Il marchio sulla parola sbagliata

Questo pezzo è stato scritto con Claude e lo dichiaro qui invece che in fondo perché è il dato da cui parte tutto il resto. Il processo è questo: ho portato uno spunto, il modello ha verificato i fatti e mi ha corretto una premessa che avevo sbagliato, l'inversione tecnica su cui l'articolo si regge è emersa da lui mentre leggeva la documentazione originale, io ho scelto quale angolatura tenere fra quelle proposte e ho riscritto il testo perché nella forma in cui mi era arrivato non lo avrei mai firmato. Chi ha letto altre cose mie riconosce dove finisce la macchina e comincia la mia mano e non è un vanto ma una differenza di ritmo che si sente.

Dal 2 agosto 2026 è applicabile l'articolo 50 dell'AI Act europeo, che obbliga i fornitori di modelli generativi a marcare in formato leggibile dalle macchine i contenuti prodotti dai loro sistemi. A luglio circa centonovanta soggetti hanno firmato il Codice di condotta sulla trasparenza dei contenuti generati da intelligenza artificiale e le sanzioni per chi non si adegua arrivano a quindici milioni di euro o al tre per cento del fatturato mondiale annuo, quale delle due cifre sia maggiore. Anthropic ha risposto il 14 agosto pubblicando una pagina che spiega come funziona il marchio nei testi di Claude e la spiegazione tecnica è più interessante della notizia che l'ha generata.

Il meccanismo non aggiunge niente al testo. Nessun carattere nascosto, nessuna metadata, niente che si possa cancellare con un copia e incolla in un editor semplice. Il modello, quando genera, sceglie una parola alla volta fra candidate possibili e in molti casi la scelta è indifferente: dopo "il tempo era freddo e" può venire grigio oppure coperto senza che il senso della frase cambi di un millimetro ed in quei punti la decisione viene affidata a un numero casuale. Il watermark si limita a cambiare la sorgente di quella casualità ed al posto di un generatore arbitrario, usa una chiave crittografica combinata con le parole precedenti. Le scelte restano imprevedibili per chi legge, ma chi possiede la chiave può verificare a posteriori se quella sequenza è compatibile con le decisioni che il modello avrebbe preso usandola. È una versione di SynthID-Text, la tecnica che Google DeepMind ha pubblicato su Nature nel 2024 e che discende da una proposta di Scott Aaronson del 2022. Anthropic la spiega con l'immagine di una partita a Monopoly in cui invece di tirare i dadi si usano le cifre decimali del pi greco a partire da un punto qualsiasi. Le mosse restano casuali per chi gioca, ma chi conosce il pi greco può ricostruire dopo che quella partita non usava i dadi. L'analogia è più elegante del solito e vale la pena tenerla a mente per altri usi.

Da qui discende la cosa che quasi nessuno sta commentando. Il marchio può vivere soltanto dove esiste una scelta indifferente ma dove la parola giusta è una sola non c'è niente da marcare. Un nome proprio, una data, una cifra, il titolo esatto di un'opera, una riga di codice che si rompe se cambi un termine. Anthropic porta l'esempio di "l'opera più famosa di Isaac Newton si intitola Principia", dove la parola successiva deve essere Mathematica e nessun'altra. Nei passaggi fattuali il segnale si dirada fino a sparire ma nei passaggi discorsivi, dove le riformulazioni possibili sono molte e tutte accettabili, il segnale si addensa. Vale anche per la correzione di bozze dove se il testo è mio e le modifiche sono poche, il marchio non ha abbastanza materia su cui attaccarsi e semplicemente non registra.

Quindi lo strumento misura la scelta lessicale, non la provenienza del pensiero. Chi si fa costruire l'impianto argomentativo da un modello, si fa verificare le fonti, si fa portare i dati e poi scrive di suo pugno, esce pulito. Chi elabora da solo una tesi originale e chiede di renderla leggibile esce marcato. Anthropic lo scrive con una chiarezza che le va riconosciuta quando spiega che il marchio non distingue "Claude ha scritto questo" da "Claude ha editato pesantemente questo". Il dibattito pubblico sul plagio assume una gerarchia morale precisa, rubare la sostanza è grave mentre farsi sistemare la forma è veniale e il primo strumento di misura ufficiale fa esattamente il contrario di quella gerarchia. Registra la forma, mentre sulla sostanza è cieco per costruzione, non per imperfezione.

A questo punto la tentazione è ovvia e devo dichiararla, perché è la prima cosa che ho pensato. La tentazione è usare questa asimmetria per costruirsi un'esenzione tipo io non sono uno di quelli che copiano ma lo uso per migliorare il lavoro, dunque il mio caso è diverso, ma trattasi di una mossa debole. Chi la fa ha già accettato che esista un tribunale e sta soltanto chiedendo di essere processato nella categoria giusta, il che concede al tribunale tutto quello che gli serve. In pratica la difesa per esenzione conferma la legittimità del criterio che si vorrebbe contestare.

La posizione difendibile è un'altra e costa di più. In un testo analitico l'autorialità non sta nelle parole, sta in cosa si decide di affermare, in cosa si accetta di sbagliare in pubblico, in cosa si rifiuta di pubblicare quando i fatti non reggono. Il watermark non misura niente di tutto questo, e non perché sia fatto male ma  proprio non può farlo, tecnicamente, per lo stesso motivo per cui non può marcare una data.

Resta il problema vero, che non è la stigmate ma la sua distribuzione. Anthropic dichiara che una riscrittura completa, dove ogni parola viene sostituita, elimina il marchio, mentre l'editing leggero probabilmente no. Significa che il vincolo è gratuito da aggirare per chi conosce il meccanismo e integralmente subito da chi non lo conosce. Una regola con questa proprietà non modifica il comportamento, separa le popolazioni per cui chi ha letto la documentazione tecnica continua esattamente come prima, chi non l'ha letta paga tutto il conto. La cosa somiglia a quello che è successo alla musica campionata dopo la sentenza Grand Upright contro Warner del 1991, quando il giudice Kevin Duffy aprì la decisione citando il settimo comandamento. Nessuno vietò il campionamento. Diventò semplicemente un'attività che richiedeva un ufficio legale e un metodo compositivo che era stato accessibile a chiunque avesse un campionatore restò in mano a chi poteva permettersi di autorizzare ogni frammento. La regola non fu applicata a tutti allo stesso modo, fu applicata a chi non aveva la struttura per aggirarla.

C'è anche un dettaglio di calendario che merita attenzione. Il marchio riguarda i modelli usciti dal 2 agosto in avanti, mentre per quelli precedenti l'AI Act prevede un periodo transitorio e l'adeguamento arriverà nei prossimi mesi. Per un intervallo di tempo non chiarito coesistono quindi testi marcati e testi identici non marcati, prodotti dallo stesso fornitore con lo stesso metodo. Chiunque userà l'assenza di marchio come prova di qualcosa starà dicendo una sciocchezza, e lo dirà comunque.

L'API di verifica non è ancora disponibile. Quando arriverà, la prima accusa pubblica costruita su un watermark dirà molto più di qualsiasi analisi: se colpirà qualcuno che ha copiato un testo intero, il sistema funziona come dichiarato. Se colpirà qualcuno che ha fatto riscrivere un paragrafo suo, sappiamo cosa abbiamo costruito, e sappiamo che continuerà a funzionare così.