Come il watermarking dei testi AI sta creando un nuovo tribunale dell’inquisizione.
Immaginiamo una scena in uno qualsiasi dei tanti studi professionali europei, postmoderni, next generation. Un traduttore freelance consegna a un committente la versione italiana di un manuale tecnico. Ha lavorato due settimane risolvendo ambiguità terminologiche, adattando il registro logico espositivo, ricostruendo frasi che in inglese funzionavano e in italiano no. Il committente, per prassi interna, passa il testo a un rilevatore di intelligenza artificiale il cui responso è un’alta probabilità di generazione AI. Il traduttore giura di aver usato un modello solo per una prima bozza, poi completamente riscritta. Non ha prove. Non può averne. Il contratto prevede una penale per “contenuti non originali”. Il suo compenso è appeso a un numero che nessuno — nemmeno chi lo ha prodotto — sa spiegare esattamente cosa significhi.
Questa scena non è un caso isolato. È il prodotto prevedibile di una serie di scelte normative e tecniche che, messe insieme, stanno costruendo il primo sistema su larga scala di presunzione di colpevolezza digitale. Al centro c’è una tecnologia apparentemente innocua: il watermarking dei testi generati dall’intelligenza artificiale. Un marchio invisibile all’occhio umano, rilevabile solo da strumenti appositi, che dovrebbe servire a distinguere ciò che è umano da ciò che è artificiale. Nella pratica, sta facendo molto di più: sta creando una categoria di sospetti, sta ribaltando l’onere della prova, sta trasformando l’uso di uno strumento quotidiano in una colpa da espiare.
Come funziona il marchio invisibile
Per capire il problema, bisogna capire la tecnologia. Il watermarking testuale non è una firma apposta sul testo, come un timbro su un documento. È qualcosa di più sottile e più fragile, è una “deviazione statistica” nella scelta delle parole.
Quando un modello linguistico genera una frase, ha di fronte a sé diverse alternative lessicali equivalenti del tipo “Il cielo è azzurro” oppure “Il cielo è blu”, “Una decisione importante” o “Una decisione rilevante”. In condizioni normali, il modello sceglie in base alla probabilità statistica appresa durante l’addestramento. Con il watermarking attivo, quella probabilità viene leggermente alterata secondo una chiave segreta per cui il modello preferisce certe parole invece di altre, creando un pattern invisibile che un rilevatore — e solo quel rilevatore — può individuare.
È un meccanismo elegante in teoria. In pratica, ha tre difetti strutturali che lo rendono inaffidabile per qualsiasi uso probatorio, come ammettono gli stessi ideatori.
Primo: è facilmente aggirabile. Basta una parafrasi, una traduzione, una riscrittura anche leggera per distruggere il pattern. Le ricerche accademiche lo dimostrano con numeri impietosi: una traduzione andata e ritorno (italiano → inglese → italiano) fa crollare l’accuratezza del rilevamento dall’88% a circa il 10%, cioè al livello del lancio di una moneta come dire: “forse sì e forse no”. Sostituire appena il 10% delle parole con sinonimi porta il rilevamento dal 92% al 66%. Al 25% di modifiche, scende al 17%. Chiunque volesse davvero eludere il sistema — un troll, un disinformante, un propagandista — ci riuscirebbe senza sforzo.
Secondo: produce falsi positivi. Il meccanismo si basa su pattern statistici che possono comparire casualmente anche in testi puramente umani. Un testo tradotto professionalmente, un testo molto editato, un testo con vocaboli tecnici ripetitivi possono attivare il rilevatore senza che vi sia alcun intervento dell’AI. Il risultato è che persone “innocenti” vengono accusate sulla base di un segnale che non prova nulla.
Terzo: è culturalmente e linguisticamente parziale. I sistemi di watermarking sono addestrati prevalentemente su testi in inglese. Funzionano male — o non funzionano affatto — su lingue con morfologia ricca, con ordini sintattici diversi, con tradizioni retoriche differenti il che significa che la “caccia” è più aggressiva verso chi scrive in inglese e più permissiva verso chi scrive in altre lingue — un paradosso per una normativa che nasce con ambizioni universalistiche.
Il quadro normativo: l’articolo 50 dell’AI Act
Per capire come siamo arrivati qui, bisogna partire dal regolamento europeo sull’intelligenza artificiale, entrato in vigore nell’agosto 2024. L’articolo 50 impone obblighi di trasparenza sui contenuti generati dall’AI. In particolare, il paragrafo 2 stabilisce che i fornitori di sistemi di IA generativa devono garantire che gli output siano marcati in un formato leggibile dalla macchina e rilevabili come generati o manipolati artificialmente.
