Le filigrane de Claude est documenté : ce qu’il prouve, les cinq cas où il ne prouve rien, et ce que la recherche indépendante ajoute

Depuis le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle impose que les sorties des systèmes génératifs portent une marque lisible par machine. Anthropic a annoncé le 11 août appliquer cette obligation à l’échelle mondiale, et publié le 14 août la note technique qui manquait. Ce document répond enfin à la question que se posent les directions juridiques, les ressources humaines et les responsables qualité depuis trois semaines : à quoi sert concrètement cette marque. La réponse est plus étroite que ce que la plupart des organisations en attendent, et c’est le fournisseur lui-même qui la restreint.

La note nomme la méthode, décrit son fonctionnement sans jargon, et surtout énumère cinq situations dans lesquelles le filigrane ne s’inscrit pas, ou trop peu pour être détecté. Ces cinq situations recouvrent une part importante de l’usage professionnel réel de l’IA générative. Toute politique interne rédigée sur l’hypothèse inverse — vérifier qu’un livrable est humain, détecter une relecture assistée, tracer du code produit par un agent — doit être reprise avant d’être publiée.

• La méthode est nommée : une version de SynthID-Text, publiée par Google DeepMind dans la revue Nature en 2024.
• Rien n’est ajouté au texte : ni caractère caché, ni jeton supplémentaire, aucun surcoût de prix ou de vitesse, aucun effet mesuré sur la qualité.
• Le filigrane ne porte aucune information identifiante : ni personne, ni organisation, ni conversation.
• Cinq cas où il ne marque rien ou presque : échantillons courts, passages factuels, relecture d’un texte humain, code, réécriture intégrale.
• L’interface de détection est annoncée comme arrivant bientôt, sans date : la marque existe, l’outil qui permet de la lire n’est pas encore disponible.

Comment fonctionne le filigrane, en clair

Le mécanisme se comprend sans bagage technique, et la note d’Anthropic prend le soin de l’expliquer. Un modèle de langage écrit un mot après l’autre. À chaque mot, il retient plusieurs candidats plausibles, et il arrive souvent qu’aucun ne soit meilleur qu’un autre : dans « le temps était froid et… », le mot suivant peut être « couvert » ou « gris » sans que le sens change. Ce choix-là est ordinairement réglé par un nombre aléatoire. Le filigrane remplace la source de cet aléa par une clé, combinée aux quelques mots qui précèdent. Les mots restent choisis de manière imprévisible pour le lecteur, mais on peut vérifier après coup si la séquence est cohérente avec les choix qu’aurait faits le modèle en utilisant cette clé, et en tirer une probabilité.

La conséquence de ce principe est importante et souvent mal comprise : le marquage n’ajoute rien au texte. Il n’y a aucun caractère invisible, aucune balise, aucun jeton supplémentaire, et donc aucun coût ni ralentissement. Il ne pousse pas non plus le modèle vers des mots qu’il n’aurait pas envisagés : il départage des candidats déjà équivalents. Anthropic indique n’avoir mesuré aucun effet sur le contenu, la créativité ou la lisibilité, et renvoie à l’étude d’origine, dans laquelle Google DeepMind avait servi un modèle filigrané à une partie de son trafic sans écart statistiquement significatif sur les appréciations des utilisateurs. (Source : Nature)

Un point mérite d’être retenu par les représentants du personnel autant que par les directions : le filigrane ne contient aucune information identifiante. Ni la clé ni la marque ne permettent de remonter à un utilisateur, à une organisation ou à une conversation. C’est une protection réelle pour les salariés, et symétriquement une limite pour toute politique de traçabilité interne qui aurait été bâtie sur l’idée d’attribuer un contenu à son auteur.

Les cinq cas où la marque ne s’inscrit pas

C’est la partie la plus utile du document, et elle est énoncée par le fournisseur lui-même. Le raisonnement est toujours le même : le filigrane a besoin de choix libres pour exister. Là où il n’y a pas de choix, il n’y a pas de marque.

Les échantillons courts. Peu de mots signifie peu de choix, donc peu d’information. La confiance de la détection croît avec la longueur du passage ; sur un paragraphe bref, elle n’est pas exploitable.

