C’è una differenza sostanziale tra cercare di indovinare se un testo è stato scritto dall’intelligenza artificiale e fare in modo che sia la stessa intelligenza artificiale a lasciare una traccia mentre lo scrive. È proprio su questa seconda strada che si sta muovendo Anthropic con Claude, introducendo un sistema di marcatura invisibile pensato per rendere riconoscibili i contenuti prodotti dai suoi modelli anche quando vengono copiati e trasferiti fuori dalla piattaforma. Non compare nessuna scritta sullo schermo, non viene aggiunto un logo e soprattutto non bisogna immaginare un codice segreto nascosto tra le righe che possa essere eliminato semplicemente incollando il testo in Word. La logica è molto più sofisticata perché la firma viene costruita attraverso le stesse scelte linguistiche compiute dal modello mentre genera le frasi.
La novità è importante soprattutto perché interviene su uno dei problemi più difficili creati dalla diffusione dell’AI generativa. Un’immagine artificiale può contenere metadati e credenziali digitali, un video può conservare informazioni sulla propria provenienza, ma un testo è estremamente facile da separare dal luogo nel quale è nato. Basta selezionare qualche paragrafo, premere copia, incollarlo in un documento e dopo pochi secondi non esiste più alcun collegamento visibile con Claude. Il lettore che incontra quelle parole su un sito, in una relazione aziendale o in un elaborato universitario non può sapere guardandole da dove provengano. Il watermark cerca di mantenere una traccia proprio dopo questo passaggio.
Il principio utilizzato è quello della marcatura statistica. Un grande modello linguistico come Claude non scrive nello stesso modo in cui una persona prepara mentalmente un’intera frase per poi trascriverla. La generazione avviene progressivamente e il modello valuta continuamente differenti possibilità per proseguire il testo. In un determinato punto possono esserci molte parole o sequenze linguistiche perfettamente compatibili con quello che è stato scritto fino a quel momento e il sistema assegna loro probabilità differenti. La tecnologia di watermarking può intervenire su queste possibilità modificando in maniera controllata e impercettibile alcune probabilità in modo da creare, dopo un numero sufficiente di scelte, una particolare impronta statistica.
Il lettore non dovrebbe accorgersi di nulla. Una parola non viene scelta perché deve apparire strana o innaturale e il testo non viene riempito di espressioni riconoscibili come tipiche dell’intelligenza artificiale. Tra diverse alternative compatibili con la frase il sistema può favorirne alcune secondo uno schema conosciuto dal rilevatore. Una singola scelta non significa praticamente nulla, ma osservandone molte insieme può emergere una struttura statisticamente significativa. È un po’ come distribuire migliaia di minuscoli indizi lungo un testo invece di nascondere un’unica etichetta al suo interno.
Ed è proprio questa caratteristica a spiegare perché il copia e incolla non rappresenti necessariamente una soluzione per cancellare la marcatura. Se il watermark fosse contenuto esclusivamente nei metadati del documento, spostare le parole in un nuovo file potrebbe essere sufficiente per perderlo. Se fosse costituito da caratteri invisibili, esisterebbero sistemi relativamente semplici per individuarli e rimuoverli. Ma quando il segnale deriva dalla distribuzione statistica delle parole generate dal modello, copiare quelle stesse parole significa copiare anche almeno una parte della struttura che contiene il segnale.
Immaginiamo quindi di chiedere a Claude di scrivere un articolo di duemila parole. Una volta ottenuto il risultato possiamo selezionarlo e trasferirlo in un programma di videoscrittura, salvarlo in un nuovo documento e successivamente inserirlo in un CMS per pubblicarlo su Internet. Il formato è cambiato più volte, i metadati originari potrebbero essere completamente scomparsi e non rimane alcun collegamento visibile con la conversazione iniziale. Eppure le sequenze linguistiche generate da Claude sono ancora sostanzialmente presenti. È lì che il rilevatore può cercare la marcatura.
Questo non significa però che il watermark sia impossibile da eliminare. Ed è uno degli aspetti più importanti da comprendere perché altrimenti si rischia di trasformare una tecnologia interessante in una sorta di prova forense infallibile che in realtà non è. Se vengono cambiate poche parole o corretti alcuni errori, una parte consistente della struttura originaria può rimanere intatta. Se invece il testo viene profondamente riscritto, riorganizzato e parafrasato, una quantità crescente delle scelte effettuate originariamente dal modello viene sostituita da nuove scelte e il segnale può progressivamente indebolirsi.
