testo a una chiave, la chiave a un'identità, e la prova regge alla copia e non si falsifica. È la strada che per i media sta già in piedi con i metadati firmati (lo standard C2PA, citato dallo stesso codice di condotta europeo come tecnica conforme), e per il testo è ancora più naturale, perché ricalca ciò che l'editoria fa da sempre: una testata, un nome in calce, qualcuno che risponde. Non a caso è proprio il criterio che l'articolo 50, comma 4, riconosce come sufficiente per il testo: revisione umana e responsabilità editoriale. L'editoria, del resto, è l'esempio più nitido, non il perimetro. Il testo che la filigrana marcherà sta soprattutto altrove: nei post sui social, nei compiti e nelle tesi, nelle mail fra privati, nei documenti di lavoro, dove una redazione non c'è e la responsabilità editoriale del comma 4 nemmeno. Ma il principio non cambia scala: anche lì chi vuole essere creduto ha sempre risposto col proprio nome, lo studente del suo compito, il mittente della sua mail. Ed è proprio lì, dove le garanzie di contesto mancano, che un flag di filigrana verrebbe letto con meno cautele. La filigrana statistica si mette dalla parte dello strumento e si subisce; la firma si mette dalla parte di chi scrive e si sceglie. La prima è fragile per teorema, la seconda è robusta per costruzione. L'ultima considerazione va oltre questa vicenda, e conviene dichiararne il registro: quella che segue è una chiave di lettura, non una cronaca di come la norma è nata. L'intenzione di partenza è giusta, dare al pubblico uno strumento contro contenuti sintetici spacciati per reali. Ma tutto, nel testo della norma, lascia pensare che la regola sia stata scritta per generalizzazione: una tecnica che ha senso in contesti precisi, le immagini e i video, dove l'artefatto pretende di registrare il reale, sembra estesa con lo stesso gesto a un contenuto, il testo, dove la parola «generato» cambia significato. Gli indizi stanno nella norma stessa: la definizione di deep fake che il testo non lo contempla, l'eccezione editoriale del comma 4, l'esenzione per gli strumenti di editing, tre aggiustamenti che somigliano a correzioni fatte dove una regola pensata per le immagini incontrava un contenuto di natura diversa. Se questa lettura è giusta, gli effetti rischiano di distribuirsi in un modo che nessuno aveva scelto: pesare proprio su una parte di chi si voleva tutelare (chi usa il modello come penna per farsi capire), alzare i costi per chi si adegua e non per chi elude, orientare l'adozione, spingendo verso i modelli aperti e l'inferenza locale per ragioni che con i meriti non c'entrano. Non serve immaginare malafede, e niente qui la suggerisce: può bastare che chi scrive una regola guardi la regola più del fenomeno che dovrebbe regolare, e la regola diventa il proprio metro. Il rimedio, se questa lettura coglie qualcosa, è lo stesso che vale per i testi: fermarsi sul processo, non sull'artefatto. Resta allora la domanda dell'inizio: che cosa si saprà, dal 2 agosto 2026, che prima non si sapeva? Sui media sintetici, qualcosa di reale. Sul testo, un segnale che si scioglie con una parafrasi, si fabbrica con cinquanta dollari, non copre i modelli aperti, e nel caso migliore risponde a una domanda che non era quella. Normare l'artefatto è più facile che normare il processo, e questa vicenda lascia vedere dove può portare la scorciatoia: una garanzia che il pubblico crederà di avere, e che nessuno può mantenere. La trasparenza sul testo passa da un'altra porta, quella che la stessa norma tiene aperta al comma 4: qualcuno che ci mette il nome. ## Questo post In chiusura, una dichiarazione che a questo punto non dovrebbe sorprendere: anche questo post è stato prodotto col supporto di un modello linguistico, per l'analisi delle fonti, per la revisione dei contenuti e della forma. Le tesi, la struttura e la responsabilità di ciò che c'è scritto sono di [chi firma](/it/verifica/). Se questo testo si rivelerà utile come fonte o come supporto, non sarà per l'assenza di una filigrana; se si rivelerà debole, la causa non sarà la penna. Il giudizio, come sempre, resta al lettore: capacità di critica, voglia di approfondire, un proprio modo di dare e togliere fiducia. Nessuna filigrana può risparmiarglielo, e nessuna dovrebbe promettergli il contrario. ## Le coppie che si confondono - **Watermark ≠ rilevatore.