Depuis le 02 août 2026, Anthropic indique appliquer un filigrane imperceptible à tous les textes générés par les nouveaux modèles de son IA Claude, et ajouter des métadonnées de provenance signées aux fichiers pris en charge sur son service.

Cette évolution est présentée comme la mise en œuvre des engagements pris dans le Code de pratique européen sur la transparence des contenus générés par IA.

Le marquage des contenus générés par intelligence artificielle répond à une préoccupation légitime : permettre à chacun de comprendre lorsqu’il fait face à une production artificielle ou à un contenu substantiellement manipulé.

Mais, parce qu’il est conçu pour suivre le contenu dans ses circulations, un filigrane n’est jamais un dispositif neutre. Il faut donc s’assurer qu’il renseigne sur l’intervention de l’outil, sans devenir une signature persistante de la personne qui s’en sert.

Il ne s’agit pas en l’espèce d’une simple mention informative, mais d’une nouvelle couche technique permettant potentiellement de déduire la provenance d’un contenu en fonction de la technologie utilisée. Son intérêt est réel. Ses limites aussi. Cela intéresse particulièrement les personnes dont la sûreté dépend de la préservation de leur anonymat.

I) Sur le respect de l’article 50 de l’AI Act et la signature volontaire du Code de pratique sur la transparence des contenus :

L’article 50 (paragraphe 2) du règlement européen sur l’intelligence artificielle (AI Act) impose aux fournisseurs de systèmes d’IA générant du texte, de l’audio, de l’image ou de la vidéo de veiller à ce que leurs sorties soient marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées.

Cette obligation légale est assortie d’une exigence de réalisme : les solutions doivent être effectives, interopérables, robustes et fiables « dans la mesure où cela est techniquement possible », compte tenu notamment de la nature du contenu, des coûts de mise en œuvre et de l’état de l’art.

L’AI Act impose donc un résultat de transparence et n’impose ni une technologie unique, ni une détection parfaite, ni une traçabilité individualisée.

Le Code de pratique sur la transparence des contenus générés par IA, publié en juin 2026, n’est pas obligatoire. Son adhésion demeure volontaire. Elle est néanmoins très structurante : la Commission et le comité européen de l’IA l’ont présenté comme un instrument volontaire adéquat pour démontrer la conformité aux obligations de transparence. Les acteurs qui ne le signent pas restent libres d’employer d’autres moyens. Ils doivent alors démontrer que ces moyens satisfont effectivement l’article 50.

Anthropic indique avoir signé la section du Code de bonnes pratiques sur la transparence des contenus générés par IA applicable aux fournisseurs.

Ce Code, distinct du Code de bonnes pratiques pour les modèles d’IA à usage général, accompagne la mise en œuvre des obligations de marquage et de détectabilité prévues par l’article 50 du règlement sur l’intelligence artificielle.

Anthropic précise appliquer ce marquage dans l’ensemble des pays où Claude est proposé, et non dans la seule Union européenne. Il s’agit d’un choix de déploiement mondial allant au-delà du seul champ territorial des obligations européennes.

La situation des autres fournisseurs doit être appréciée séparément. Google dispose déjà de SynthID, une technologie de watermarking couvrant notamment les images, l’audio, la vidéo et le texte. Google indique avoir étendu le marquage de texte à l’application et à la version web de Gemini. Cela est en production depuis 2024 pour les fichiers mais aussi pour le texte sans que cela ait déclenché une levée de bouciers comparable à celle de ce jour.

Concernant OpenAI, c’est un secret de polichinelle mais cette entreprise a déjà mis au point un système de watermarking de texte depuis au moins 2024. Celui-ci n’a encore jamais été mis en production par peur de perdre des utilisateurs. Des considérations d’adoption et de risque utilisateur figuraient parmi les raisons de son non-déploiement.

Maintenant qu’Anthropic a déployé un mécanisme similaire pour son IA Claude, il est à attendre un déploiement rapide de la même chose pour ChatGPT a minima sur le territoire de l'Union Européenne.

