Watermark Claude: come funziona e cosa cambia per chi pubblica

Da metà agosto 2026 Anthropic marca il testo che Claude produce, e in Italia la notizia è diventata nel giro di poche ore la solita ondata di panico: i contenuti scritti con l’AI adesso sono riconoscibili, Google li beccherà, il sito verrà declassato, bisogna dichiarare tutto. Se pubblichi contenuti prodotti anche con l’AI, la domanda pratica è una sola: devo cambiare qualcosa, e cosa.

La risposta breve è che il watermark esiste, è serio ed è permanente, ma marca una cosa diversa da quella che quasi tutti credono, non è visibile a nessuno tranne ad Anthropic, esclude in gran parte il codice, e per la maggior parte di chi pubblica in Italia non cambia praticamente niente. La parte che quasi nessuno racconta arriva dopo: come strumento di prova è molto più fragile di come viene venduto, e alla fine dell’articolo spiego dove si rompe.

🛠️ Come funziona: il watermark sta nella scelta delle parole

Il punto tecnico che spiega tutto il resto sta in una riga secca: “Nothing is added to the text and there are no hidden characters”, scrive Anthropic nell’annuncio del 14 agosto. Niente viene aggiunto al testo, non ci sono caratteri nascosti.

Il meccanismo è quello che in letteratura si chiama watermark statistico. L’idea è di Scott Aaronson, che la propose nel 2022 mentre lavorava in OpenAI; la famiglia di tecniche l’hanno resa pubblica Kirchenbauer e colleghi; la versione pratica è l’approccio SynthID-Text di DeepMind, ed è quella che Anthropic dichiara di aver adottato. Semplificando: mentre genera, il modello a ogni passo ha una lista di parole plausibili tra cui scegliere, e quando sono sostanzialmente equivalenti la scelta la chiude un numero casuale. Il watermark sostituisce quel caso con una funzione che dipende da due cose, la chiave segreta e le poche parole immediatamente precedenti. Ripetuto per migliaia di token, il risultato è una distribuzione di scelte che a un lettore umano sembra normalissima, ma che chi possiede la chiave riconosce come non casuale.

Due dettagli di questa riga pesano più di quanto sembri, e tornano in fondo all’articolo. Il primo: il marchio non sta in una parola, sta nella relazione fra una parola e quelle che la precedono. Il secondo: il marchio esiste solo dove una scelta c’era davvero. Dove l’output è obbligato, Anthropic scrive che il watermark non viene proprio applicato.

Da qui discendono quattro conseguenze pratiche, tutte importanti:

• Non si vede e non si toglie con una pulizia. Non ci sono caratteri Unicode strani da cercare, non c’è un blocco di metadati da strippare, incollare in un editor di testo puro non serve a niente. Il segnale è il testo stesso.
• Sopravvive al copia-incolla e regge le modifiche leggere. Il copia-incolla non lo scalfisce, perché il segnale è il testo stesso. Le modifiche invece non lo spengono di colpo: lo consumano. Più riscrivi, più il segnale scende verso la soglia, e la documentazione di Anthropic elenca i casi in cui non si rileva più: testo molto editato, parafrasato, tradotto o mescolato ad altra scrittura.
• Cede alla riscrittura completa, e sui testi brevi il segnale è debole per costruzione. Servono abbastanza token perché la statistica emerga: su un titolo o una didascalia non c’è niente da misurare.
• Vale quanto lo spazio di scelta che trova. Un testo dove le parole possibili sono tante prende molto marchio; uno dove sono poche, o una sola, ne prende poco o niente. È il punto che spiega insieme la posizione del codice e i limiti di cui parlo alla fine.

⚠️ La bufala dei caratteri invisibili, e da dove nasce

La narrativa più diffusa in questi giorni dice che Claude infili caratteri invisibili nel testo, e che basti un tool di pulizia Unicode per sterilizzare tutto. È falsa, e Anthropic lo scrive nero su bianco nella riga citata sopra.

L’equivoco però ha un’origine reale, e vale la pena raccontarla perché spiega la confusione. Nei mesi scorsi il system prompt di Claude Code conteneva un esperimento di marcatura basato su omoglifi: caratteri visivamente identici ma con codepoint Unicode diverso, inseriti nell’output come traccia. Quello sì che era un marchio nei caratteri, quello sì che si toglieva con una normalizzazione. Ed è stato rimosso a inizio luglio 2026, settimane prima dell’annuncio del watermark vero.