La lunghezza del testo diventa per questo determinante. In poche parole esistono pochi elementi sui quali effettuare una valutazione statistica e qualsiasi conclusione diventa molto più difficile. Un testo lungo offre invece molte più osservazioni e quindi più possibilità di individuare una struttura coerente. È uno dei motivi per cui questi sistemi devono essere interpretati probabilisticamente e non come un interruttore capace di restituire semplicemente “umano” oppure “AI”.
Questa distinzione cambia profondamente il significato del watermark. Il sistema non dovrebbe essere utilizzato per affermare che una determinata persona ha copiato un contenuto da Claude. Non identifica infatti chi ha formulato il prompt, chi ha utilizzato il computer o chi ha successivamente pubblicato quelle parole. Non rappresenta neppure una firma personale collegata all’account dell’utente. Ciò che può fornire è un segnale relativo alla possibile origine tecnologica del contenuto.
In altre parole, riconoscere Claude non significa riconoscere chi ha usato Claude.
È una differenza essenziale anche dal punto di vista della privacy. Un sistema di provenienza dei contenuti può essere utile senza trasformarsi necessariamente in uno strumento per tracciare individualmente gli utenti. Sapere che un determinato modello ha contribuito alla generazione di un testo è una cosa, poter risalire automaticamente alla persona che ha effettuato quella generazione sarebbe qualcosa di completamente diverso.
Ma esiste un’altra complicazione ancora più importante. Oggi sempre meno testi possono essere classificati semplicemente come completamente umani oppure completamente artificiali.
Pensiamo a un giornalista che scrive personalmente un articolo di tremila parole e successivamente chiede a Claude di renderlo più scorrevole. Oppure a un ricercatore che prepara un documento e utilizza l’intelligenza artificiale soltanto per tradurlo. Un professionista potrebbe scrivere una relazione e chiedere al modello di eliminare ripetizioni e refusi, mentre un autore potrebbe utilizzare Claude per riorganizzare alcuni paragrafi mantenendo idee, dati e conclusioni originali.
In tutti questi casi l’intelligenza artificiale è intervenuta sul testo, ma sarebbe semplicistico concludere che ne sia l’autrice.
È qui che il watermark rischia di diventare problematico se viene interpretato male. Un rilevatore potrebbe segnalare il coinvolgimento di un modello, ma quella segnalazione non racconta automaticamente quale sia stato il rapporto tra uomo e macchina durante la produzione del documento. Claude potrebbe aver generato tutto, potrebbe aver riscritto metà del contenuto oppure potrebbe essere stato utilizzato esclusivamente per una revisione linguistica.
La domanda quindi non sarà più soltanto “questo testo è stato scritto dall’AI?” ma piuttosto “quanto e in quale modo l’AI ha partecipato alla sua realizzazione?”
Ed è una domanda molto più difficile.
La scuola e l’università rappresentano probabilmente il terreno nel quale questa differenza diventerà più evidente. Da quando ChatGPT e gli altri chatbot generativi sono diventati strumenti di massa, insegnanti e istituzioni cercano sistemi affidabili per comprendere se gli studenti abbiano utilizzato l’intelligenza artificiale nella preparazione degli elaborati. I tradizionali AI detector tentano generalmente di riconoscere caratteristiche statistiche o stilistiche considerate più frequenti nei testi prodotti dai modelli, ma questo approccio ha mostrato limiti evidenti e non dovrebbe essere confuso con una prova certa della paternità di un documento.
Un watermark inserito intenzionalmente durante la generazione parte invece da un principio differente. Non cerca semplicemente di stabilire se un testo “sembra scritto da un’AI”, ma verifica la possibile presenza di una struttura che il sistema generativo ha deliberatamente contribuito a creare.
È un salto concettuale importante ma non elimina il problema dell’interpretazione. Uno studente potrebbe aver utilizzato Claude per correggere l’inglese di un elaborato scritto personalmente. Potrebbe aver chiesto una traduzione oppure potrebbe aver generato l’intero compito con un singolo prompt. Sono comportamenti completamente differenti e una semplice indicazione della presenza di una marcatura non può necessariamente distinguerli.