La pression d'harmonisation industrielle pourrait désormais accélérer le déploiement de solutions comparables chez les autres grands fournisseurs

II) Sur les deux couches de watermarking désormais présentes dans Claude :

1) S’agissant du rajout de métadonnées dans les fichiers exportés:

L’article 1.1.1 du Code de pratique vise des métadonnées de provenance signées numériquement.

Anthropic annonce les attacher aux fichiers pris en charge, par exemple les fichiers SVG, PNG et JPG, selon le standard ouvert C2PA.

Ces métadonnées sont utiles : elles peuvent indiquer qu’un fichier a été généré ou traité par Claude, et leur signature rend détectable une modification ultérieure des informations de provenance.

Elles ont cependant une limite structurelle. Lorsqu’un fichier est converti, réenregistré, téléchargé sur une plateforme qui les nettoie, ou capturé à l’écran, les métadonnées peuvent disparaître.

2) S’agissant du rajout d’un filigrane imperceptible dans le texte:

C’est la nouveauté qui fera le plus parler d’elle bien que Gemini fasse pareil depuis des années.

L’article 1.1.2 du Code prévoit un filigrane imperceptible comme couche complémentaire.

Le méthode dominante concernant les watermarks courants en matière de LLM repose sur une clef secrète qui biaise statistiquement le choix des tokens.Ce mécanisme intervient dans la distribution de probabilité des tokens au moment de l'échantillonnage : il s'agit d'une modification statistique à chaque étape de génération des probabilités attribuées aux prochains tokens. Google décrit justement SynthID comme une modification des probabilités des tokens afin de créer un motif détectable.

Anthropic indique que, pour les textes produits par les modèles pris en charge, le signal est intégré directement dans le texte. Il ne s’agit nullement de caractères cachés : le watermark est inclus dans le texte lui-même.

L'output est généré d’une certaine manière à des fins de traçabilité aux fins d'en établir la provenance.

Le filigrane n’est pas visible, n’altère pas le sens ou la lisibilité d’un output, persiste en cas de copier-coller et après certaines modifications du texte.

Cette deuxième couche ne dépend pas de l’existence d’un conteneur de fichier et vise à rester présente dans le contenu lui-même.

Anthropic prévoit ce marquage au niveau des modèles concernés, et selon sa documentation partout dans le monde où Claude est proposé. Les anciens modèles font en parallèle l’objet d’un déploiement progressif.

Anthropic reconnaît qu’un texte fortement réécrit, paraphrasé, traduit, mélangé avec d’autres matériaux, ou simplement trop court, peut ne plus laisser apparaître un signal détectable.

En pratique, il est plus simple d’enlever les métadonnées d’un fichier plutôt que de savoir si un watermarking d’un texte a été retiré. Surtout si le détecteur n’est pas librement accessible.

III) Sur les limites inhérentes à cette obligation de transparence :

Un filigrane textuel n’est pas une suite de caractères secrets cachée régulièrement dans une phrase.

Les travaux de recherche reposent plutôt sur une modification statistique, à chaque étape de génération, des probabilités attribuées aux prochains tokens.

Pour une phrase banale, très courte ou très contrainte, la matière statistique est insuffisante.

Un tel watermark résiste certes au copier-coller, moins à une réécriture sémantique. Une paraphrase substantielle, une traduction aller-retour ou une intervention humaine qui modifie réellement la syntaxe et le lexique peuvent l’affaiblir ou l’effacer.

Il en résulte une certaine prudence à adopter.

La détection d’un watermark indique seulement qu’un passage d’un texte peut avoir été traité par Claude.

Elle ne démontre ni que Claude en est l’auteur initial, ni que le texte a été généré sans apport humain, ni l’identité de la personne qui l’a publié. Un courriel dont la grammaire a été corrigée, un document traduit ou un texte résumé peuvent légitimement conserver un signal, alors que les idées et une part essentielle de la rédaction sont humaines.

