Dal 2 agosto 2026 Claude inserisce una firma invisibile, e quasi indelebile, in ogni testo che produce, non sparisce copiando e incollando il testo e nemmeno modificando la formattazione, non è un metadato (tipo quello delle fotocamere) né un codice, è una firma statistica integrata nelle parole del testo, non ne modifica il senso, ma un software detector la riconosce. Questa tecnica però non è nata oggi, solo nessuno aveva deciso di usarla.Il Watermark per i testi AI viene annunciato nel 2022 a fine novembre in un’aula dell’Università del Texas ad Austin, non è nemmeno una lezione ufficiale, ma un incontro dell’effective altruism club, il circolo dell’altruismo efficace.Davanti alla cattedra si muove a scatti un uomo vestito di nero, ha quarantuno anni, è professore di calcolo quantistico, che però si è preso un anno sabbatico per lavorare in OpenAI e ora è tornato per affrontare il tema della sicurezza dell’AI, sul finale della sua presentazione parla di quella firma che ha inventato quasi per gioco, la firma si chiama Statistical Watermarking of GPT outputs, Filigrana statistica degli output GPT.

Quell’uomo aveva inventato la firma perfetta per rispondere ad una domanda che oggi ci facciamo di continuo ma che nel 2022 era un semplice esercizio di stile, ovvero “questo testo l’ha scritto una macchina o una persona?”

Da qui nascono una serie di domande. Se già nel 2022 quella tecnologia esisteva perché non è stata usata? Perché un watermark che avrebbe potuto rendere riconoscibile ogni testo elaborato dall’intelligenza artificiale, sin dall’inizio, è rimasto chiuso in un cassetto? Perché oggi Anthropic ha deciso di tirarla fuori e OpenAI no?

Come funziona il watermark statistico

Partiamo dalla cosa più semplice, cerchiamo di capire cosa sia questa firma invisibile e quasi indelebile, come vedremo. Innanzitutto il nome Statistical Watermark è un po’ fuorviante, noi Watermark lo traduciamo con filigrana e ci ricorda quelle scritte semitrasparenti apposte sulle immagini per non farsele copiare, una specie di timbro. Ecco qui il timbro non c’entra niente. Non si tratta di un testo invisibile, e nemmeno di un metadato, quelle informazioni che vengono aggiunte ad un file per indicarne la provenienza.

Il watermark statistico è qualcosa di molto più sofisticato e inscindibile dal testo, perché la firma è il testo stesso. Ogni volta che un modello linguistico scrive un testo, sceglie la parola successiva in base alle probabilità che quella sia la più adatta, ovviamente per ogni frase ci sono più parole adatte. La firma influenza in maniera impercettibile le probabilità con cui sceglie una parola invece di un’altra.

Immagina che, per scrivere una frase, il modello possa dire “ma”, “però” o “tuttavia”. Tutte e tre vanno bene. Un watermark può spingerlo a scegliere, un po’ più spesso del normale, alcune parole anziché altre, più spesso il “ma” del “tuttavia” o alternarli in una certa proporzione generando come un motivo, una “greca” di parole che a noi sembra normale e che invece, per chi ha la chiave, è una firma.

Indubbiamente un metodo geniale ma che ha grandi vantaggi ed enormi problemi, li vedremo.

Scott Aaronson e la firma nata dentro OpenAI

La firma nasce in OpenAI come un progetto minore, laterale. Il professore di 41 anni vestito di nero che si muove a scatti in quell’aula del Texas era stato chiamato in OpenAI per ben altro, lavorare ai fondamenti teorici della sicurezza dell’intelligenza artificiale, ma c’è un’altra cosa che gli viene richiesto di continuo, qualcosa di più etereo. Ci sono delle telefonate che documentano questa richiesta, Ilya Sutskever, allora chief Scientist di OpenAI, chiede continuamente al professore di calcolo quantistico una cosa che può sembrare bizzarra: trovare una definizione matematica di che cosa significhi, per un’intelligenza artificiale, amare l’umanità.

Amare l’umanità, in numeri.

Capite che di fronte a una ricerca di quella portata che sconfina nella filosofia, creare un watermark per i testi era un compito minimo, sostanzialmente un passatempo. Come capita a volte, però quello che doveva essere solo un passatempo funzionava, e molto bene, dava dei risultati, mentre la ricerca sulla domanda fondamentale di cosa significhi amare l’umanità tradotta in formule stagnava, e ancora oggi nessuno è riuscito a risolvere il teorema dell’Amore sintetico per l’umanità.

Ora cerchiamo di capire chi è questo professore di calcolo quantistico prestato a OpenAI, dato che la sua storia ci dice qualcosa di più sulla firma che ha inventato. Lui si chiama Scott Aaronson, è nato a Filadelfia nel 1981. È stato un bambino prodigio della matematica: ha imparato da solo il calcolo infinitesimale a undici anni, ha saltato anni di scuola, ha lasciato il primo anno delle superiori per entrare direttamente all’università. Si è laureato alla Cornell (una delle università più prestigiose) poi ha preso il dottorato a Berkeley, ha passato nove anni al MIT, infine ha avuto la cattedra ad Austin, dove dirige il centro sul calcolo quantistico.