La norma è accompagnata da un’esenzione cruciale: i sistemi che svolgono “funzioni di editing ausiliarie standard” non sono soggetti all’obbligo. Le linee guida della Commissione europea esplicitano che rientrano in questa categoria la correzione ortografica e grammaticale, le modifiche di formato, la traduzione, le etichette brevi, gli output B2B per uso interno. Il criterio è qualitativo: se l’intervento non modifica sostanzialmente i dati di input o la semantica, è esente. Fin qui, la legge sembra ragionevole. Il problema nasce dall’implementazione.
La corsa delle grandi aziende
I principali attori dell’IA generativa hanno reagito alla norma con strategie molto diverse, e la differenza è istruttiva.
Anthropic, la società dietro Claude, ha scelto l’approccio più aggressivo: watermarking globale, non limitato all’Unione Europea, e applicato a qualsiasi testo in cui Claude abbia partecipato alla generazione — incluse le traduzioni, incluse le riscritture stilistiche, incluse le correzioni di bozze. La logica dichiarata è semplice: se il modello ha toccato il testo, il testo è marcato. Punto.
OpenAI, la società dietro ChatGPT, ha scelto un approccio più cauto: watermarking solo nell’UE, con un sistema chiamato textGrain, attivabile tramite API ma non predefinito per gli utenti finali. La stessa OpenAI ammette ufficialmente che “la traduzione rende più difficile il rilevamento” e che “l’assenza di watermark non prova la paternità umana”. Ammissioni che, lette insieme, svuotano di senso l’intero impianto: se il watermark non prova la paternità AI e la sua assenza non prova la paternità umana, che cosa prova esattamente?
Google ha implementato SynthID per Gemini e ha reso open source il framework correlato, con una strategia intermedia: watermarking applicato ma con dichiarata consapevolezza dei limiti tecnici.
La differenza tra queste strategie non è tecnica, è politica. Anthropic ha scelto di eccedere i requisiti normativi, marcando tutto ciò che tocca. OpenAI ha scelto di minimizzare, coprendo solo l’UE e lasciando che la traduzione eluda di fatto il sistema. Nessuna delle due scelte risponde alla domanda di fondo: ha senso marchiare un testo che un umano ha scritto e l’AI ha solo tradotto?
La contraddizione giuridica
Torniamo all’articolo 50 e alla sua esenzione per l’editing ausiliario standard. La domanda è: una traduzione, una riscrittura stilistica, una correzione di bozze rientrano nell’esenzione?
Secondo il testo della norma, sì, purché non modifichino sostanzialmente la semantica. Una traduzione che rispetta il significato originale non lo modifica. Una riscrittura che rende più fluido un paragrafo senza cambiarne il contenuto non lo modifica. Una correzione di bozze non lo modifica affatto.
Ma secondo l’implementazione di Anthropic, no: qualsiasi intervento del modello attiva il watermark, perché il modello ha “generato” il testo di output, indipendentemente dal fatto che il contenuto fosse già presente nell’input.
C’è qui una contraddizione insanabile tra la logica giuridica e la logica tecnica. La legge distingue tra “modifica sostanziale” e “modifica formale”. La tecnologia non distingue affatto: per il modello, ogni output è una generazione, e ogni generazione è marcabile. Il risultato è che Anthropic sta eccedendo i requisiti normativi, applicando il watermark a casi che la legge esenterebbe esplicitamente.
E questo eccedere non è innocuo. Produce conseguenze concrete.
Gli effetti sui professionisti
Immaginiamo un traduttore freelance. Riceve un contratto per tradurre un manuale tecnico dall’inglese all’italiano. Usa Claude per una prima versione, poi rivede, corregge, adatta. Il testo finale è suo: ha fatto scelte terminologiche, ha risolto ambiguità, ha adattato il registro. Ma il testo porta il watermark di Claude, perché il modello ha generato la versione tradotta.
Cosa succede se il committente, o un revisore terzo, o un concorrente, passa il testo a un rilevatore? Il rilevatore dice: “generato da AI”. Il traduttore non può dimostrare il contrario, perché il watermark è invisibile e la sua presenza non distingue tra “l’AI ha fatto tutto” e “l’AI ha fatto una prima bozza che io ho completamente riscritto”.