Lo stesso discorso vale per l’editoria e il giornalismo. Le redazioni stanno iniziando a stabilire regole sull’utilizzo dell’intelligenza artificiale ma non tutte vietano qualsiasi forma di assistenza automatizzata. Un giornalista può utilizzare strumenti AI per trascrivere un’intervista, sintetizzare un documento, tradurre una dichiarazione o correggere un testo senza delegare al modello il lavoro giornalistico vero e proprio. In futuro sarà quindi necessario evitare che la presenza di una firma digitale venga interpretata automaticamente come prova che un articolo sia stato prodotto artificialmente.
La questione potrebbe diventare ancora più delicata nelle aziende. Claude viene utilizzato per email, presentazioni, documenti interni, report, analisi e comunicazioni professionali. Se i sistemi di verifica dei watermark dovessero diventare facilmente accessibili, le organizzazioni potrebbero essere tentate di utilizzarli per controllare il lavoro dei dipendenti. Ma anche in questo caso la presenza di un segnale dovrebbe essere contestualizzata. Un lavoratore che utilizza un assistente AI autorizzato per migliorare la forma di un documento non sta necessariamente delegando alla macchina la propria attività professionale.
C’è inoltre un problema che riguarda l’affidabilità nel senso opposto. Non trovare il watermark non significa dimostrare che un testo sia umano. Un documento potrebbe essere stato generato da un altro modello, potrebbe provenire da una versione non marcata, potrebbe essere stato modificato profondamente oppure potrebbe aver subito trasformazioni sufficienti a rendere il segnale troppo debole. È una distinzione fondamentale perché un sistema di questo genere può fornire evidenza positiva in determinate condizioni, ma l’assenza di quella evidenza non può essere trasformata automaticamente nella certificazione di origine umana.
Questa asimmetria rappresenta probabilmente uno dei maggiori limiti di qualsiasi progetto di watermark testuale. Se milioni di contenuti vengono prodotti attraverso decine o centinaia di modelli differenti e ogni azienda utilizza tecnologie, chiavi o standard diversi, non esisterà necessariamente un rilevatore universale capace di analizzare qualsiasi testo pubblicato online e stabilirne l’origine.
Per questo il futuro del watermarking dipenderà anche dalla capacità dell’industria di costruire standard condivisi.
Il problema è già più avanzato nel mondo delle immagini grazie allo sviluppo di sistemi di provenienza come C2PA e Content Credentials, attraverso i quali un file può conservare informazioni firmate digitalmente relative alla propria origine e alle trasformazioni subite. Per il testo la situazione è molto più complicata proprio perché le parole possono essere separate dal file originale con estrema facilità. Una fotografia continua a essere un oggetto digitale identificabile mentre un paragrafo può essere copiato, tradotto, riassunto, spezzato e ricomposto infinite volte.
Il watermark statistico prova a risolvere precisamente questo problema facendo viaggiare una parte della provenienza insieme al linguaggio invece che esclusivamente insieme al file.
Ma proprio perché il testo è modificabile nasce inevitabilmente una nuova corsa tecnologica. Se esistono sistemi capaci di inserire watermark, compariranno strumenti che promettono di rimuoverli. Una riscrittura automatica può sostituire parole, modificare la struttura delle frasi e alterare progressivamente le caratteristiche statistiche del contenuto originale. Potremmo quindi assistere alla nascita di un mercato paradossale nel quale un’intelligenza artificiale genera un testo e lo marca mentre un’altra intelligenza artificiale viene utilizzata immediatamente dopo per riscriverlo e tentare di cancellare quella marcatura.
A quel punto inizierebbe un confronto continuo tra watermark e sistemi anti-watermark simile a quello già osservato in molti altri settori della sicurezza informatica. I produttori migliorerebbero la robustezza delle firme mentre altri strumenti cercherebbero trasformazioni capaci di renderle irriconoscibili senza alterare troppo il significato del testo.
Ed è proprio questo scenario a dimostrare perché sarebbe sbagliato considerare la filigrana come la soluzione definitiva alla proliferazione dei contenuti artificiali.
La sua utilità potrebbe essere molto maggiore se considerata come strumento di trasparenza e provenienza anziché come sistema punitivo. In un Internet nel quale una quota crescente di testi, fotografie, video e registrazioni audio viene prodotta o modificata attraverso modelli generativi, conoscere qualcosa sulla storia di un contenuto può diventare importante quanto conoscere il contenuto stesso.
Non significa stabilire se quello che leggiamo sia vero. Un articolo scritto interamente da una persona può contenere informazioni false e un testo generato da un’intelligenza artificiale può riportare informazioni corrette. La provenienza non certifica la verità. Permette però di aggiungere un’informazione sul processo attraverso il quale il contenuto è stato creato.
