Watermark testuali e tracce invisibili: tecniche, limiti e contromisure

Anthropic inserirà un watermark dentro le frasi di Claude. Google, intanto, permette di togliere il marchio visibile sui media generati con Gemini, ma mantiene SynthID e C2PA. La tesi: la tracciabilità si sposta su segnali invisibili, mentre strumenti locali e pratiche di verifica ne mettono a nudo i limiti e alimentano nuove contromisure.

Come funzionano i watermark nelle risposte e nei media

Anthropic descrive un watermark testuale basato su “low‑stakes choices”: quando Claude sceglie tra alternative equivalenti, come “overcast” o “grey” per il meteo, preferisce in modo sistematico alcune opzioni per comporre un disegno statistico nel tempo. Il lettore non vede nulla; chi possiede una chiave può rilevare il pattern. L’azienda presenta l’approccio come adesione al Transparency Code del regolamento UE sull’IA e spiega che il segnale non altera il senso delle frasi, perché tocca scelte considerate a basso rischio.

Google introduce un interruttore “Media Watermark” in Gemini e nell’editor video Flow. Con un toggle nelle impostazioni, gli utenti possono disattivare lo “sparkle”, il segno visibile su immagini, video e musica generati con gli strumenti dell’azienda. Josh Woodward, vicepresidente di Google Labs, Gemini e AI Studio, precisa che la novità non tocca i tracciamenti invisibili: SynthID e i metadati C2PA restano incorporati in tutti i media. Restano anche le verifiche integrate: si può chiedere a Gemini o a Search se un contenuto proviene dall’IA.

La differenza è netta. Il watermark testuale agisce nel canale linguistico e richiede una chiave per la lettura. SynthID e C2PA operano a livello di file e metadati. In comune, c’è l’obiettivo di rendere il contenuto riconoscibile senza disturbare l’esperienza di lettura o visione.

Limiti immediati: editing, visibilità e controllo utente

Anthropic affronta domande pratiche: come funziona il watermarking, se l’editing può nasconderlo, che cosa cambia per il codice generato da Claude. La scelta di intervenire su sinonimi o varianti neutre protegge il significato, ma si intreccia con revisioni editoriali, riformulazioni e riscritture. Il post riconosce il tema dell’editing tra i fattori da considerare.

Google sposta il controllo visibile nelle mani dell’utente. Il watermark grafico diventa opzionale, perché molti già lo rimuovevano in post‑produzione. La scelta allinea Gemini a generatori che non applicano segni visibili di default, ma conserva marcatori invisibili e metadati per la verifica a valle. Il risultato è un doppio binario: estetica pulita in uscita e tracciabilità sotto la superficie.

Questi due casi disegnano un confine funzionale. I segnali visibili sono negoziabili e reversibili. I segnali invisibili devono resistere all’editing, alla compressione, alla conversione, alla riformulazione. La robustezza effettiva dipende dall’interazione con le trasformazioni reali dei contenuti, non solo dal disegno del segnale.

Contromisure pratiche: rilevatori locali, verificatori e “allucinazione” utile

Sebastian Raschka pubblica un tutorial completo per costruire un rilevatore di testo generato da IA. Il percorso è end‑to‑end: dataset, addestramento del modello, esecuzione in locale. Aggiunge un esperimento con un verificatore (RLVR) che fornisce un segnale per guidare l’output del modello generativo, riducendo la probabilità di essere classificato come “IA‑generated”. In pratica, il verificatore diventa un criterio di feedback per orientare il modello. È un esempio di approccio “verifier‑based” applicato oltre i domini classici di matematica e codice.

Il progetto nasce anche dalla richiesta di dimostrazioni locali con small language models e dal debutto della funzione “AI detector” su Substack. Lo scopo è didattico: capire come funziona un detector semplice e osservare i suoi limiti sul campo. La parte su RLVR mostra il rovescio della medaglia: se posso misurare un segnale di “IA‑generated”, posso anche ottimizzare per abbassarlo.

Un altro caso illumina una via diversa alla manipolazione controllata dell’output. Simon Willison, il 14 agosto 2026, descrive una scorciatoia di Doug Turnbull per gestire 1.856 tag senza passarli al modello in un’unica richiesta: far “allucinare” nuovi tag e poi mappare quei nomi inventati sui tag reali usando embeddings vettoriali. Il prompt non fornisce il vocabolario, ma la “forma” dei tag attesi con esempi di percorsi gerarchici. Poi si cercano nel corpus reale i tag più vicini nello spazio semantico.

Le due pratiche non parlano direttamente di watermark. Però indicano una tendenza concreta: usare verificatori locali per guidare l’output e strategie di prompting per piegare il testo entro vincoli desiderati. Dove esistono segnali rilevabili o strutture attese, esistono anche metodi per adattare l’output in modo mirato, con effetti sulle misure di detector semplici.

Cosa cambia per compliance, progettazione e responsabilità

Anthropic presenta il watermark testuale come risposta al Transparency Code del regolamento UE. Promette un segnale invisibile nella lettura normale e riconoscibile con una chiave, costruito da “low‑stakes choices” che non alterano il senso delle frasi. È un’integrazione profonda con il generatore, che punta a segnare l’output senza modificarne il contenuto percepito.

Google opta per una separazione operativa. Rende opzionale il segno visibile, ma preserva i watermark invisibili SynthID e i metadati C2PA. Fornisce anche verifiche integrate: si può chiedere a Gemini o a Search se un’immagine, un video o un brano audio provengono dall’IA. Josh Woodward parla di equilibrio tra controllo creativo e sicurezza.

Per chi progetta modelli, pipeline editoriali e processi di QA, la lezione è pragmatica:

• Non esiste un solo livello di tracciabilità. Servono canali multipli: linguistico, file‑level, metadati.
• I segnali devono misurarsi con trasformazioni reali: editing umano, riformulazioni, conversioni, compressioni.
• Strumenti locali di rilevazione e verificatori possono diventare anche leve di ottimizzazione dell’output, con impatti diretti sull’efficacia dei detector semplici.

In questa cornice, i watermark testuali e i tracciamenti invisibili restano utili se integrati con procedure di verifica diverse e se progettati pensando a manipolazioni plausibili del contenuto. Google li incorpora a livello di file e metadati. Anthropic li inserisce nel comportamento linguistico del modello.

Resta una domanda operativa che le stesse fonti mettono sul tavolo: che cosa succede quando l’editing, umano o automatico, tocca proprio le “low‑stakes choices”? Anthropic cita il tema. La risposta pratica, per ora, passa dalla combinazione di più segnali e dalla capacità di verificarli lungo tutta la filiera, dallo strumento di generazione alla pubblicazione.