Chi oggi spiega il watermark statistico con gli screenshot dell’esperimento omoglifi sta descrivendo una cosa morta, e sta dando ai lettori un consiglio operativo inutile. Se ti hanno venduto un pulitore anti-watermark, ti hanno venduto aria.

Non esiste un carattere da togliere. Il marchio non sta dentro il testo: il marchio è il modo in cui il testo è stato scelto, parola dopo parola.

Cosa è coperto: praticamente tutto, senza opt-out

Il perimetro dichiarato è ampio e conviene conoscerlo con precisione, perché zone franche non ce ne sono:

• Quali modelli: tutti quelli lanciati a partire dal 2 agosto 2026 marcano dal day one. Per i modelli usciti prima di quella data la documentazione di Anthropic dice che il supporto alla marcatura è in arrivo nei prossimi mesi, quindi non è un’esclusione permanente.
• Quali prodotti: tutti. API, claude.ai, Claude Code e i deployment sui cloud partner.
• Dove: worldwide. La spinta normativa è europea, la misura no: è globale, quindi non serve chiedersi se il proprio traffico sia UE.
• Chi può disattivarlo: nessuno. Niente opt-out, niente tier a pagamento esente, niente flag API.

La motivazione dichiarata è l’adempimento all’articolo 50 dell’AI Act europeo, che al comma 2 impone ai fornitori di sistemi di AI generativa di marcare gli output in formato leggibile dalle macchine e rilevabile come generato artificialmente. È un obbligo che cade sul fornitore del modello, cioè su Anthropic, non su di te che usi lo strumento. Tienilo a mente, perché è il punto dove il panico nasce più spesso.

✅ Il codice è in gran parte fuori

Questa parte, nei riassunti che ho letto in giro, non c’è quasi mai. Per chi sviluppa è la più rilevante.

La regola dichiarata da Anthropic non ragiona per categorie, ragiona per margine di scelta: “Where an exact output is required […] the watermark isn’t applied”. Dove l’output deve essere esatto, perché una parola diversa renderebbe la frase fattualmente falsa o romperebbe il codice, il marchio non viene applicato. Da qui la formulazione dell’annuncio, che è precisa e vale la pena leggere per quello che dice: il codice, che in moltissimi casi deve essere esatto, “has generally less watermarking than some other forms of text”.

Il motivo tecnico è ovvio a chiunque abbia scritto una riga di software: alterare la scelta dei token in un sorgente significa cambiare nomi di variabili, sintassi, valori. Un watermark statistico sul codice o lo rompe o non funziona. La lettura giusta, però, non è “il codice è esente per decreto”: è che il codice quasi sempre ricade nel caso in cui non c’è niente da marcare. In pratica si finisce nello stesso posto, ma così si capisce anche il resto, perché la stessa riga vale per qualunque testo a scelta obbligata.

E c’è un secondo livello, normativo. Le linee guida della Commissione europea del 20 luglio 2026 sull’attuazione dell’articolo 50 escludono esplicitamente il source code dall’ambito del comma 2. Quindi non solo Anthropic tecnicamente non lo marca: non è nemmeno tenuta a farlo.

Per chi lavora come me con Claude Code tutto il giorno la traduzione pratica è semplice. Il codice che esce dall’agente non porta marchio. Porta marchio la prosa che gli chiedi attorno al codice: README, documentazione, commenti discorsivi lunghi, messaggi di commit articolati, changelog, la pagina di presentazione del progetto. Se ti interessa sapere dove finisce il marchio nel tuo repository, la risposta è: nei file .md, non nei file .ts.

⚠️ Oggi nessuno può verificare i tuoi testi

Questo è il punto che sgonfia metà delle preoccupazioni che ho letto. Il watermark si rileva solo con la chiave, e la chiave ce l’ha Anthropic. Non esiste, ad oggi, nessun detector pubblico che permetta a un cliente, a un concorrente, a un editore o a Google di prendere un tuo testo e sapere se è passato da Claude.