È una delle figure più importanti al mondo nella teoria della complessità, la disciplina che studia quali problemi un computer può risolvere e quali invece no. Insomma un genio che ha deciso di prendere un anno di aspettativa (che poi sono diventati due) per capire in che modo la sua matematica può migliorare la sicurezza dell’AI.

La firma che OpenAI non ha attivato

Torniamo alla firma, perché è quasi un thriller, il 14 novembre del 2022, prima che venga lanciata ChatGPT, il watermark esiste già lo schema lo ha inventato Aaronson e poi è stato sviluppato da un ingegnere di OpenAI, Hendrik Kirchner, il sistema funziona e bene bastavano poche centinaia di parole perché il segnale statistico potesse essere rilevato. Era tutto pronto per essere incorporato in ChatGPT e avremmo avuto testi firmati in modo invisibile sin dalle origini dell’AI generativa.

La firma però non è stata attivata.

Non perché non funzionasse; come abbiamo visto funzionava alla grande. Le ragioni sono altre, e sono più interessanti di un eventuale problema tecnico.

La prima: il timore per la reazione degli utenti che non avrebbero apprezzato di sapere che ogni testo sarebbe stato marchiato con una sorta di scritta “Made in AI”.

La seconda: c’era il rischio di penalizzare i non madre lingua inglese che usano l’AI in modo (diciamo )legittimo: per chi non è madrelingua inglese, l’AI è un traduttore per scrivere in modo corretto e competere alla pari con gli altri per esempio in una candidatura, un watermark avrebbe finito per trasformare quell’aiuto in un sospetto.

La terza è che questa firma non è del tutto indelebile: basta far rielaborare davvero il testo a un’altra intelligenza artificiale e quella traccia statistica può scomparire.

Il watermark non è stato attivato perché non conveniva farlo.

Perché Anthropic ha attivato il watermark in Claude

Facciamo un salto di quattro anni. Torniamo ai nostri giorni, nell’agosto del 2026, il watermark viene attivato, non da OpenAI che l’ha inventato; ma da Anthropic, l’azienda rivale, che la introduce a tappeto in Claude. Perché se tutti già conoscevano questa tecnica si è aspettato 4 anni? Il motivo ufficiale è l’Europa, in particolare, l’articolo 50 del regolamento europeo sull’intelligenza artificiale, meglio conosciuto come AI Act, il quale richiede che i contenuti generati dalle AI siano riconoscibili, Anthropic ha aderito al codice di condotta collegato a quell’articolo, impegnandosi a marcare tutto quello che i suoi modelli producono.

Il modo in cui lo fa è quello che ho raccontato dall’inizio: una firma statistica connaturata nelle parole scelte dal modello, che non modifica il senso ma rimane rilevabile da un software dedicato, chiamato detector. La firma è attiva su tutti i modelli lanciati dopo il 2 agosto del 2026; quelli precedenti verranno aggiornati gradualmente.

Bisogna sottolineare che il watermark è applicato a livello di modello, quindi viene apposto in qualunque modo venga usato Claude, app, sito web, API, Cowork e per giunta in ogni parte del mondo, non solo in Europa. Una regola scritta da Bruxelles diventa così una funzione nativa di un prodotto americano utilizzato ovunque, anche qui il ragionamento è di convenienza, ad Anthropic conviene di più uno standard unico che due versioni differenti della propria tecnologia; è la forza normativa di Bruxelles, l’Europa che non costruisce quasi nessuno di questi modelli, è in grado di dettare le regole con cui vengono realizzati, ovunque.

C’è un dettaglio che mi ha fatto sorridere nella lezione di Aaronson al club per l’altruismo efficace. Rientriamo per un attimo in quell’aula di Austin, nel 2022. Alla fine della lezione uno studente alza la mano e chiede al professore, per scherzo, di rimandare l’uscita del watermark statistico; di aspettare, almeno, fino al maggio del 2026, giusto il tempo di laurearsi prima che i professori possano smascherare i testi scritti dall’AI. In aula ridono tutti.

Nel 2022 nessuno lo poteva immaginare, ma quel ragazzo è stato profetico. La battuta di uno studente ha centrato perfettamente l’anno. Ma quello che nessuno poteva allora immaginare erano le conseguenze e la possibile caccia alle streghe digitale che sta per iniziare.

Il rischio della caccia alle streghe digitale

Ora dobbiamo parlare della ragione per cui questa storia riguarda me che parlo ma anche voi che ascoltate, e non solo un professore di calcolo quantistico, uno studente spiritoso e due delle più grandi aziende di AI. Il rischio che corriamo è che si apra la stagione della caccia alle streghe digitale. La firma dice una cosa, solo una: questo testo è passato attraverso un determinato modello di AI. Non dice chi lo ha pensato, non dice chi lo ha scritto davvero. La provenienza non è paternità, la differenza non è un dettaglio. Vi faccio l’esempio che conosco meglio, il mio.