À l’inverse, l’absence de marque ne démontre pas qu’un texte est forcément humain à 100%. Il peut provenir d’un modèle non marqué, d’un ancien modèle, d’un modèle concurrent, d’un modèle exécuté localement, ou avoir été assez modifié pour rendre le signal indétectable.

L’absence de watermark ne garantit nullement le caractère humain d’un texte. Pourtant, c’est probablement ce que le grand public finira par croire.

IV) Sur les risques en matière de conservation de l’anonymat:

Le cabinet accompagne des personnes pour lesquelles rester anonymes n’est ni une commodité ni un jeu. Il peut s’agir de personnes exposées à des représailles professionnelles, de victimes, de lanceurs d’alerte, de militants, ou de personnes qui doivent séparer strictement leurs expressions publiques de leur identité civile.

Or l’anonymat en ligne ne repose pas uniquement sur l’absence de nom. Il dépend aussi de la difficulté pratique à relier des traces éparses : vocabulaire, manière de raconter une expérience, centres d’intérêt, horaires de publication, références biographiques, réseaux de relations et, parmi ces indices, les caractéristiques de style.

Une étude très relayée de février 2026, Large-scale online deanonymization with LLMs, montre que des agents fondés sur des modèles de langage peuvent réidentifier à grande échelle des profils pseudonymes à partir de contenus bruts disponibles en ligne.

Cette étude mentionne le style d'écriture parmi les informations susceptibles d'être extraites, mais précise également que l'approche expérimentée repose essentiellement sur ce que les gens disent, pas sur la stylométrie au sens strict.

Dans certains modèles de menace, des personnes peuvent chercher à employer un outil de reformulation comme mesure de réduction de la continuité stylistique, en choisissant précisément de ne s’exprimer sur internet qu’après avoir demandé à un modèle d’IA de reformuler leurs messages.

Cela peut sembler absurde, mais c’est bel et bien le cas. Avant les LLM, les traducteurs étaient utilisés à ce titre, ce qui a d’ailleurs aussi permis de manière accessoire la désanonymisation de personnes à leur insu. L’objectif recherché est de réduire la continuité stylistique avec leurs écrits habituels, de limiter les indices personnels et de ne pas laisser leur style rédactionnel devenir un point d’ancrage pour une recherche de correspondances.

Ce choix n’est absolument pas une garantie d’anonymat.

Un modèle peut conserver ou réintroduire des détails factuels révélateurs, l’utilisateur peut laisser échapper des informations contextuelles, et une plateforme hébergée peut relier, par ses propres journaux, les prompts, les outputs, l’adresse IP, les données de compte et les connexions.

Mais ceci peut constituer une mesure de réduction du risque, parmi d’autres, face à l’essor des techniques de désanonymisation assistées par IA.

Partons du principe que ces personnes utilisent à ce jour Claude à cet effet, bien que ce soit déconseillé et qu’il existe mieux en la matière. La nouvelle de ce jour constitue malgré tout une alerte importante pour celles-ci.

V) Sur le changement du modèle de menace face à ces nouveaux filigranes :

Il convient d’évoquer trois éléments.

Le premier, plus basique et établie : Anthropic affirme marquer les textes générés et traités par les modèles Claude concernés, et envisage de fournir des moyens de détection. Son outil de détection indiquera qu’un contenu peut avoir été traité par Claude.

Le deuxième : Anthropic collecte des inputs et outputs, des identifiants directs et indirects ainsi que des informations techniques telles que l’adresse IP, selon les paramètres et conditions applicables. Sa politique de confidentialité prévoit que certains contenus dissociés d’un identifiant peuvent être réidentifiés lorsque nécessaire pour appliquer les conditions ou politiques. Elle affirme, pour les données désidentifiées, ne pas tenter de réidentifier sauf lorsque la loi le permet.

Le troisième demeure non démontré : aucune documentation publique ne permet d’affirmer que le filigrane de Claude encode un prompt, un identifiant de compte, une session ou l’identité d’une personne. Il faut donc se garder à ce stade de présenter comme un fait l’idée qu’un texte détecté permettrait immédiatement de retrouver son prompt ou son auteur.

