Watermark e Content Credentials possono aiutarci a capire come è stato prodotto un contenuto, ma non possono certificare che ciò che stiamo vedendo o leggendo sia vero e degno di fiducia.
Quando ho letto che Anthropic avrebbe cominciato a inserire una marcatura invisibile nei testi generati dai nuovi modelli Claude e metadati di provenienza firmati nei file supportati, ho pensato che fosse una buona notizia. Non perché creda che una filigrana possa risolvere il problema dei contenuti falsi, ma perché, in un momento nel quale testi, immagini, audio e video possono essere prodotti o modificati in pochi secondi, avere qualche informazione in più sul processo che li ha generati è certamente meglio che non averne nessuna.
Anthropic ha spiegato che i modelli Claude lanciati nell’Unione europea dal 2 agosto 2026 incorporeranno watermark machine-readable nei testi, mentre file come immagini SVG, PNG e JPEG potranno contenere metadati di provenienza firmati secondo lo standard C2PA. La marcatura dovrebbe essere presente anche quando il modello viene utilizzato attraverso API, Claude Code e le principali piattaforme cloud, sebbene non tutte le funzioni o i formati supportino necessariamente entrambe le tecniche.
La data non è casuale. Dal 2 agosto sono diventati applicabili gli obblighi di trasparenza previsti dall’articolo 50 dell’AI Act europeo, che impongono ai provider di rendere rilevabili in formato machine-readable i contenuti generati o manipolati artificialmente e, in determinati casi, a chi li pubblica di segnalarne chiaramente la natura sintetica. L’obiettivo dichiarato è ridurre il rischio di inganno, manipolazione, impersonificazione e disinformazione su larga scala.
Fin qui, secondo me, il ragionamento ha perfettamente senso. Se un contenuto è stato prodotto o modificato da un sistema di intelligenza artificiale, è giusto che esista un meccanismo attraverso il quale sia possibile scoprirlo, soprattutto quando quel contenuto viene presentato come la registrazione autentica di un fatto realmente accaduto.
Il problema nasce quando da questa informazione cerchiamo di ricavare qualcosa che la filigrana non è in grado di dimostrare, e cominciamo a trattare “generato dall’AI” e “falso” come se fossero sinonimi, attribuendo implicitamente il significato opposto a tutto ciò che non contiene alcuna marcatura.
Un contenuto generato dall’intelligenza artificiale può essere corretto, così come un contenuto scritto interamente da una persona può essere falso. Una fotografia autentica può essere accompagnata da una descrizione inventata, mentre un’immagine sintetica può rappresentare in modo accurato un dato, una ricostruzione oppure un concetto che non sarebbe possibile fotografare direttamente.
La filigrana può dirci qualcosa su come è stato prodotto il contenuto. Non può dirci se dobbiamo credergli.
Sapere da dove arriva un contenuto non significa sapere se è vero
Nel linguaggio comune stiamo utilizzando la parola “filigrana” per descrivere tecnologie che, in realtà, svolgono funzioni abbastanza differenti. In un testo può trattarsi di un pattern statistico incorporato durante la scelta delle parole e successivamente rilevabile attraverso uno strumento compatibile; in un’immagine o in un altro file può invece trattarsi di metadati che conservano informazioni sull’origine, sul software utilizzato e sulle trasformazioni applicate durante la vita del contenuto.
Nel caso delle Content Credentials, queste informazioni vengono legate crittograficamente al file, in modo che sia possibile verificare se il contenuto o i dati di provenienza siano stati modificati dopo l’applicazione della firma. È un meccanismo simile, almeno concettualmente, alla firma digitale applicata a un documento: permette di controllare da chi è stato firmato e se qualcuno lo abbia alterato successivamente.
Ma una firma digitale non certifica la verità di ciò che è scritto nel documento.
Se un’organizzazione firma una dichiarazione contenente informazioni false, la firma continua a essere tecnicamente valida. Dimostra che la dichiarazione proviene da quella organizzazione e che non è stata modificata dopo la firma, non che ogni frase contenuta al suo interno corrisponda alla realtà.
