Watermark IA : « traité » n'est pas « écrit »
Depuis le 11 août 2026, tout ce que produit Claude porte une marque. Pas un logo, pas une mention en bas de page : un déséquilibre statistique invisible dans le choix des mots, embarqué au niveau du modèle lui-même. Les fichiers image, eux, reçoivent des métadonnées de provenance signées au standard ouvert C2PA.
La mesure est mondiale — « partout où Claude est proposé » — et elle couvre l'API, l'application, l'assistant de code, tout. Aucune option de désactivation n'est mentionnée. Le modèle lui-même ignore qu'il est marqué.
Le déclencheur est réglementaire : l'article 50 de l'AI Act européen, en vigueur depuis le 2 août 2026, qui impose de signaler les contenus générés par IA. Les amendes montent à 15 millions d'euros ou 3 % du chiffre d'affaires mondial. Anthropic a choisi d'appliquer la conformité européenne partout, pas seulement dans l'Union. C'est le schéma habituel : Bruxelles légifère, le monde s'aligne parce que maintenir deux pipelines coûte plus cher que de se conformer une fois.
Jusqu'ici, rien de surprenant. L'intéressant est ailleurs, et presque personne ne le relèvera.
Ce que la marque prouve réellement
Anthropic le dit dans sa propre documentation, et c'est la phrase que tout le monde va lire trop vite : le mark atteste que Claude a traité le contenu. Pas qu'il l'a écrit.
La différence n'est pas rhétorique.
Vous écrivez un texte de bout en bout, seul, à la main. Vous le collez dans Claude en demandant « corrige les fautes ». Le texte qui ressort est marqué. Il portera le même signal qu'un texte intégralement généré par la machine.
Deux gestes radicalement différents — la rédaction et la relecture — produisent le même verdict binaire. Et la marque ne dit rien de la proportion : un texte relu à 2 % et un texte généré à 100 % rendent tous les deux « marqué ».
Anthropic reconnaît deux autres limites, aussi importantes :
- Absence de marque ≠ contenu humain. Un modèle plus ancien, un passage trop court, un texte réédité ne portent aucun signal. Ne rien détecter ne prouve rien.
- La détection n'existait pas encore au moment de l'annonce. La documentation technique et l'API sont annoncées « à venir ».
C'est ce dernier point qui rend le sujet théorique aujourd'hui et brûlant demain.
Ce n'est pas un tampon, c'est un accent
Un tampon encreur se voit et se découpe. Ce marquage-là n'est pas de cette nature — et l'image est utile pour comprendre ce qui le détruit.
C'est un accent régional. Inaudible sur trois phrases. Identifiable sur une heure d'enregistrement, par qui sait écouter. Et si vous traduisez le discours dans une autre langue, l'accent disparaît complètement.
Concrètement, ce qui survit et ce qui ne survit pas :
| Survit | Détruit le signal | |---|---| | Copier-coller d'une fenêtre à l'autre | Paraphrase ou réécriture profonde | | Édition légère | Traduction | | | Passages trop courts |
Rien n'est caché dans le texte. Pas de caractère invisible à supprimer, pas de métadonnée à nettoyer. C'est une propriété statistique de la suite de mots. Corollaire immédiat, et il faut le dire clairement : ça ne se nettoie pas, ça se noie. Toute réécriture substantielle emporte le signal.
Une note d'honnêteté sur l'état des connaissances. Anthropic n'a publié ni papier ni spécification de son schéma. La littérature académique publique décrit une famille de techniques bien documentée depuis 2023, et un système comparable tourne en production chez un autre acteur majeur. Mais raisonner par analogie n'est pas mesurer : ce qu'on sait de la famille ne s'applique pas automatiquement au système d'Anthropic, qui reste une boîte noire.
Le cas du code
Un point mérite d'être posé, avec sa réserve.
Les auteurs de la littérature publique documentent une propriété : la force de ce type de marquage dépend de l'entropie du texte. Là où il existe beaucoup de façons également valables de dire la même chose, le biais s'installe sans qu'on le remarque. Là où les choix sont contraints, il n'y a presque pas de place pour porter un signal.
Or le code est structurellement contraint. La syntaxe ne se négocie pas, les noms d'API sont imposés, une boucle ne s'écrit pas de dix manières. Les degrés de liberté résiduels — noms de variables, commentaires, ordre de blocs indépendants — sont maigres.
L'attente raisonnable est donc : signal quasi nul sur un diff court, peut-être présent sur un gros fichier généré avec sa documentation. Mais c'est une attente, pas une mesure. Elle sera testable le jour où l'API de détection sortira : un fichier généré brut, le même après passage d'un formateur automatique, un diff de quarante lignes. Trois soumissions, une réponse.
S'y ajoute une destruction par la chaîne de production : formatage automatique, relectures humaines, refactorisations, fusions de branches. Du code qui traverse un pipeline réel a été remanié plusieurs fois avant d'arriver quelque part.
Et une chose que ce marquage ne change pas : la propriété du code. C'est un marqueur de provenance réglementaire, pas une revendication. Au mieux, il dira « un modèle a touché ce texte ».
Notre position, écrite avant qu'on nous la demande
Il faut dire une chose désagréable : effacer cette marque ne demande aucune expertise. Le mécanisme est publié, et la conséquence s'en déduit en une phrase.
Nous ne l'écrirons pas ici, et nous ne l'automatiserons nulle part. Pour deux raisons, dont une seule est morale.
La première est de positionnement : on ne peut pas défendre la traçabilité des contenus et publier un mode d'emploi d'évasion. Les deux se détruisent mutuellement.
La seconde est plus simple — nous n'en avons aucun besoin. Ce blog est signé. Le code passe par des outils qui détruisent le signal bien avant d'être publié. Il n'y a rien à cacher, donc rien à effacer.
Le vrai enjeu est ailleurs, et il n'est ni juridique ni technique : il est de perception. Le jour où l'API de détection sera publique, n'importe qui pourra tester n'importe quel texte public — un article, un post, une newsletter. Le test rendra un signal binaire, sans contexte. Il ne distinguera pas « écrit par une IA » de « relu par une IA ».
Le grand public lira le second comme le premier. C'est mécanique.
La bonne réponse n'est pas de changer de méthode pour passer sous le radar. C'est d'assumer la sienne par écrit et en premier, plutôt que de se la voir attribuer. Nous écrivons avec des modèles, tous les jours, et nous vérifions tout ce qui sort. Ça se revendique, ça ne se planque pas.
Ce qu'il faut retenir
Un marquage de provenance ne répond pas à la question que les gens croient lui poser. Il ne dit pas « qui a écrit ce texte ». Il dit « ce texte est passé par là ».
Confondre les deux, c'est transformer un outil de transparence en machine à faux procès. La distinction tient en un mot, et ce mot est déjà dans la documentation officielle : traité, pas écrit.
Le reste — l'API de détection, les limites réelles sur le code, la robustesse effective — sera mesurable dans quelques mois. D'ici là, la seule position tenable est celle qu'on peut défendre à voix haute.
Sur les gardes déterministes et pourquoi la détection ne suffit jamais, voir Détecter n'est pas bloquer. Sur les échéances cryptographiques qui arrivent par la même porte réglementaire, voir Q-Day, la deadline cryptographique.