24 Ago Il watermark rivela un testo scritto dall’AI: è una prova o solo un indizio?

Tempo di lettura stimato: 10 minuti

Il watermark previsto dall’articolo 50 dell’AI Act non è una prova di paternità artificiale. È un segnale statistico di probabilità, che può comparire anche su testi scritti da una persona e solo corretti dall’intelligenza artificiale. Da solo, senza una verifica umana documentata, non regge come prova in un contenzioso o in una contestazione disciplinare.

Il paragrafo 2 dell’art. 50 dell’AI Act impone ai fornitori di sistemi di IA generativa di marcare tecnicamente gli output, in un formato leggibile meccanicamente. Le soluzioni devono essere «efficaci, interoperabili, robuste e affidabili», per quanto tecnicamente fattibile.

Sono previste delle eccezioni per le funzioni assistive di editing standard, per i contenuti non alterati in modo sostanziale e per gli usi autorizzati di contrasto ai reati.

L’obbligo è pienamente applicabile dal 2 agosto 2026, per i sistemi immessi sul mercato dopo tale data. Per i sistemi già presenti nello Spazio Economico Europeo prima dell’agosto 2026, invece, la scadenza è stata prorogata al 2 dicembre 2026. A prorogarla è stato il Regolamento (UE) 2026/1744, il cosiddetto Digital Omnibus, in vigore dal 27 luglio 2026.

Il paragrafo 4 impone invece a chi diffonde professionalmente testi generati o manipolati dall’AI, su materie di pubblico interesse, di renderne riconoscibile la natura artificiale. Fa eccezione il caso in cui il contenuto sia stato sottoposto a un’effettiva revisione editoriale umana, con assunzione di responsabilità da parte di una persona fisica o giuridica identificabile.

Quest’obbligo, a differenza di quello tecnico in capo ai fornitori non ha subito proroghe ed è in vigore dal 2 agosto 2026.

Le sanzioni per la violazione degli obblighi di trasparenza arrivano fino a 15 milioni di euro, oppure al 3% del fatturato mondiale dell’esercizio precedente. Si applica il valore più alto tra i due.

Dal 2 agosto Anthropic ha già iniziato a marcare i contenuti testuali processati con i propri modelli di intelligenza artificiale.

Non si tratta, però, di una scelta isolata di Anthropic: Google, per esempio, ha introdotto un watermark testuale (SynthID-Text) su Gemini già nell’ottobre 2024, quasi due anni prima.

OpenAI, invece, non ha confermato pubblicamente un’analoga funzione per ChatGPT. Un’inchiesta del Wall Street Journal ha però rivelato che l’azienda aveva sviluppato internamente un rilevatore ad alta accuratezza, tenuto inutilizzato per oltre due anni.

Scendendo ad uno scenario concreto, d’ora innanzi, pertanto, non sarà più inconsueto trovare un responsabile delle risorse umane che, nelle proprie attività di controllo, sottopone la perizia di un consulente esterno a diversi detector di IA.  Con il risultato che il testo potrebbe risultare «generato con intelligenza artificiale» in percentuale elevata.

Viene da chiedersi se un consulente esterno sia pronto ad affrontare una domanda del genere, quando il committente gliela porrà al momento di saldare la parcella.

A parere di chi scrive non sarà un caso isolato, finché non sarà compreso il reale valore di questa etichettatura imposta dall’AI Act.

Il rischio che si diffonda una sorta di caccia alle streghe non è così peregrino. Sul watermarking dei testi generati con l’intelligenza artificiale, infatti, oggi, quasi nessuno — professionisti compresi — sa con precisione a cosa si va incontro. Non è chiaro cosa preveda la legge, né quanto sia affidabile la tecnologia chiamata ad applicarla. Resta incerto anche cosa fare quando la domanda arriva da un cliente, da un giudice o da un dipendente.