Lo stesso standard C2PA chiarisce questa distinzione in maniera esplicita. Le Content Credentials registrano la provenienza di un contenuto e permettono di verificare che le informazioni associate siano strutturate correttamente, non siano state manomesse e provengano da un firmatario riconoscibile, ma non esprimono alcun giudizio sul fatto che quelle informazioni o il contenuto stesso siano veri. C2PA le descrive come uno degli strumenti utili contro la disinformazione, da utilizzare insieme al fact-checking, alla verifica delle fonti e all’analisi forense, non come un sostituto di queste attività.
Questa differenza può sembrare teorica, ma diventa molto concreta non appena osserviamo il modo in cui la disinformazione viene realmente prodotta.
Immaginiamo una fotografia autentica di una strada allagata. La macchina fotografica registra la data dello scatto, il dispositivo utilizzato e magari anche la posizione; successivamente il giornale che la pubblica conserva le Content Credentials e aggiunge la propria firma. Il file non è stato generato dall’AI, i pixel non sono stati modificati e l’intera catena di provenienza è perfettamente verificabile.
Poi qualcuno prende quella stessa fotografia e la pubblica sostenendo che rappresenti un’alluvione avvenuta quella mattina in una città diversa.
L’immagine continua a essere autentica, ma l’affermazione con la quale viene presentata è falsa. Nessuna analisi dei pixel può trovare il problema, perché il problema non si trova dentro la fotografia: si trova nella relazione tra la fotografia, la didascalia, il luogo e il momento nel quale viene utilizzata.
Lo stesso accade quando una registrazione autentica viene tagliata pochi secondi prima della frase che ne modificava il significato, quando una statistica corretta viene applicata alla popolazione sbagliata oppure quando una citazione reale viene presentata come risposta a una domanda che non era mai stata posta.
Non è necessario inventare un contenuto quando è sufficiente spostarne uno vero.
L’intelligenza artificiale ha certamente reso più semplice produrre immagini, testi e registrazioni convincenti, ma non ha inventato la possibilità di utilizzare materiale autentico per raccontare una storia falsa. Una filigrana può aiutarci a capire se una fotografia sia stata generata artificialmente; non può stabilire se la persona che la sta pubblicando ci stia dicendo la verità.
Che cosa significa realmente “generato con AI”?
Esiste poi un altro problema, meno evidente ma altrettanto importante: la dicitura “generato con AI” sembra descrivere un processo preciso, mentre oggi può riferirsi a modi di lavorare completamente differenti.
Supponiamo che io scriva questo articolo, scelga la tesi, raccolga le fonti e formuli tutti gli esempi, ma prima della pubblicazione utilizzi Claude per correggere alcuni errori grammaticali oppure per produrne una versione in inglese. Il testo risultante potrebbe contenere una marcatura di Claude, ma quella marcatura dimostrerebbe soltanto che il modello ha elaborato il contenuto, non che ne abbia sviluppato le idee o scritto la versione originale.
Anthropic riconosce apertamente questo limite. Nella documentazione spiega che il rilevamento di un watermark indica che il contenuto potrebbe essere stato processato da Claude, ma non permette di ricostruirne automaticamente l’intera provenienza. Claude potrebbe essere stato utilizzato soltanto per correggere, tradurre, riassumere o convertire materiale prodotto altrove, e il contenuto potrebbe essere stato ulteriormente modificato o mescolato con altro materiale dopo il passaggio attraverso il modello.
Facciamo ora l’esempio opposto. Una persona chiede a un modello di scrivere interamente un articolo, poi lo traduce attraverso un secondo sistema, riscrive alcuni paragrafi, ne cambia l’ordine e aggiunge materiale proveniente da altre fonti. A quel punto il watermark originario potrebbe diventare difficile o impossibile da rilevare, nonostante l’intelligenza artificiale abbia prodotto la parte principale del contenuto.
Anche in questo caso Anthropic è piuttosto chiara: l’assenza di una marcatura rilevabile non dimostra che il testo non sia stato generato o processato dall’AI. La filigrana può scomparire o indebolirsi quando il testo viene pesantemente modificato, parafrasato, tradotto, unito ad altro materiale oppure ridotto a un passaggio troppo breve; nei file, invece, i metadati possono essere eliminati durante una conversione, un nuovo salvataggio o un semplice screenshot.