Le Code de bonnes pratiques sur la transparence des contenus générés par IA, qui accompagne la mise en œuvre de l’article 50 du règlement sur l’intelligence artificielle dit AI Act distingue plusieurs techniques de détection. Il prévoit notamment, au titre de mesures de marquage, des métadonnées de provenance signées et un filigrane imperceptible intégré au contenu. Ces techniques ont pour objet de permettre la détection d’un contenu comme généré ou manipulé par une IA.

Le même Code mentionne également le fingerprinting et le logging comme mécanismes complémentaires. Ces derniers reposent sur une logique différente : ils impliquent la constitution ou l’interrogation d’un ensemble de références conservées, afin de rechercher une correspondance entre un contenu soumis à vérification et des outputs précédemment enregistrés ou des empreintes préalablement constituées.

Et cette distinction est importante. L’article 50 impose que les outputs soient marqués dans un format lisible par machine et détectables comme artificiellement générés ou manipulés. Il n’impose pas, par lui-même, la conservation d’un registre d’outputs, ni la mise en place d’un mécanisme permettant de faire correspondre un contenu donné avec une base détenue par le fournisseur.

L’article 50 n’impose pas, en tant que tel, la constitution d’une base nominative permettant de retrouver l’utilisateur à partir d’un output. Mais il n’exclut pas les architectures de fingerprinting ou de logging, evoquées au considérant 133 de l'AI Act. Celles-ci doivent être distinguées juridiquement et techniquement du marquage destiné à rendre un contenu détectable.

Il ne faut nullement confondre la détectabilité d’une provenance, qui peut résulter d’un filigrane intégré au texte, et une capacité de vérification a posteriori fondée sur une base de correspondance. La seconde architecture peut soulever des enjeux supplémentaires de confidentialité, de sécurité, d’accès au détecteur, de conservation et, le cas échéant, de protection des données personnelles.

Mais cela ne clôt nullement le débat pour une personne avertie ayant un mindset « parano » à bon escient.

Les méthodes de watermarking dites multi-bits rendent techniquement possible d’encoder davantage qu’un simple signal binaire de provenance.

Cela rend pertinente la question de savoir quelles garanties empêchent qu'un futur déploiement encode des informations supplémentaires.

Rien ne prouve que cette possibilité soit utilisée par Anthropic, mais une transparence technique vérifiable est absolument nécessaire à ce sujet.

Pour les personnes dont le modèle de menace exige de ne pas associer leurs publications à un fournisseur d’IA, à un compte ou à une conversation, l’existence d’un signal persistant modifie déjà la situation.

Le filigrane peut permettre à un tiers de savoir qu’un texte a été traité par Claude. Si les modalités de détection devenaient disponibles à grande échelle, une personne utilisant Claude pour brouiller sa signature stylistique ne pourrait plus dissimuler l’usage de cet outil, même sans qu’aucun lien avec un prompt ou un compte ne soit techniquement possible.

Cela peut être problématique pour quelqu’un sous couverture.

La situation serait différente si le signal de provenance était couplé à une clé individualisée, à une table de correspondance ou à un mécanisme de fingerprinting ou de logging permettant d’interroger une base conservée par le fournisseur d'IA. Il ne s’agirait plus seulement de détecter qu’un système d’IA est intervenu sur un contenu, mais de disposer d’une capacité de vérification a posteriori appuyée sur des informations conservées. Selon ses modalités concrètes, un tel dispositif pourrait alors contribuer à la mise en place effective d'une infrastructure de traçabilité.

Alors même que l’article 50 de l’AI Act n’impose pas cela.

VI) Sur le respect de la réglementation en matière de données personnelles :

Un marquage qui indique seulement qu’un système a traité un contenu vise une finalité de transparence.