Questo aspetto assume un valore ancora maggiore pensando alla quantità di materiale artificiale che potrebbe circolare sul web nei prossimi anni. Se i motori di ricerca, i social network e le piattaforme editoriali verranno progressivamente riempiti di contenuti prodotti automaticamente, distinguere almeno una parte di questo materiale potrebbe diventare importante anche per le aziende che sviluppano i modelli. I sistemi di AI vengono infatti addestrati su enormi quantità di dati e la crescita dei contenuti sintetici pone il problema di evitare che i modelli futuri imparino indiscriminatamente da testi prodotti da altri modelli senza che la loro origine sia riconoscibile.
La filigrana può quindi assumere una funzione che va molto oltre il controllo del compito scolastico o la scoperta dell’articolo copiato da un chatbot. Può diventare uno dei primi elementi di una nuova infrastruttura della provenienza digitale.
Resta però un problema fondamentale di fiducia. Chi controlla il rilevatore? Chi conosce le chiavi necessarie per identificare la marcatura? Quanto è verificabile il risultato da parte di soggetti indipendenti? E soprattutto cosa accade quando da quel risultato dipendono conseguenze importanti per una persona?
Se un watermark viene utilizzato semplicemente per fornire un’informazione aggiuntiva al lettore il margine di errore può essere gestito con relativa facilità. Se invece diventa la base per accusare uno studente di aver copiato, contestare il lavoro di un dipendente o mettere in dubbio la paternità di un articolo, il livello di affidabilità richiesto diventa enormemente più elevato.
È quindi necessario distinguere sempre rilevamento e prova.
Una tecnologia può produrre un’indicazione statisticamente significativa senza per questo poter ricostruire l’intero processo creativo che ha portato alla nascita di un documento. E con l’intelligenza artificiale questa distinzione diventerà sempre più importante perché i confini tra autore e strumento continueranno a diventare meno netti.
La vera novità introdotta dalla filigrana di Claude non è dunque la possibilità di sorprendere qualcuno mentre preme copia e incolla. È l’idea che un testo possa conservare qualcosa della propria origine anche dopo essere stato separato dal chatbot che lo ha prodotto.
Fino a oggi abbiamo considerato le parole digitali come elementi estremamente facili da scollegare dalla loro storia. Una volta copiato un paragrafo non era praticamente possibile capire se fosse nato in un documento, in una mail, in un chatbot o direttamente all’interno di un sito. I watermark statistici provano a cambiare questo paradigma trasformando le stesse scelte linguistiche in una sorta di traccia.
Non vedremo quella firma e probabilmente leggendo il testo non noteremo nulla. Non apparirà “scritto da Claude” in fondo alla pagina e non ci sarà un simbolo nascosto da cercare con il mouse. Ma analizzando un numero sufficiente di parole un sistema compatibile potrebbe individuare una struttura che suggerisce il passaggio dell’intelligenza artificiale.
Ed è questo il punto sul quale vale la pena soffermarsi. Nell’era dell’AI generativa la domanda non sarà più soltanto se riusciremo a produrre testi artificiali indistinguibili da quelli umani. Quella soglia è già diventata estremamente difficile da definire. La vera sfida sarà capire come conservare informazioni affidabili sull’origine dei contenuti senza trasformare gli strumenti di trasparenza in sistemi di sorveglianza o in giudici infallibili della paternità.
La filigrana invisibile di Claude rappresenta uno dei primi tentativi concreti di trovare questo equilibrio. Può sopravvivere al normale copia e incolla, può indebolirsi quando il testo viene profondamente trasformato, non identifica automaticamente l’utente e non dimostra da sola che un intero documento sia stato scritto dall’intelligenza artificiale.
È quindi meno spettacolare di un detector capace di smascherare qualsiasi testo con un clic, ma proprio per questo è probabilmente più interessante. Non promette di risolvere magicamente il problema dell’autenticità. Introduce invece qualcosa che fino a poco tempo fa mancava quasi completamente nel linguaggio generato dalle macchine: una traccia della sua provenienza.
E mentre l’intelligenza artificiale diventa sempre più brava a scrivere come noi, potrebbe essere proprio quella traccia invisibile a diventare uno degli strumenti attraverso i quali continueremo a capire quando, dietro le parole che stiamo leggendo, è passata anche una macchina.