Quindi la presenza della filigrana non dimostra che l’AI sia l’autore sostanziale del contenuto, mentre la sua assenza non dimostra che il contenuto sia umano.
In entrambi i casi la marcatura ci fornisce un’indicazione su una parte del processo che siamo ancora in grado di osservare, ma non ricostruisce necessariamente tutto ciò che è accaduto prima e dopo.
Per questo l’etichetta “generato con AI”, utilizzata senza ulteriori spiegazioni, rischia di essere contemporaneamente corretta e poco informativa. Può descrivere un articolo prodotto interamente da un modello e pubblicato senza essere letto, ma anche una traduzione controllata dall’autore, una fotografia alla quale è stato rimosso un piccolo elemento, la trascrizione automatica di un’intervista oppure un grafico costruito a partire da dati verificati.
Mettere la stessa etichetta su tutti questi casi aumenta forse la trasparenza tecnica, ma non necessariamente la comprensione di chi legge.
Il rischio di considerare autentico tutto ciò che non è marcato
La conseguenza che considero più pericolosa è la nascita di una distinzione implicita tra contenuti marcati e contenuti apparentemente “puliti”. Se abituiamo le persone a vedere la dicitura “generato con AI” come un segnale di pericolo, ciò che non porta alcuna etichetta finirà inevitabilmente per sembrare più autentico, anche quando non possediamo alcun elemento per considerarlo tale.
Un contenuto senza filigrana potrebbe essere stato prodotto da un modello precedente all’introduzione delle marcature, da un sistema open source eseguito localmente, da un provider che non applica quello standard oppure da un’applicazione che non conserva i metadati durante l’esportazione. Potrebbe essere stato tradotto o parafrasato abbastanza da perdere il segnale originale, oppure qualcuno potrebbe averlo semplicemente catturato attraverso uno screenshot.
Naturalmente potrebbe anche essere stato scritto da una persona.
Il punto è che la sola assenza della filigrana non ci permette di distinguere questi casi.
C2PA mette esplicitamente in guardia dalla creazione di un ecosistema a due livelli nel quale i contenuti dotati di Content Credentials vengano considerati automaticamente più affidabili e quelli privi di credenziali automaticamente sospetti. La fiducia dipende anche dalla reputazione della fonte, dal processo attraverso il quale il contenuto è stato prodotto e dal rapporto che abbiamo con chi ha firmato le informazioni di provenienza. Una credenziale tecnicamente valida aggiunta da un soggetto sconosciuto o inaffidabile non acquisisce improvvisamente lo stesso valore di quella applicata da un’organizzazione che risponde pubblicamente del proprio lavoro.
Potremmo anzi ottenere un risultato quasi paradossale. Le organizzazioni più trasparenti conserveranno le marcature, descriveranno come hanno utilizzato l’intelligenza artificiale e renderanno visibile il proprio processo; chi vuole ingannare avrà invece tutto l’interesse a eliminare quelle informazioni, modificando il contenuto finché non apparirà perfettamente umano.
Il contenuto controllato e pubblicato responsabilmente potrebbe quindi mostrare un’etichetta che lo rende sospetto agli occhi del pubblico, mentre quello costruito deliberatamente per manipolare potrebbe sembrare più autentico proprio perché qualcuno ha avuto cura di cancellarne le tracce.
In quel caso non avremmo eliminato il problema della disinformazione. Avremmo soltanto fornito agli attori più trasparenti un nuovo obbligo e a quelli meno trasparenti un nuovo segnale da imparare a rimuovere.
La parte più interessante dell’AI Act non è la filigrana
Leggendo le linee guida europee, la parte che trovo più interessante non è tanto l’obbligo tecnico di inserire marcature machine-readable, quanto la distinzione tra semplice utilizzo dell’AI e responsabilità editoriale sul risultato.