Indice dei contenuti

• Cos’è davvero il watermark previsto dall’AI Act
• Perché il contrassegno è così fragile
• Cosa insegnano i primi casi giudiziari
• Che cosa cambia nel lavoro quotidiano di uno studio o di un’impresa
• Cosa fare adesso
• Le fonti
• Domande frequenti
• In sintesi

Cos’è davvero il watermark previsto dall’AI Act

Innanzitutto non garantisce che il testo sia stato generato integralmente dall’intelligenza artificiale. Più propriamente si tratta di un segnale statistico che indica una probabilità, non una certezza. Si applica infatti anche quando l’intelligenza artificiale non ha scritto una sola parola del contenuto originale, ma si è limitata a correggerlo o tradurlo.

Su immagini, audio e video il watermarking si aggancia a informazioni che l’occhio o l’orecchio umano non riescono a cogliere. È un margine di «rumore» del file, in cui nascondere il segnale.

Diversamente il testo in prosa libera non detiene questo margine. Per marcarlo, il modello linguistico deve alterare leggermente la scelta delle singole parole, nel momento stesso in cui genera il testo. La orienta verso un sottoinsieme di vocaboli, determinato da una chiave crittografica nota solo al fornitore.

In tale ottica il segnale non si aggiunge al testo: è già dentro la scelta delle parole, e per questo è più fragile che su un file multimediale.

Anthropic stessa ammette, nella propria documentazione, che il contrassegno può comparire anche su testo scritto interamente da una persona. Basta che sia stato corretto, tradotto o riassunto da Claude — non serve che sia generato ex novo.

Detto questo, che il testo sia marcato o no, il lettore non sembra averne la minima percezione così come dimostrato in un test pubblico condotto nell’agosto 2026.

Messi davanti a dei testi, alcuni contrassegnati con la tecnica SynthID-Text di Google, i lettori dovevano indovinare quale contenuto fosse generato con l’intelligenza artificiale. Ci sono riusciti solo 3,4 su 10 — una percentuale sostanzialmente identica al 3,33 atteso dalla pura scelta casuale.

Si è concluso, pertanto, dal nostro punto di vista anche un po’ superficialmente, che il bollino non degrada la qualità del testo.

Tornando allo scenario proposto nell’incipit di questo articolo: un professionista scrive autonomamente un documento e lo fa solo rileggere da un assistente conversazionale. Può comunque ritrovarsi un contrassegno che, letto senza contesto e con una buona dose di ignoranza della materia, ne attribuisce la paternità a un’intelligenza artificiale.

A rendere la questione tutt’altro che risolta vi è inoltre un fatto. Alla data in cui questo articolo viene pubblicato, non è ancora disponibile né un rilevatore pubblico, né un dato di accuratezza, né una procedura per contestare un risultato. Si crea così un’ingiustificabile asimmetria di conoscenza, tra uno degli attori della Silicon Valley e il resto delle persone comuni.

Perché il contrassegno è così fragile

La fragilità è strutturale, lo documentano più gruppi di ricerca indipendenti con esperimenti concreti, non con obiezioni teoriche.

Un gruppo di ricerca dell’ETH di Zurigo (SRI Lab) lo ha dimostrato alla conferenza ICML 2024. Un attaccante con accesso soltanto pubblico all’API di un modello marcato può ricreare un’approssimazione della chiave segreta usata per il watermark, con un budget inferiore ai 50 dollari in query.

Grazie a questa chiave è possibile generare a piacimento testi e farli rilevare come opera del modello. È un attacco di «spoofing», riuscito in oltre l’80% dei casi verificati — compreso un caso simulato in cui si è fatto “passare” un falso allarme sanitario nazionale.

Allo stesso modo, la chiave ricostruita indebitamente consente anche di ripulire un testo davvero generato dal modello. Porta il tasso di successo della rimozione del watermark dall’1% a oltre l’80% su testi lunghi, contro un massimo del 25% ottenibile prima con le tecniche già conosciute.