Un giornalista passa una giornata in giro, tra i mercati, ad un consiglio comunale ad un convegno, fa due interviste, verifica le fonti, costruisce la struttura dell’articolo, scrive di suo pugno ottomila battute. Poi, prima di consegnare, incolla il testo dentro il modello e gli chiede soltanto di correggere i refusi e di togliere eventuali ripetizioni (è quello che io faccio spesso).

Quel testo avrà quella firma, il watermark statistico, è bollato con una nuova lettera scarlatta della scrittura. Ma la firma in realtà dice solo che è passato da un’AI, però chi la legge, se non conosce molto bene il meccanismo penserà un’altra cosa: che lo ha scritto la macchina. Il lavoro di una giornata, le interviste, le verifiche, la fatica di scegliere le parole, tutto questo sparisce dietro un bollino che di fatto dice il falso per eccesso di semplificazione.

Già mi immagino orde di inquisitori armati di detector andare in giro sul web; torturare i post LinkedIn, gli articoli, per trovare la lettera scarlatta che dice “il testo è di un’AI” e additare pubblicamente l’autore.

Lo abbiamo visto all’inizio, la firma resiste alle piccole modifiche. È la sua forza contro chi vuole barare; ma è anche la sua ingiustizia verso chi non sta barando affatto.

Cosa prova davvero il watermark di Claude

L’unico modo per spezzare il sigillo del watermark è di riscrivere gran parte del testo (la percentuale esatta non si sa Anthropic non lo ha comunicato) e poi, tagliare, invertire, spostare sezioni, sostituire i termini, parafrasare.

Lo dice chiaramente anche Anthropic: un testo può portare la firma anche quando le idee, le parole e i dati vengono da un’altra fonte, e la macchina è servita solo a correggere, tradurre o riassumere. La provenienza dice che il testo è transitato dalla macchina; non dice di chi è il pensiero. Su questo, siamo d’accordo.

Se il detector non trova la firma

Poi c’è l’altro lato della medaglia, ugualmente fangoso. La firma si può cancellare, e l’elenco dei modi lo fornisce direttamente Anthropic: una parafrasi (magari fatta con un’altra AI) la degrada, una traduzione la cancella, un testo troppo corto non contiene abbastanza parole per essere riconosciuto. Quello che nessuno sa, perché l’azienda non lo dice è dove sia fissata la soglia: quanta parte del testo deve essere riscritta perché il watermark sparisca del tutto. Qui c’è un’altra trappola più pericolosa: se il rilevatore non trova la firma, questo non vuol dire che il testo lo abbia scritto un essere umano.

Vuol dire soltanto che la firma non c’è più, o non c’è abbastanza. L’assenza di una prova non è una prova di innocenza, e non è una prova di colpevolezza, semplicemente non è.

Per chi fa il mio mestiere, ma ormai il mio mestiere lo fanno tutti, dai creatori ai dirigenti di azienda che sono chiamati a postare e scrivere, la domanda giusta da farsi di fronte ad un contenuto sarà come è stata usata l’AI? Perché l’altra domanda, se l’AI è stata usata, avrà come risposta quasi sempre sì, in un punto o nell’altro del lavoro. L’AI è stata adoperata per non pensare o per correggere i nostri pensieri? La firma non distingue le due cose, e non distingue nemmeno il vero dal falso: un testo “bollato” dal watermark non è per questo fake, un testo che non lo riporta non è di per sé vero. Chi confonde la firma con un certificato di autenticità è condannato a sbagliare le proprie valutazioni.

Il test di Turing si ribalta

Torniamo un’ultima volta in quell’aula in Texas da cui tutto è inzito. Aaronson, alla fine, ha paragonato questa partita tra firma e ricerca ad una scena di Blade Runner. Vi ricordate la scena dell’interrogatorio, Harrison Ford fa le domande a qualcuno che dice di essere un umano, lui risponde e una macchina legge le sue reazioni per decretare se si tratta di un replicante. Due macchine si confrontano: una si nasconde, l’altra cerca di smascherarla.

Ecco oggi siamo in quella stessa scena. Alla fine la cosa meno importante è chi vince, conta poco, quello che conta è però che abbiamo cominciato a costruire un mondo digitale in cui ogni contenuto lascia un’impronta, una scia che dice da dove è passato.

Nessuna di quelle impronte, però, potrà mai dirci chi ha davvero pensato quel pensiero, né se quel pensiero sia vero.

Creare una catena di provenienza dei testi

Un’ultima cosa, prima di salutarci; una pratica, più che un consiglio, per evitare di trovarsi domani additati da qualche Savonarola del cyberspazio. Se lavori con i testi, se fai contenuti, crea la tua catena di provenienza, senza aspettare che lo faccia una firma nascosta: annota dove hai raccolto le informazioni, quando le hai verificate, cosa hai scritto di tuo e cosa hai fatto solo rifinire dall’AI. La firma cucita nel testo racconta che è passato dentro un’AI; il lavoro, i pensieri, le idee della tua testa li puoi raccontare soltanto tu.

Sembra quasi che il test di Turing si ribalti: non saremo più noi a interrogare una macchina per capire se sa sembrare umana. Sarà una macchina a interrogare noi, attraverso i nostri testi, e saremo noi a dover dimostrare di essere umani. Chissà.