L’articolo 50 richiede che i testi generati o manipolati dall’intelligenza artificiale e pubblicati con lo scopo di informare il pubblico su questioni di interesse generale siano chiaramente segnalati. La stessa regola, però, prevede un’esenzione quando il contenuto è stato sottoposto a una vera revisione umana o a un controllo editoriale e una persona oppure un’organizzazione ne assume la responsabilità legale.
Le linee guida precisano che non è sufficiente eseguire un controllo grammaticale o una revisione puramente formale. La persona che verifica il testo deve esaminarne la sostanza, possedere conoscenze e capacità di giudizio pertinenti, controllare l’affidabilità delle fonti e avere l’autorità per approvare, modificare oppure rifiutare il contenuto.
Questa distinzione, secondo me, arriva molto più vicino al problema reale.
Non è l’uso dell’intelligenza artificiale, da solo, a rendere inaffidabile un contenuto. Il problema è utilizzare l’AI per produrre qualcosa destinato a informare altre persone e pubblicarlo senza che nessuno abbia realmente controllato ciò che dice, verificato le fonti o accettato di rispondere delle conseguenze.
Un giornale può utilizzare un modello per tradurre un articolo, sintetizzare un documento pubblico o preparare una prima bozza, e continuare a produrre informazione affidabile se dispone di un processo editoriale serio. Allo stesso modo, una persona può scrivere ogni singola parola senza utilizzare alcuno strumento generativo e pubblicare una ricostruzione falsa, incompleta oppure deliberatamente manipolatoria.
Il watermark appartiene al livello tecnico del processo. La responsabilità appartiene al livello umano e organizzativo.
Le due cose possono lavorare insieme, ma non sono intercambiabili.
La trasparenza dovrebbe spiegare il processo
Per questo credo che, nei contenuti per i quali l’origine e l’affidabilità hanno realmente importanza, una disclosure utile dovrebbe spiegare come è stata utilizzata l’intelligenza artificiale anziché limitarsi a dichiararne genericamente la presenza.
Scrivere che un articolo è stato “generato con AI” ci dice molto poco. Dire che è stato ideato e scritto dall’autore, sviluppato con l’assistenza dell’AI durante la ricerca e successivamente verificato attraverso le fonti citate descrive invece un processo del quale qualcuno si assume la responsabilità. Allo stesso modo, specificare che un’immagine è una ricostruzione generata artificialmente a scopo illustrativo è più utile che applicare un’icona priva di contesto.
Naturalmente non ogni contenuto richiede lo stesso livello di spiegazione. Un’illustrazione decorativa pubblicata su un blog non deve essere trattata come una fotografia utilizzata in tribunale, così come un testo satirico non richiede le stesse garanzie di una comunicazione sanitaria o finanziaria. La trasparenza dovrebbe essere proporzionata alla funzione del contenuto e alle conseguenze che potrebbe produrre.
Ma in nessun caso dovremmo trasformare una marcatura tecnica in un certificato di verità.
Le filigrane e le Content Credentials sono utili perché possono aiutarci a ricostruire l’origine di un file, capire quali strumenti siano stati utilizzati e verificare se alcune parti siano state modificate dopo l’applicazione di una firma. Possono rendere più difficile nascondere completamente l’intervento di un sistema generativo e offrire a giornalisti, piattaforme e utenti un elemento in più durante la verifica.
Non possono però stabilire se una fotografia sia stata pubblicata nel contesto corretto, se una citazione sia completa, se un dato provenga da una fonte affidabile oppure se l’autore abbia controllato ciò che il modello ha prodotto.
La verità non è una proprietà nascosta dentro il file che una tecnologia sufficientemente avanzata possa finalmente estrarre. Dipende dal rapporto tra il contenuto, la fonte, il contesto nel quale viene presentato, le prove che lo sostengono e la persona o l’organizzazione che decide di pubblicarlo.
Per questo considero le filigrane necessarie, ma soltanto se smettiamo di chiedere loro ciò che non sono in grado di fare. Possono rendere un contenuto più tracciabile e aiutarci a capire se l’intelligenza artificiale sia passata attraverso il suo processo di produzione; a renderlo credibile devono essere ancora il metodo con cui è stato costruito, le fonti attraverso le quali è stato verificato e qualcuno disposto ad assumersene la responsabilità.