Anthropic ha annunciato una API di detection, non ancora disponibile a tutti. E la scadenza è già scritta: entro il 2 febbraio 2027 le regole di trasparenza dell’articolo 50 chiedono ai fornitori meccanismi di rilevamento interoperabili, con accesso in linea di principio gratuito e garantito a regolatori, media, fact-checker e ricercatori. Lo scenario quindi cambierà, con una data, ma non è lo scenario di oggi: chi in questi giorni scrive che “adesso si vede tutto” sta raccontando un futuro prossimo come se fosse presente.

Aggiungo la nota scomoda per gli entusiasti del rilevamento: anche quando gli strumenti arriveranno, la rilevabilità si dissolve con una riscrittura completa, che con un secondo modello costa pochi centesimi a testo. Un sistema di marcatura onesto serve a dare tracciabilità ai flussi normali, non a fare polizia su chi è determinato a evaderlo.

⚠️ Il marchio dice “processato”, non “scritto”

C’è un dettaglio che taglia in due direzioni e che quasi nessuno sta raccontando. Il watermark viene applicato a quello che il modello genera, e il modello genera anche quando non sta inventando niente.

Gli fai tradurre un tuo articolo dall’italiano all’inglese: la traduzione esce marcata, e marcata piena, perché ogni parola inglese l’ha scelta il modello. Eppure il pensiero, la struttura e ogni decisione editoriale sono tue. Il marchio lì risponde a una domanda che nessuno stava facendo: non chi ha pensato quel testo, ma chi ha battuto i tasti dell’ultima versione.

Sulla correzione il discorso cambia, e conviene essere precisi perché è il caso più comune di tutti. Se dai a Claude mille parole tue e gli chiedi di sistemare congiuntivi e virgole, il testo passa dal marcatore, ma le parole che il modello sceglie davvero sono poche, sparse e immerse in un contesto che è tuo: il segnale che ne esce può restare sotto la soglia. Marcato e rilevabile non sono la stessa cosa, e la differenza sta in quante scelte ha fatto il modello, non in quanti caratteri ha restituito.

In un mondo con detector diffusi questo significa due cose opposte. Da un lato il marchio non prova che un testo sia stato scritto dall’AI: prova che l’AI l’ha toccato, che è un’affermazione molto più debole e che difende chi usa l’AI come strumento di revisione. Dall’altro lato significa che anche un lavoro tuo, sostanzialmente umano, può risultare marcato: dipende da quanto il modello ha riscritto, e più gli lasci mano libera più il segnale sale. Chi vorrà usare la detection come prova di paternità si troverà in mano uno strumento che non risponde alla domanda che sta facendo.

✅ Devi dichiarare i tuoi contenuti? Quasi sempre no

Qui sta l’angolo che in Italia non ho visto scritto da nessuno, e che vale più di tutto il resto per una PMI o un freelance.

L’obbligo di trasparenza che riguarda chi pubblica, e non chi fornisce il modello, sta nell’articolo 50 comma 4 dell’AI Act: il testo normativo lo mette in capo a chi diffonde testo generato o manipolato con l’AI e pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico.

Due filtri, quindi, e vanno letti insieme. Il primo: la norma parla di questioni di interesse pubblico, cioè l’area dell’informazione, non la scheda prodotto del tuo e-commerce né la pagina servizi del tuo studio. Il secondo, ed è quello decisivo: la stessa disposizione esenta i casi in cui il contenuto è stato sottoposto a revisione umana o a controllo editoriale, con una persona fisica o giuridica che si assume la responsabilità editoriale di quel contenuto.

Traduzione operativa per la stragrande maggioranza delle aziende italiane: se un contenuto prodotto anche con l’AI viene riletto, corretto e approvato da qualcuno che se ne assume la responsabilità prima della pubblicazione, secondo il testo della norma l’etichetta non è richiesta. Non è una scappatoia: è esattamente il processo che dovresti avere comunque, ed è quello che descrivo da mesi quando spiego come si lavora sui contenuti che l’AI cita. La revisione umana non è un adempimento burocratico in più: è la cosa che rende buono il contenuto.