Nel 2025 è stato inoltre presentato, alla conferenza ICML, un nuovo attacco: il Self-Information Rewrite Attack, o SIRA. È in grado di individuare le parole a più alto contenuto di segnale in un testo e di riscriverle selettivamente, eliminando la maggior parte del watermark senza alterarne il significato. I suoi stessi autori descrivono il costo computazionale dell’operazione come marginale.

Questo non significa che il watermark sia inutile.

Anche recentemente sono stati esaminati i paper distribuiti per la revisione tra pari all’International Conference on Machine Learning. Sono stati individuati 506 revisori che avevano violato la policy contro l’uso dell’AI. È la prova che il contrassegno funziona bene contro l’uso incauto e il copia-incolla, mentre resta aggirabile da chiunque sappia cosa sta facendo.

Va da sé che per i modelli open-weight la fragilità sia ancora strutturalmente più marcata. Si è osservato, infatti, come l’obbligo del contrassegno rischi di «amplify the appeal of open weight models and alienate Claude customers». Il rischio, cioè, è di spingere proprio chi vuole evitare la tracciabilità verso gli strumenti meno regolabili.

Cosa insegnano i primi casi giudiziari

Il rischio di contenzioso legato alla fragilità del watermark non è affatto teorico.

Un particolare filone che si va già profilando negli Stati Uniti è rappresentato dalla casistica dei falsi positivi.

La base scientifica di questi casi poggia in gran parte su un unico studio pubblicato dall’Università di Stanford (Liang, Yuksekgonul, Mao, Wu e Zou), sulla rivista Patterns.

Le evidenze dimostrano che i sette rilevatori commerciali, testati su 91 elaborati TOEFL scritti da persone non madrelingua inglese, hanno restituito un tasso medio di falsi positivi del 61,3%. Oltre il 91% degli elaborati è stato segnalato come AI da almeno un rilevatore. Sugli elaborati di madrelingua statunitensi, invece, il tasso è risultato prossimo allo zero.

Tra i molteplici contenziosi radicati si segnala il caso Newby v. Adelphi University, deciso nel gennaio 2026 dalla Corte Suprema dello Stato di New York. Uno studente iscritto a un programma di tutoraggio per persone nello spettro autistico si era visto annullare un esame e minacciare l’espulsione. Il suo saggio, infatti, era stato segnalato dal detector Turnitin come «100% generato da AI». Per contro, due diversi strumenti — GPTZero e Grammarly — lo classificavano al 100% come redatto da un umano. Il giudice ha annullato il provvedimento disciplinare, definendolo «privo di valido fondamento e privo di ragione». Ha inoltre ordinato la cancellazione della sanzione dal fascicolo dello studente.

Un punteggio algoritmico, da solo, regge sempre meno come prova di un fatto — e chi lo tratta come tale si espone a conseguenze legali.

Resta, infine, un nodo legato alla mancata pubblicazione, da parte di Anthropic, dello schema crittografico usato per generare il contrassegno. L’API di verifica annunciata, infatti, restituirà solo un esito, non il metodo. In assenza di un dettaglio verificabile da terzi, un falso positivo contestato in giudizio pone la stessa domanda già affrontata in altri ambiti probatori legati a strumenti proprietari. Nel 2008, per esempio, la Corte Suprema del New Jersey, nel caso State v. Chun, ordinò al produttore dell’etilometro Alcotest di trasmettere il codice sorgente a un perito indipendente, sotto vincolo di riservatezza. Gli stessi strumenti esistono anche nel nostro ordinamento: ordine di esibizione, consulenza tecnica, misure di riservatezza previste dalla direttiva sui segreti commerciali (UE) 2016/943.

Che cosa cambia nel lavoro quotidiano di uno studio o di un’impresa

Il rischio concreto raramente è la sanzione amministrativa diretta.

È, invece, più probabile che un terzo consideri un contrassegno, o un punteggio di un detector, come prova di qualcosa che la fonte stessa esclude di poter provare. Può trattarsi di un cliente, un giudice, un revisore interno o un datore di lavoro.

