Début août, Anthropic a annoncé que les textes produits par Claude porteraient bientôt une marque invisible, censée signaler qu'un contenu a été généré par son intelligence artificielle. L'entreprise a détaillé le mécanisme le 14 août. Depuis, la mesure suscite une opposition nourrie et voit déjà naître une petite industrie d'outils qui prétendent effacer le filigrane. Retour sur une course entre marquage et contournement dont l'issue paraît, pour l'instant, jouée d'avance.

Un filigrane logé dans le hasard des mots

Contrairement à un tatouage numérique classique, le filigrane de Claude ne s'ajoute pas après coup au texte. Il s'inscrit pendant la génération, dans la façon dont le modèle choisit ses mots. Quand une IA rédige, elle tire chaque mot suivant au sort parmi les candidats les plus probables. Anthropic modifie la source de ce tirage à l'aide d'une clé secrète, de sorte que la séquence produite reste statistiquement vérifiable a posteriori. Comme l'explique l'entreprise dans sa note technique, « les mots que Claude choisit restent aléatoires, mais on peut désormais vérifier si la séquence est cohérente avec les choix que Claude ferait en utilisant la clé ».

La méthode n'est pas une invention d'Anthropic. Elle reprend SynthID-Text, déployé par Google DeepMind sur Gemini et décrit dans la revue Nature en 2024, lui-même dérivé d'une proposition de l'informaticien Scott Aaronson en 2022. L'atout de ce procédé est que la marque voyage avec le texte copié-collé, là où une métadonnée disparaît au moindre changement de format. Pour les fichiers image générés (PNG, JPG, SVG), Claude n'insère d'ailleurs pas de filigrane mais attache une métadonnée signée au standard C2PA, le même que celui utilisé par certains fabricants d'appareils photo.

La contrepartie de cette approche statistique est qu'elle a besoin de volume. La détection fonctionne mal sur de courts extraits, et la confiance augmente à mesure que le passage s'allonge. Les analyses publiques situent le seuil utile autour de 200 mots, la fiabilité devenant réelle au-delà de 500. Anthropic reconnaît aussi que le marquage est plus clairsemé sur les passages factuels, comme une biographie ou une formule mathématique, presque absent sur le code, où les réponses doivent être exactes, et faible lors d'une simple relecture, faute de choix disponibles.

Pourquoi la mesure passe mal

L'annonce a été accueillie fraîchement, notamment parce qu'Anthropic l'applique mondialement, sans possibilité de désactivation. L'entreprise justifie ce déploiement global par un motif technique. Elle dit ne pas disposer encore d'un moyen fiable de restreindre la marque à une seule région. La contrainte réglementaire vient d'Europe. Le code de bonnes pratiques sur la transparence des contenus générés par l'IA, publié en juillet 2026 et signé par près de 190 entreprises, découle de l'obligation de marquage inscrite dans l'AI Act. ZapNews a détaillé ce que change vraiment cette loi européenne à partir du 2 août.

Sur X et Reddit, les critiques ont fusé, rapporte Forbes. Le grief principal porte sur l'attribution. Beaucoup d'utilisateurs se servent de Claude pour corriger, traduire ou reformuler leurs propres écrits. L'animateur radio Erick Erickson a protesté à l'idée que ses textes personnels révisés par l'IA soient désormais estampillés comme générés par une machine. Anthropic admet la faiblesse. Le filigrane ne sait pas distinguer un texte que Claude a écrit d'un texte que Claude a lourdement remanié. Trouver la marque indique seulement qu'un contenu « pourrait avoir été traité » par le modèle, prévient l'entreprise. Des développeurs redoutent aussi que la signature ajoutée dégrade la qualité de leurs programmes.

Un détail nourrit la défiance. OpenAI dispose depuis longtemps d'une technologie comparable, mais a choisi de ne pas la déployer, en invoquant le risque de faux positifs et la crainte de faire fuir ses utilisateurs.

Les outils qui effacent déjà la marque

La particularité de ce marquage, c'est sa fragilité annoncée. Puisque la signature vit dans le choix des mots, il suffit de réécrire suffisamment le texte pour la diluer. Une recherche de l'institut SRI de l'ETH Zurich a mesuré la robustesse de SynthID-Text. Une paraphrase simple, sans assistance particulière, fait échouer la détection dans plus de 90 % des cas, et l'effacement atteint 100 % lorsqu'il est combiné à une attaque préalable. L'ingénieur Sean Goedecke résume ainsi le problème structurel. Le texte est un medium très compressé, où l'on ne peut opérer une modification qu'un humain ne remarquerait pas. Passer le contenu dans un modèle de langage faible et non marqué pour lui demander de reformuler suffit à retirer le filigrane.

Sans surprise, une offre commerciale s'est engouffrée dans la brèche. Des services comme Rephrasy, Phrasly ou des sites au nom explicite de « SynthID remover » et de « Claude watermark remover » proposent déjà de nettoyer un texte de sa signature statistique, moyennant une reformulation automatisée. Aucun ne relève de la prouesse technique. Ils industrialisent la paraphrase que n'importe quel autre chatbot peut effectuer. Goedecke pointe une contradiction de fond. Le marquage repose en partie sur le secret du procédé, tandis que la régulation européenne pousse vers des méthodes publiées et interopérables, ce qui rend le secret intenable à terme.

Détecter l'IA, un problème jamais résolu

La fronde prolonge un échec plus ancien, celui de la détection de texte généré. En juillet 2023, OpenAI a fermé son propre détecteur, dont le classificateur ne repérait un contenu artificiel que dans 26 % des cas, tout en signalant à tort 9 % de textes humains. Les outils grand public font à peine mieux. Une étude de Stanford parue dans Cell Patterns a testé sept détecteurs répandus et mesuré un biais lourd contre les non-anglophones : 3,2 % de faux positifs sur des rédactions d'anglophones natifs, contre 61,3 % sur des copies rédigées par des locuteurs non natifs. GPTZero, l'un des plus connus, affiche selon plusieurs bancs d'essai un taux de faux positifs autour de 11 %, soit près d'un texte humain sur neuf classé à tort comme artificiel.

Ces chiffres expliquent la prudence d'Anthropic dans son propre discours. Le filigrane n'a jamais été présenté comme une preuve d'origine opposable, mais comme un indice probabiliste. La distinction compte, à l'heure où circulent de faux contenus difficiles à attribuer, à l'image de ce faux site d'information tenu par des bots au service du super PAC d'OpenAI.

Ce que le filigrane peut et ne peut pas prouver

L'utilité résiduelle du marquage reste réelle pour un usage précis : vérifier la provenance d'un texte long, non retouché, dont on veut confirmer qu'il sort d'un modèle donné. Un correcteur d'examens ou un employeur qui espérerait y trouver un verdict binaire se trompe d'outil, comme le rappellent les propres réserves d'Anthropic sur les faux positifs et les textes édités. La marque signale une hypothèse, pas une culpabilité.

Anthropic déploie sa mesure pour tous les utilisateurs, sans opt-out, tandis que les outils de contournement se multiplient plus vite que le marquage ne se durcit. L'entreprise n'a pas communiqué de calendrier pour renforcer la robustesse du filigrane face à la paraphrase.