Una riga di cautela, però, perché qui si parla di norme e non di configurazioni: né la qualificazione di un contenuto come “questione di interesse pubblico” né la sufficienza della revisione fatta le decide chi pubblica. Sono valutazioni che in un caso limite fa qualcun altro, e per un caso limite serve un parere legale, non un articolo di blog.

Resta il buon senso: se pubblichi contenuti su temi sensibili senza guardarli, il problema non è il watermark, è che stai pubblicando roba che non hai letto.

✅ Google non penalizza i contenuti AI, né prima né adesso

Il filo che tiene insieme tutto il pezzo è questo, e vale la pena ripeterlo perché è la domanda vera dietro il panico: Google non penalizza i contenuti AI. Devono solo essere fatti bene e per gli utenti.

Il watermark non entra nel ranking, per un motivo prima di tutto meccanico: Google non ha la chiave di Anthropic, quindi nemmeno potrebbe leggerlo. Ma il punto non è la mancanza dello strumento, è la posizione, che non è cambiata: quello che le policy colpiscono è la produzione in scala di contenuti senza valore, con qualunque mezzo sia stata fatta.

I dati vanno nella stessa direzione. Nell’analisi pubblicata da Ahrefs il 14 agosto c’è una ricerca interna su 150.000 pagine che rankano in alto: solo il 5,3% risulta interamente generato dall’AI, e il divario di indicizzazione fra pagine ad alta quota AI e pagine a bassa quota AI è di appena 9 punti percentuali. Non è lo scenario di un motore che caccia i contenuti assistiti dall’AI: è lo scenario di un motore a cui interessa altro.

Su quanti contenuti AI ci siano davvero in giro, sul dato dell’86,5% e sul perché la correlazione fra quota AI e posizionamento sia sostanzialmente zero, ho messo insieme numeri e policy nel pezzo su cos’è l’AI slop e cosa fa davvero Google. Su come si costruisce quell’altro che al motore interessa, in termini tecnici verificabili, ho scritto quando ho passato in rassegna cosa muove e cosa non muove i dati strutturati.

🛠️ I file generati sono un’altra cosa: C2PA

Un chiarimento veloce per evitare l’ennesima confusione. I file che Claude genera (.svg, .png, .jpg, quindi anche quelli che escono da Claude Code) portano metadati C2PA firmati, uno standard di provenienza che viaggia dentro il file. Non riguarda le immagini dei sistemi AI in generale: riguarda i file prodotti da Claude.

Il contrasto sta tutto in una riga: i metadati C2PA sono leggibili pubblicamente da chiunque abbia uno strumento compatibile ma sono fragili, spariscono a uno screenshot o a un re-save; il watermark statistico del testo è l’opposto, illeggibile senza chiave ma resistente.

⚠️ Quello che il watermark non risolve

Fin qui la parte che sgonfia il panico. Ce n’è un’altra, meno raccontata, che sgonfia anche l’entusiasmo: questa marcatura è forte proprio dove conta poco, ed è debole dove conterebbe molto. In italiano la lettura critica più lucida che ho trovato è quella di Matteo Flora nella puntata di Ciao Internet dedicata al watermark; quello che segue è la parte che regge alla verifica contro le fonti primarie, più quello che ne discende per chi pubblica.

Si dissolve dove l’attribuzione conterebbe di più. Il marchio vive nello spazio fra parole equivalenti, quindi la sua forza dipende da quanto quello spazio è largo. Su una definizione giuridica, su un dato di bilancio, su una risposta fattuale secca, su una riga di codice, le parole ammesse sono poche o una sola: non c’è margine per marcare senza rompere il senso, e infatti Anthropic dichiara che lì non marca. Il paradosso sta tutto qui: i testi in cui sapere chi ha scritto cosa pesa davvero, cioè quelli tecnici, normativi e fattuali, sono i meno marcabili di tutti. Il tema dello studente si rileva bene; la perizia molto meno.

Il testo a strati è terra di nessuno. Un paragrafo tuo, una conclusione chiesta a Claude, un tuo commento in fondo: è il modo in cui si lavora davvero. Ma ogni scelta dipende dalle poche parole che la precedono, e sui confini fra il tuo pezzo e il suo quella catena si spezza. Il rilevatore trova un segnale debole, e se scatta o no dipende da una soglia che nessuno ha pubblicato: non sai a partire da quante parole passi da pulito a sospetto.