Infatti email, contratti, relazioni tecniche e perizie possono contenere il segnale anche se sono stati soltanto rivisti, tradotti o riassunti con uno strumento di AI. Non serve che siano stati scritti da esso.

La tutela pratica, oggi, non è tecnologica: è contrattuale e organizzativa, perché nessuna delle due parti — fornitore o utilizzatore — può assicurarne una migliore.

Pertanto è opportuno definire per iscritto, con i fornitori di strumenti di intelligenza artificiale, chi risponde di un output erroneamente marcato o smarcato. Va chiarito anche l’obbligo di informare sulla logica del sistema di watermarking o di detection, e il divieto di modificare unilateralmente le specifiche senza preavviso.

Nel rapporto con i propri clienti, va ricordato che i professionisti devono rendere l’informativa scritta sull’uso dell’AI ai sensi dell’articolo 13 della legge 132/2025.

In ogni caso, per qualsiasi attività professionale o imprenditoriale, è buona norma chiarire il carattere ausiliario dello strumento. La revisione, la verifica delle fonti e la decisione finale restano umane.

All’interno dell’organizzazione va certamente adottata una policy scritta su chi può usare quali strumenti, su quali tipi di documento, con quale supervisione.

Un’ultima cautela: nessuna clausola può promettere «assenza di ogni watermark» o «indetectabilità» di un contenuto. Sarebbe una promessa tecnicamente infondata, alla luce di quanto esaminato anche in questo articolo, e una clausola scritta in questi termini si ritorcerebbe contro chi l’ha sottoscritta.

Cosa fare adesso

1. Censire in quali attività viene utilizzata l’intelligenza artificiale — email, contratti, relazioni, perizie — e chi, in azienda o in studio, ne fa uso.
2. Adottare una policy scritta su uso consentito e revisione umana documentata: chi rivede, quando, con quali modifiche sostanziali, valutando se lo strumento adottato richieda anche una valutazione d’impatto sul trattamento dei dati (DPIA).
3. Inserire nei contratti con i fornitori di strumenti AI clausole su responsabilità e trasparenza del watermarking o della detection.
4. Informare per iscritto clienti e controparti quando richiesto, con un linguaggio chiaro e specifico (art. 13, legge 132/2025, per i professionisti).
5. Non considerare mai — e non accettare da terzi — il risultato di un detector come prova definitiva, senza una verifica umana documentata a supporto.

Le fonti

• Regolamento (UE) 2024/1689 (AI Act), art. 50, artt. 99 (sanzioni).
• Regolamento (UE) 2026/1744 (Digital Omnibus), in vigore dal 27 luglio 2026 (proroga tecnica art. 50, par. 2).
• Legge 23 settembre 2025, n. 132, art. 13, in vigore dal 10 ottobre 2025.
• Jovanović, Staab, Vechev, «Watermark Stealing in Large Language Models», ICML 2024, SRI Lab – ETH Zurigo.
• Sean Goedecke, «Readers can’t identify watermarked AI text», seangoedecke.com, agosto 2026.
• Liang, Yuksekgonul, Mao, Wu, Zou, «GPT detectors are biased against non-native English writers», Patterns, 2023 (arXiv:2304.02819).
• Matter of Newby v. Adelphi Univ., Corte Suprema dello Stato di New York, contea di Nassau, gennaio 2026, 2026 NY Slip Op 26021.
• Nature, «506 reviewers caught violating no-AI policy at ICML 2026», agosto 2026.
• Anthropic Help Center, documentazione sul watermark di Claude, agosto 2026.
• The Register, «Anthropic pledges to embed watermarks to help discern AI slop in sop to EU», 11 agosto 2026.
• Bajaj, Fedorov et al., «Missing the Mark: Adoption of Watermarking for Generative AI Systems in Practice and Implications under the new EU AI Act», arXiv:2503.18156.
• The Wall Street Journal, inchiesta sul rilevatore di testo AI sviluppato e non rilasciato da OpenAI, 2024.
• Google DeepMind, SynthID-Text, in produzione su Gemini dall’ottobre 2024.
• State v. Chun, Corte Suprema del New Jersey, 194 N.J. 54 (2008).
• Direttiva (UE) 2016/943 sulla protezione del know-how e delle informazioni commerciali riservate (segreti commerciali).