Mais marquage qui permet de relier ce contenu à un utilisateur identifié ou identifiable, directement ou par recoupement avec une base détenue par le fournisseur, ne relève plus de la seule provenance : le traitement du watermark et/ou les opérations de détection, conservation, rapprochement ou consultation peuvent constituer un traitement de données personnelles lorsque les informations concernent une personne identifiée ou identifiable.

Dans cette seconde hypothèse, dans la mesure où le RGPD s’applique, il faudrait déterminer une finalité explicite, établir la nécessité du procédé, limiter les données réellement encodées, informer les personnes de manière intelligible, protéger les clés et les tables de correspondance, encadrer les destinataires du détecteur, limiter les durées de conservation et, lorsque le risque est élevé, réaliser une analyse d’impact.

L'invisibilité du marquage ne dispense naturellement pas, lorsque le dispositif implique un traitement de données personnelles, du respect des obligations de transparence et d'information applicables.

L’AI Act impose la détectabilité d’un contenu artificiel.

Il ne dispense pas du respect du RGPD, de la minimisation des données, de la confidentialité des communications, ni de la liberté d’expression sous pseudonyme.

Le pseudonymat protège concrètement les personnes qui ne peuvent s’exprimer sans risque si chaque publication est techniquement ramenée à elles.

Il serait contradictoire de vouloir renforcer la transparence informationnelle tout en créant, de façon silencieuse, une capacité nouvelle de surveillance de la parole.

Un tel effet cobra est aussi présent dans d’autres réglementations de l’Union Européenne en matière de numérique : Chat Control 1.0, Chat Control 2.0, vérification de l’âge (cf. le projet attendu d’ici la fin de l’année relatif à l’article 28 du DSA).  

VII) Sur les garanties à exiger :

Il faut savoir raison garder.

Rendre un détecteur totalement public peut accélérer la création de contournements industriels, et aider les personnes à vérifier si elles ont réussi à enlever le watermark en modifiant un fichier et surtout en ayant modifié un texte sorti en output.

Le réserver à un nombre indéterminé d’acteurs sans contrôle peut créer un pouvoir opaque de qualification des contenus.

Le détecteur de texte sera très certainement réservé à quelques acteurs.

Google Gemini comporte un mécanisme comparable depuis un moment, nommé SynthID. Le cabinet avait spécifiquement averti à ce sujet.

Enfin, les personnes exposées doivent utiliser des options techniques réalistes nécessairement adaptées à leur modèle de menace.

Dans un modèle de menace exigeant, exécuter un modèle localement, hors ligne, sur une machine maîtrisée, évite qu’un fournisseur hébergé reçoive les prompts et outputs. Cette option ne règle pas tous les problèmes, mais élimine le lien direct avec un service cloud et est résolument la solution la plus cohérente pour certains usages sensibles.

Il est souhaitable d’éviter un service en ligne lorsqu’on recherche un tant soit peu de confidentialité.

À défaut de trop renforcer la transparence, cette réglementation aura pour effet de pousser de nombreuses personnes n’ayant pas un tel modèle de menace vers des solutions SaaS permettant de reformuler leurs outputs, voire vers des modèles open source ne comportant pas un tel mécanisme.

La protection de la vie privée sur internet n’est pas une option. C’est un droit fondamental qu’il appartient à tous de faire respecter.

Me Jérémy ROCHE
Avocat au barreau de Béziers
https://jeremyroche-avocat.fr/

Sources :

1) Commission européenne, Code de bonnes pratiques sur la transparence des contenus générés par l’IA, et Code de bonnes pratiques de l’IA à usage général.

2) Anthropic, Comment Claude marque le contenu généré par l’IA

3) Anthropic, Politique de confidentialité

4) Lermen et al., Large-scale online deanonymization with LLMs, arXiv:2602.16800

5) Xu et al., XMark: Reliable Multi-Bit Watermarking for LLM-Generated Texts, ACL 2026

6) Yoo et al., Advancing Beyond Identification: Multi-bit Watermark for Large Language Models, NAACL 2024.

Crédits photo : Unsplash - Gabriele Malaspina