Lo stesso vale per il copywriter che usa ChatGPT per generare varianti di uno slogan e poi sceglie, modifica, combina. Per il ricercatore che usa un LLM per riformulare un abstract. Per il giornalista che usa l’AI per riassumere un documento e poi riscrive il pezzo. Per il programmatore che usa un assistente per generare una funzione e poi la adatta al proprio codice.
In tutti questi casi, il watermark criminalizza un uso legittimo di uno strumento legittimo. Trasforma l’AI in una sorta di antecedente penale digitale: chi la usa, anche solo per correggere una virgola, si porta dietro un marchio che non può rimuovere e che non prova nulla.
L’analogia con la caccia alle streghe
Vale la pena fermarsi su questa analogia, perché non è una suggestione retorica. È una struttura.
La caccia alle streghe europea, nei secoli XV-XVII, funzionava attraverso un meccanismo preciso. C’era un segno invisibile che doveva provare la colpa: il marchio del diavolo sul corpo della presunta strega. C’era una prova tecnicamente inaffidabile: l’ago che non faceva sanguinare, l’acqua che respingeva. C’era un onere della prova ribaltato: l’accusata doveva dimostrare la propria innocenza, non l’accusatore la colpa. C’era l’impossibilità di prova contraria: se non affondavi nell’acqua, eri strega; se affondavi, eri strega ma morta. C’era un’industria della caccia: inquisitori, testimoni, carcerieri, boia, tutti pagati dalla persecuzione. E c’erano effetti selettivi: colpiva soprattutto donne sole, povere, anziane, senza protezione sociale. I potenti non venivano mai accusati, o si salvavano con un avvocato.
Ora trasponiamo.
Il marchio del diavolo è il watermark invisibile. L’ago che non sanguina è il rilevatore statistico. L’onere della prova ribaltato è la richiesta di dimostrare la paternità umana di un testo, cosa tecnicamente impossibile. L’impossibilità di prova contraria è l’ammissione di OpenAI che “l’assenza di watermark non prova la paternità umana”. L’industria della caccia sono le società che vendono rilevatori: Turnitin, GPTZero, Originality.ai, e decine di altre. Gli effetti selettivi sono i danni che ricadono su traduttori, copywriter, piccoli professionisti, mentre le grandi aziende negoziano esenzioni e i malintenzionati aggirano il sistema con una parafrasi.
La differenza cruciale è che nella caccia alle streghe la vittima era accusata di un crimine immaginario — il patto col diavolo. Oggi la “strega” è chiunque usi uno strumento che è ormai parte della vita quotidiana, e il “crimine” è averlo usato. Non c’è nemmeno un patto col diavolo: c’è un prompt su ChatGPT.
Il problema di fondo: l’antropomorfizzazione
C’è un errore concettuale che sta alla base di tutto l’impianto, e che vale la pena smontare pezzo per pezzo.
Primo: un modello linguistico non produce nulla “da solo”. Senza un prompt, senza un contesto, senza una selezione umana, un LLM genera output casuali o generici. Il testo “plausibile” emerge solo quando c’è un essere umano che formula la richiesta, valuta l’output, seleziona cosa tenere e cosa scartare, decide quando il risultato è soddisfacente.
Anche nel caso più estremo — un romanzo “scritto dall’AI” — il processo reale è: un umano passa settimane a promptare, selezionare, correggere, riscrivere, scartare. L’AI è lo strumento, non l’autore.
Secondo: l’AI non ha autonomia semantica. Non decide cosa dire, perché dirlo, a chi, con quale responsabilità. Genera statisticamente. Se esistesse davvero un sistema capace di operare in piena autonomia funzionale e semantica — che sceglie gli obiettivi, li persegue, risponde delle conseguenze — allora sì, avremmo un agente morale e giuridico. Ma non esiste. Gli LLM attuali sono generatori reattivi. L'”autonomia” è un’illusione proiettata dall’utente.
Terzo: se la macchina deve essere guidata, la paternità è di chi guida. Questo è il punto che il watermarking nega. Marchiando l’output come “generato da AI”, sposta la paternità dall’attivatore alla macchina. Ma la macchina non è soggetto di diritto. Non può essere autore. Non può essere responsabile. Quindi il watermarking è giuridicamente incoerente (attribuisce paternità a un non-soggetto), eticamente ingiusto (deresponsabilizza l’umano), praticamente inutile (non dice nulla su chi ha diretto, selezionato, validato).