Les passages factuels. Quand l’exactitude commande le mot suivant, aucune marge ne reste au marquage. L’exemple donné par Anthropic est celui d’une phrase où un seul mot est correct : la marque n’a rien sur quoi s’inscrire. Un texte dense en données, en noms et en références est donc plus faiblement marqué qu’un texte d’opinion.

La relecture d’un texte humain. C’est le cas le plus lourd de conséquences. Lorsque le modèle corrige ou améliore un texte écrit par une personne, la quasi-totalité des mots reste celle de l’auteur, et il n’y a presque rien à marquer. Selon la longueur du texte et l’ampleur de l’intervention, la contribution du modèle peut rester indétectable. Or c’est précisément la forme que prend l’assistance dans la plupart des situations professionnelles : un mémoire relu, un rapport resserré, une réponse à appel d’offres reprise, une copie corrigée.

Le code. L’exactitude y interdit la plupart des choix libres. Le marquage ne peut se loger que dans les zones réellement arbitraires, essentiellement les commentaires, avec un effet négligeable sur le code lui-même. Les organisations qui comptaient sur ce mécanisme pour tracer les contributions d’agents dans leurs dépôts doivent revenir aux outils classiques : journaux d’agents, métadonnées d’enregistrement, revue de code.

La réécriture intégrale. Remplacer chaque mot efface la marque — Anthropic ajoute d’ailleurs qu’à ce stade, il devient discutable de qualifier encore le texte de généré par IA. Une modification légère, en revanche, ne suffit probablement pas à l’effacer.

À l’inverse, un cas est intégralement marqué et il intéresse directement les acheteurs de prestations : la traduction. Quand le modèle traduit, tous les mots du résultat sont choisis par lui, et le texte porte la marque sur toute sa longueur. (Source : Anthropic)

Ce que la recherche indépendante ajoute — et ce qu’elle ne dit pas

Aucune évaluation indépendante de la mise en œuvre d’Anthropic n’a été publiée à ce jour, et il faut le dire clairement. En revanche, la méthode dont elle dérive, SynthID-Text, a fait l’objet de travaux académiques dont les conclusions méritent d’être connues avant d’écrire une politique. Le laboratoire SRI de l’École polytechnique fédérale de Zurich a publié une évaluation adverse de ce schéma, conduite avec les paramètres par défaut de l’article d’origine. Trois de ses résultats importent ici. La présence du filigrane est détectable par simple interrogation en boîte noire, sans accès à la clé. La contrefaçon — produire un texte qui n’a pas été généré par le modèle mais que le détecteur reconnaît comme tel — est plus difficile que sur les schémas concurrents, mais reste possible, à un taux de réussite d’environ 15 % dans leur configuration la plus favorable à l’attaquant, et ces tentatives laissent des traces détectables. Enfin, et c’est le point le plus directement pertinent, ils concluent que ce schéma est plus facile à effacer que d’autres schémas de référence, y compris pour un adversaire peu sophistiqué. (Source : SRI Lab, ETH Zurich)

Ces résultats ne portent pas sur le déploiement d’Anthropic, dont les paramètres ne sont pas publiés, et ils ne doivent pas être présentés comme tels. Ils fixent en revanche un cadre de prudence raisonnable pour une direction juridique. Une marque effaçable par un adversaire modeste ne peut pas servir seule à établir un manquement. Une marque contrefaisable, même à taux modeste, ne peut pas servir seule à établir une attribution. Et une marque dont la présence se détecte en boîte noire ne constitue pas un dispositif discret. Ce sont trois raisons convergentes de traiter le filigrane comme un indice dans un faisceau, jamais comme une preuve autonome — ce qui rejoint d’ailleurs ce qu’écrit Anthropic, dont la note précise que la marque établit seulement que le modèle a probablement été impliqué à un moment, sans distinguer « le modèle a écrit ce texte » de « le modèle l’a fortement édité ».

Le versant fichiers : un dispositif différent, et plus solide

Pour les fichiers produits par le modèle — images matricielles ou vectorielles notamment —, le mécanisme n’est pas un filigrane mais une note de métadonnées signée cryptographiquement, conforme à la norme ouverte C2PA, la même que celle employée par les fabricants d’appareils photo et les logiciels de retouche pour enregistrer l’origine d’une image. Rien n’est modifié dans le fichier lui-même ; une mention vérifiable est jointe, indiquant que le fichier a été produit ou traité avec l’outil, sans information identifiante.