** Il watermark è un segnale inserito alla generazione e letto con una chiave, con margini d'errore controllabili; il rilevatore indovina dalla statistica di un testo qualunque, e sui non madrelingua sbaglia in modo documentato. - **Marcare ≠ dichiarare.** L'obbligo di marcare (comma 2) grava sul fornitore e riguarda lo strumento; l'obbligo di dichiarare (comma 4) grava su chi pubblica, e per il testo decade davanti alla responsabilità editoriale. - **Generato ≠ falso.** La filigrana dice da dove passa un testo, non se dice il vero. - **Assenza di filigrana ≠ scritto da un umano.** Basta un modello aperto, un fornitore che non marca, una parafrasi. - **Qualità invariata ≠ segnale robusto.** Si può non rovinare il testo e perdere comunque il segnale alla prima riscrittura: le due proprietà non si tengono. - **Provare la provenienza ≠ rilevare la macchina.** La firma la appone chi rivendica e si verifica con la crittografia; la filigrana la appone lo strumento e si stima con la statistica. ## Riferimenti - Anthropic, *How Claude's text watermark works*, agosto 2026: [anthropic.com/news/claude-text-watermark](https://www.anthropic.com/news/claude-text-watermark) - Regolamento (UE) 2024/1689 (AI Act), articolo 50 e considerando 133: [eur-lex.europa.eu](https://eur-lex.europa.eu/eli/reg/2024/1689/oj), con l'[articolo 50 navigabile](https://artificialintelligenceact.eu/article/50/) - Commissione europea, *Code of Practice on Transparency of AI-Generated Content*, giugno 2026: [digital-strategy.ec.europa.eu](https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content) - J. Kirchenbauer, J. Geiping, Y. Wen, J. Katz, I. Miers, T. Goldstein, *A Watermark for Large Language Models*, ICML 2023: [arxiv.org/abs/2301.10226](https://arxiv.org/abs/2301.10226) - S. Dathathri et al., *Scalable watermarking for identifying large language model outputs*, Nature 634, 2024: [doi.org/10.1038/s41586-024-08025-4](https://doi.org/10.1038/s41586-024-08025-4) - V. S. Sadasivan, A. Kumar, S. Balasubramanian, W. Wang, S. Feizi, *Can AI-Generated Text be Reliably Detected?*, TMLR 2025: [arxiv.org/abs/2303.11156](https://arxiv.org/abs/2303.11156) - K. Krishna, Y. Song, M. Karpinska, J. Wieting, M. Iyyer, *Paraphrasing evades detectors of AI-generated text, but retrieval is an effective defense*, NeurIPS 2023: [arxiv.org/abs/2303.13408](https://arxiv.org/abs/2303.13408) - Z. He et al., *Can Watermarks Survive Translation? On the Cross-lingual Consistency of Text Watermark for Large Language Models*, ACL 2024: [aclanthology.org/2024.acl-long.226](https://aclanthology.org/2024.acl-long.226/) - H. Zhang, B. L. Edelman, D. Francati, D. Venturi, G. Ateniese, B. Barak, *Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models*, ICML 2024: [arxiv.org/abs/2311.04378](https://arxiv.org/abs/2311.04378) - N. Jovanović, R. Staab, M. Vechev, *Watermark Stealing in Large Language Models*, ICML 2024: [arxiv.org/abs/2402.19361](https://arxiv.org/abs/2402.19361) - W. Liang, M. Yuksekgonul, Y. Mao, E. Wu, J. Zou, *GPT detectors are biased against non-native English writers*, Patterns 4(7), 2023: [doi.org/10.1016/j.patter.2023.100779](https://doi.org/10.1016/j.patter.2023.100779) - I. Shumailov, Z. Shumaylov, Y. Zhao, N. Papernot, R. Anderson, Y. Gal, *AI models collapse when trained on recursively generated data*, Nature 631, 2024: [doi.org/10.1038/s41586-024-07566-y](https://doi.org/10.1038/s41586-024-07566-y) - OpenAI, *New AI classifier for indicating AI-written text*, con la nota di ritiro del 20 luglio 2023: [openai.com](https://openai.com/index/new-ai-classifier-for-indicating-ai-written-text/) - Vanderbilt University, *Guidance on AI detection and why we're disabling Turnitin's AI detector*, agosto 2023: [vanderbilt.edu](https://www.vanderbilt.edu/brightspace/2023/08/16/guidance-on-ai-detection-and-why-were-disabling-turnitins-ai-detector/) - A. Ha, *OpenAI says it's taking a "deliberate approach" to releasing tools that can detect writing from ChatGPT*, TechCrunch, agosto 2024 (sul watermark non rilasciato, dal reportage del Wall Street Journal): [techcrunch.com](https://techcrunch.com/2024/08/04/openai-says-its-taking-a-deliberate-approach-to-releasing-tools-that-can-detect-writing-from-chatgpt/)