L’assurdo nella produzione scientifica
C’è un ambito in cui questa contraddizione diventa particolarmente evidente: la ricerca scientifica.
Nella scienza, l’AI è usata per scrivere e debuggare codice, analizzare dataset, riformulare abstract, tradurre paper, correggere bozze, generare ipotesi, riassumere letteratura.
Se ogni output AI fosse marcato come “non umano”, si criminalizzerebbe l’uso di uno strumento che è ormai infrastruttura della ricerca, come il microscopio, il software statistico, il linguaggio di programmazione. Il risultato sarebbe uno di questi tre scenari, tutti indesiderabili: i ricercatori evitano l’AI, con danno alla produttività; i ricercatori aggirano il watermark, con perdita di senso della norma; i ricercatori falsificano la dichiarazione, con rischio legale per persone oneste.
Nessuno di questi esiti è desiderabile. La norma, applicata alla lettera, produce più danni che benefici proprio dove la trasparenza conta di più.
La domanda che nessuno pone
La domanda giusta non è “questo testo è stato generato da AI?”. È una domanda mal posta, perché ogni testo umano è già ibrido (correttori, traduttori, suggerimenti), ogni testo AI è guidato da umani, il confine è sfumato per costruzione.
La domanda giusta è: “chi risponde di questo testo, e per quale scopo è stato prodotto?”.
Il watermarking non risponde a questa domanda. La nasconde. Crea l’illusione di una distinzione netta dove non esiste, e nel farlo produce falsi positivi che rovinano carriere, produce falsi negativi che lasciano impuniti i malintenzionati, crea un mercato di rilevatori inaffidabili, distrae da misure più efficaci (provenienza verificabile, responsabilità editoriale, alfabetizzazione mediatica).
Che fare, allora
Non si tratta di difendere l’AI a spese della trasparenza. Si tratta di chiedersi quali strumenti raggiungono davvero l’obiettivo.
Provenienza verificabile a livello di piattaforma. Invece di marchiare ogni frase, si potrebbe tracciare la provenienza dei contenuti a livello di piattaforma, come si fa con le immagini (standard C2PA). Un testo pubblicato su una piattaforma che dichiara l’uso di AI è tracciabile; un testo copiato altrove no. È meno invasivo e più efficace.
Responsabilità editoriale. Chi pubblica un testo — un giornale, un editore, un’istituzione — si assume la responsabilità di ciò che pubblica, indipendentemente da come è stato prodotto. Questo è già il modello del giornalismo professionale. Non serve sapere se l’articolo è stato scritto con l’AI; serve sapere chi risponde di ciò che è scritto.
Alfabetizzazione mediatica. Invece di inseguire una tecnologia inaffidabile, si potrebbe investire nell’educazione: insegnare a riconoscere i segnali di contenuto generato, a verificare le fonti, a distinguere tra uso legittimo e abuso.
Distinzione tra uso e abuso. Non è l’uso dell’AI che va sanzionato, ma l’abuso: la frode, la disinformazione, l’impersonificazione, lo sfruttamento. Sono azioni umane, non proprietà del testo. Vanno perseguite come azioni umane, con prove umane, non con marchi invisibili.
La lezione della storia
La caccia alle streghe storica finì non perché qualcuno dimostrò che le streghe non esistevano, ma perché divenne insostenibile: troppe accuse, troppe prove false, troppi costi, troppe voci critiche. Ci vollero generazioni.
Il watermarking finirà probabilmente allo stesso modo: troppi falsi positivi (professionisti accusati ingiustamente), troppi falsi negativi (chi aggira il sistema), costi di conformità sproporzionati, sentenze che smontano i rilevatori in tribunale, e infine l’abbandono silenzioso, sostituito da qualcosa di più sensato.
La differenza è che oggi possiamo vederlo mentre accade. Nel XVII secolo ci vollero generazioni per capire che era un massacro insensato. Oggi, in tempo reale, possiamo dire: questa è una caccia alle streghe. Il che è già qualcosa. Non impedisce la caccia, ma almeno la nomina.
E nominarla è il primo passo per non crederci.
—
Nota dell’autore: questo articolo non è stato generato da un’AI. È stato scritto da un essere umano che usa l’AI come strumento di lavoro, e che rivendica la paternità di ciò che scrive — indipendentemente da quali strumenti abbia usato per farlo.