Sebastian Raschka a consacré quarante-huit minutes et une cinquantaine de diapositives au filigrane qu’Anthropic déploie sur les textes produits par ses modèles Claude. L’auteur de Build a Large Language Model From Scratch ne cherche pas la polémique : il suit le mécanisme pas à pas, de l’endroit où la marque s’inscrit à celui où elle se dissout. Le trajet est court, et il ramène le dispositif à ce qu’il sait faire : tracer des textes que personne ne cherche à camoufler.
Où s’inscrit une marque qui n’ajoute rien au texte
Un modèle de langage écrit token par token (un token = un fragment de mot). À chaque étape, il calcule une probabilité pour chaque candidat du vocabulaire, puis en tire un. Le filigrane s’insère précisément là, dans ce tirage.
Le principe : une clé secrète, combinée aux tokens déjà écrits, répartit le vocabulaire en deux groupes à chaque étape. Le modèle est poussé vers l’un des deux, sans y être contraint. Sur dix mots, personne ne voit rien. Sur mille, la proportion de mots issus du groupe favorisé s’écarte de ce que produirait un tirage libre.
Rien n’est donc inséré dans le texte : ni caractère invisible, ni métadonnée, ni balise. Vous pouvez coller la sortie dans un éditeur de texte brut, la marque suit. Elle tient tout entière dans la statistique du choix.
Reste la crainte d’une dégradation des réponses, et elle ne tient pas : le procédé se joue dans des arbitrages entre synonymes quasi équivalents, jamais dans la qualité du raisonnement. Google avait mesuré la même chose sur SynthID-Text, le filigrane qu’il applique aux sorties de Gemini depuis 2024 : sur une vingtaine de millions de réponses de chatbot, les utilisateurs n’ont pas repéré d’écart de qualité entre les textes marqués et les autres.
Détecter suppose la clé d’Anthropic, et beaucoup de mots
La vérification consiste à rejouer la clé sur le texte suspect, compter les mots tombés du bon côté, puis évaluer la probabilité qu’un tel écart survienne par hasard. Le verdict n’est jamais binaire : c’est un niveau de confiance.
Deux contraintes en découlent, et elles pèsent lourd. Il faut du volume : quelques phrases ne portent pas assez de signal pour trancher, un message court échappe au test par construction. Il faut aussi la clé : sans elle, aucune vérification n’est possible. L’enseignant, le recruteur ou le rédacteur en chef qui espérait un bouton « vérifier » dépendra d’un service de détection que l’éditeur promet pour les mois à venir.
Restent les faux positifs. Un texte humain peut, par malchance ou par tic d’écriture, pencher du côté favorisé. À l’échelle de millions de copies, un test même très fiable finit par accuser à tort. Derrière chacune de ces erreurs, il y a une personne à qui on demande de prouver qu’elle a écrit son propre texte.
Diluer le signal ne demande ni compétence ni matériel
Le signal repose entièrement sur les tokens choisis. Changez-les, le comptage s’effondre. Une réécriture par un autre modèle, une traduction aller-retour, un passage à la main sur un mot sur cinq, un montage de plusieurs sorties : chacune de ces opérations dilue la marque.
Le coût de l’effacement est le point décisif. Il se mesure en secondes et se paie avec un petit modèle qui tourne sur un ordinateur portable. L’asymétrie est brutale : celui qui veut tromper passe, celui qui utilise Claude sans rien dissimuler reste marqué.
On objectera qu’il suffirait de renforcer le signal. C’est là que le mécanisme se mord la queue : rendre la marque résistante à la réécriture suppose de contraindre plus fermement le choix des mots, donc d’appauvrir le texte. Robuste, discret, indolore : on choisit deux propriétés sur trois.
La traçabilité interne, le terrain où le dispositif tient
Une fois écartée la promesse de preuve, il reste un usage solide. Dans un environnement coopératif, où personne n’a intérêt à maquiller ses sorties, le marquage devient un instrument de traçabilité sérieux.
Concrètement : une direction technique qui veut savoir si un document interne est sorti d’un assistant, une rédaction qui applique sa propre charte, un éditeur logiciel qui doit montrer à son client ce qui a été généré et ce qui a été rédigé. Le code de bonnes pratiques européen sur la transparence pousse par ailleurs les fournisseurs à rendre identifiables les contenus synthétiques : un filigrane maison est une réponse défendable à cette exigence, indépendamment de sa solidité face à un adversaire motivé.
Anthropic y trouve aussi son hygiène interne : repérer ses propres sorties dans les corpus aspirés sur le web, et éviter de réentraîner un modèle sur ce qu’il a déjà écrit. Le risque n’a rien d’anecdotique quand une part croissante du texte en ligne sort d’une machine.
Adossez votre politique aux journaux d’appels, pas au filigrane
Si vous encadrez l’usage de l’IA dans une équipe, l’erreur serait de bâtir votre politique sur une détection à venir. Elle n’arrivera pas sous une forme opposable.
- Les journaux de vos propres appels à l’API (l’interface par laquelle vos outils interrogent le modèle) prouvent infiniment plus qu’un test statistique : qui a demandé quoi, quand, avec quel prompt.
- La déclaration d’usage, adossée à une relecture humaine tracée, reste le seul dispositif qui tienne devant un client ou un régulateur.
- Un fournisseur qui vous vend un détecteur de texte généré vous vend une probabilité : demandez son taux de faux positifs avant de signer.
Le mécanisme est élégant, documenté sans esbroufe, utile dans son périmètre, et Anthropic se garde de le présenter comme un juge. Le glissement viendra des usages : le jour où un rapport de détection sera brandi comme preuve d’auteur, il tranchera un examen, une rupture de contrat, un litige, c’est-à-dire les dossiers où l’erreur se paie.
Un dispositif qui n’entrave que ceux qui ne cherchent pas à le contourner tient de la convention. Et une convention ne vaut que partagée : deux éditeurs marquent aujourd’hui leur texte, chacun avec sa clé et son détecteur, sans passerelle entre les deux, et aucun autre acteur majeur n’a mis le sien en service. C’est ce morcellement, bien plus que la finesse du test statistique, qui décidera du sort du filigrane.