Un cerca-e-sostituisci lo azzera. È il buco che si è posto Aaronson stesso quando ha proposto lo schema, ed è documentato in letteratura come find-and-replace attack: si chiede al modello di infilare una parola fissa fra una parola e l’altra, poi la si toglie tutta in un colpo con un cerca-e-sostituisci. Le parole tornano al loro posto, ma il contesto che serve a ricalcolare il marchio non c’è più, e il marchio cade. Funziona contro tutti gli schemi che, come questo, guardano più di una parola alla volta. Non è una tecnica da esperti: ci arriva un quindicenne in un pomeriggio. Più che un consiglio operativo, è una misura di quanto regga come prova.

Mancano i due numeri che distinguono un indizio da una prova. Non è pubblico il tasso di falsi positivi, cioè quanto spesso un testo scritto da un umano viene marchiato come AI, e non è pubblica la soglia minima di detection, cioè quante parole servono perché il verdetto tenga. Senza quei due numeri un esito positivo non è verificabile da nessuno, e i detector euristici degli ultimi anni ci hanno già mostrato dove finisce questa strada: testi scritti decenni prima dei modelli dichiarati generati dall’AI.

Il notaio è chi ti vende il modello. La chiave è di Anthropic, l’API di detection la gestirà Anthropic, la soglia la decide Anthropic. Chi fornisce lo strumento è anche l’unico che può certificare cosa ne è uscito, caso per caso, senza che l’esito sia riesaminabile da terzi. Le regole europee spingono verso meccanismi interoperabili entro il 2 febbraio 2027, ma finché quel passaggio non avviene la verifica resta un servizio privato di una parte interessata.

E l’assenza del marchio non dimostra niente. Vale anche al contrario, ed è la metà che nel dibattito sparisce sempre: un testo senza marchio può essere umano, oppure scritto con un altro modello, oppure scritto da Claude e poi riscritto. Un risultato negativo non assolve nessuno, esattamente come uno positivo non condanna.

Niente di tutto questo lo rende inutile. Sul bersaglio dichiarato, cioè la produzione industriale di testo senza nessuno dietro, i siti sfornati a migliaia, le campagne di disinformazione, il compito copiato e incollato senza nemmeno aprirlo, un segnale anche imperfetto è meglio del buio totale in cui eravamo fino a ieri. Il problema nasce quando quel segnale viene presentato come una perizia.

Quindi, se un domani qualcuno ti dice che un tuo testo “risulta AI”, le domande da fare sono tre: qual è il tasso di falsi positivi, con quale soglia è stato calcolato quell’esito, e chi ha potuto controllare la chiave oltre a chi te lo sta dicendo. Senza risposte a queste tre non è una prova, è un sospetto vestito da prova.

✅ Cosa devi fare davvero: la lista corta

La parte operativa è volutamente breve:

1. Non spendere tempo a rimuovere il watermark. Con la pulizia dei caratteri non si toglie, perché caratteri da togliere non ce ne sono; e i modi che funzionano davvero costano qualità al testo per neutralizzare una cosa che oggi non legge nessuno.
2. Non cambiare strumento per paura. La marcatura è uno standard in arrivo su tutta la categoria, non uno svantaggio competitivo di Claude.
3. Metti per iscritto il tuo processo di revisione. Chi rilegge, cosa controlla, chi approva. È la condizione dell’esenzione dell’articolo 50 comma 4, ed è anche l’unica difesa reale sulla qualità.
4. Dichiara quando sei nell’informazione. Se pubblichi su temi di interesse pubblico senza revisione editoriale, l’etichetta ci vuole.
5. Non usare la detection come prova. Né per accusare un collaboratore, né per difenderti: il marchio dice “processato”, non “scritto”.

Il resto è il lavoro di sempre: contenuti che rispondono a una domanda vera, con dati verificabili e una persona dietro che ci mette la faccia. Se vuoi capire come il tuo sito viene letto e citato dai motori generativi, e cosa cambiare nei contenuti perché funzioni, è il tipo di lavoro che faccio nell’ottimizzazione GEO. Raccontami il tuo caso da uno dei canali qui sotto.