Domande frequenti

Il watermark di un testo scritto con l’AI è una prova legale?

No, non da solo. È un segnale statistico di probabile coinvolgimento di un modello linguistico, non una dimostrazione di paternità. Il caso Newby mostra che un punteggio algoritmico, senza un’istruttoria umana, non regge come unica base di una sanzione o di una contestazione.

Un cliente può rifiutare un documento perché contiene un watermark AI?

La questione è delicata e va affrontata nel merito. Se il documento è stato scritto o sostanzialmente rivisto da una persona, il contrassegno non prova il contrario. Può anzi essere comparso su un testo umano, solo corretto o tradotto con l’AI. In tale ipotesi, una policy interna documentata sulla revisione umana — e un’adeguata documentazione del processo di ideazione, redazione e revisione del testo — è la difesa più solida. Si raccomanda altresì di prevedere espressamente, nel mandato o nel contratto, che gli output dedotti in contratto potranno essere prodotti anche con l’ausilio dell’intelligenza artificiale. Resta comunque ferma la garanzia di supervisione umana.

Un dipendente viene accusato di aver usato l’AI solo sulla base di un detector: cosa fare?

Il datore di lavoro non dovrebbe procedere alla contestazione disciplinare sulla sola base del punteggio. Va condotta, invece, una verifica approfondita — cronologia delle revisioni, confronto con lo stile abituale della persona e contraddittorio con il lavoratore. Dal canto suo si raccomanda al lavoratore di non utilizzare mai l’account personale ai fini dell’utilizzo dell’intelligenza artificiale nell’ambito lavorativo. Lo strumento deve essere sempre quello aziendale nel rispetto della policy dell’azienda stessa. Si consiglia inoltre la conservazione della documentazione comprovante il processo creativo del testo e la revisione dello stesso.

Cosa deve fare oggi un’impresa italiana per l’articolo 50 dell’AI Act?

Verificare se agisce come fornitore o come deployer di sistemi di IA generativa, e censire gli strumenti in uso. Se diffonde contenuti generati con l’AI su temi di interesse pubblico, deve inoltre garantire una revisione editoriale umana sostanziale e documentata.

Ogni situazione va valutata nel caso concreto, tenendo conto degli strumenti utilizzati, del settore e del contenuto dei rapporti contrattuali in essere. Lo Studio PR&A Legali assiste professionisti e imprese nella valutazione di questi rischi, e nella predisposizione delle relative clausole contrattuali e informative.

In sintesi

Il vero rischio del watermark previsto dall’AI Act non è la sanzione amministrativa: è che un terzo tratti un segnale statistico fragile come se fosse una prova. Le tecniche per aggirarlo o falsificarlo sono già documentate. I primi casi giudiziari riguardano quasi sempre falsi positivi, e la stessa Anthropic non ha ancora reso verificabile il proprio sistema. In questo scenario la tutela non arriva dalla tecnologia, ma da scelte organizzative. Serve una policy interna sulla revisione umana, clausole chiare con i fornitori di strumenti AI, un’informativa scritta ai clienti. Chi tratta un punteggio di un detector come prova definitiva, senza verifica umana documentata, si espone più di chi lo ha generato.

Se ti trovi in una situazione simile, trovi i contatti nella pagina Contatti.

Alessandro Rinaldi, avvocato del Foro di Treviso

Ultimo aggiornamento: 24 agosto 2026.

Questo articolo ha finalità informative e non costituisce parere legale. Ogni situazione presenta elementi specifici che richiedono una valutazione dedicata.