La différence pratique est considérable et joue en faveur des fichiers. Cette norme étant ouverte, n’importe quel outil compatible peut lire la mention dès aujourd’hui, sans attendre quoi que ce soit du fournisseur. Là où le contrôle des textes reste suspendu à une interface de détection annoncée sans date, celui des fichiers est opérationnel immédiatement. La limite est classique pour des métadonnées : elles se suppriment sans difficulté, et leur absence ne prouve rien. Elles fonctionnent comme une attestation de provenance quand elles sont présentes, non comme un test d’origine.

Ce que cela change pour les entreprises

Le premier effet est de retirer trois usages du tableau. Ils sont fréquemment cités dans les projets de politique interne, et aucun ne tient.

Le deuxième effet concerne le calendrier de conformité, et il ne se règle pas chez le fournisseur. Les modèles génératifs mis sur le marché avant le 2 août 2026 bénéficient d’une période de transition qui s’achève le 2 décembre 2026. Anthropic indique travailler à leur ajouter la capacité de marquage dans les mois qui viennent, sans engagement de date. Une organisation qui exploite en production des modèles antérieurs à cette date a donc une échéance à tenir, et la démarche de son fournisseur ne transfère pas sa propre responsabilité de déployeur. Le recensement de ces modèles est un travail d’inventaire simple, qui gagne à être fait maintenant plutôt qu’en novembre.

Le troisième effet est une question à poser aux fournisseurs, et elle n’a rien de théorique. Le marquage relève d’un code de bonnes pratiques européen sur la transparence des contenus générés, signé en juillet 2026 par environ 190 organisations, dont l’ensemble des grands fournisseurs de modèles. Chacun implémentera sa propre marque, avec sa propre clé et parfois sa propre méthode. Une entreprise qui emploie plusieurs modèles devra donc, pour vérifier un contenu, interroger plusieurs détecteurs distincts, quand ils existeront. La question à inscrire aux prochaines revues contractuelles est simple : quel est votre mécanisme de détection, à quelle date sera-t-il disponible, et à quelles conditions y accéderons-nous. (Source : Commission européenne)

Le quatrième effet, plus discret, touche les usages en matière de ressources humaines et de formation. Le marquage ne fournit aucun moyen d’attribuer un texte à un collaborateur, ce qui écarte d'emblée les dispositifs de contrôle individuel qui auraient pu être envisagés. Il laisse en revanche intacte la seule approche qui fonctionne pour ces sujets, et qui ne dépend d’aucune technologie : définir explicitement ce qui est autorisé, demander la déclaration de l’usage, et évaluer les livrables sur leur qualité et leur exactitude plutôt que sur la recherche de leur origine.

Ce que cela met à jour dans la Méthode Virtuose

Le chapitre gouvernance et conformité gagne une distinction que l’entrée en vigueur de l’article 50 avait laissée dans le flou : la conformité au marquage et la capacité de preuve sont deux choses différentes, et seule la première est acquise. Un fournisseur qui marque ses sorties satisfait à l’obligation ; le déployeur qui voudrait s’appuyer sur cette marque dans un litige, un contrôle qualité ou une procédure interne ne le peut pas encore, et ne le pourra qu’imparfaitement.

Le chapitre observabilité et qualité en tire un corollaire opérationnel : le contrôle de provenance des contenus doit être conçu en amont, dans les processus de production, plutôt qu’en aval par un test appliqué au résultat. Un journal d’usage, une déclaration au dépôt, une métadonnée conservée à l’enregistrement valent mieux qu’un détecteur, parce qu’ils ne dépendent ni de la longueur du texte, ni du type de contenu, ni de la robustesse d’une méthode.

Le point de bascule de ce dossier tient dans une inversion d’attente. Beaucoup d’organisations espéraient de l’AI Act un outil de vérification ; elles reçoivent une obligation de marquage assortie d’une liste de ses angles morts, publiée par le premier fournisseur à l’appliquer. Cette liste est une bonne nouvelle, parce qu’elle évite d’écrire des politiques qui ne fonctionneraient pas. La question utile n’est plus de savoir comment détecter l’IA dans un livrable, mais comment organiser la production pour n’avoir pas à le deviner.