Le 14 août 2026, Anthropic a publié le fonctionnement du watermark appliqué aux textes produits par Claude. Le sujet est souvent résumé à « l'IA sera détectable », ce qui est à la fois vrai et trompeur. Voici le mécanisme, ce qu'il mesure réellement, ses limites, et le cadre réglementaire qui l'a déclenché.

Le mécanisme

Il n'y a ni caractère invisible, ni balise ajoutée après coup. Le marquage agit pendant la génération.

À chaque token, le modèle dispose souvent de plusieurs candidats à peu près équivalents. Au lieu de trancher au hasard, une clé, combinée aux quelques mots précédents, oriente le choix. Anthropic précise que seuls les arbitrages sans enjeu sont concernés, ce qui laisse la qualité du texte inchangée et rend le résultat indistinguable à la lecture.

Sur un texte suffisamment long, ces choix orientés produisent un biais statistique mesurable par qui détient la clé. La méthode est une variante de SynthID-Text, publiée par Google DeepMind dans Nature en 2024, dans une lignée qui remonte à une proposition de Scott Aaronson en 2022.

Ce que la détection permet de savoir, et ce qu'elle ne dit pas

Le détecteur répond à une seule question : quelle est la probabilité que ce contenu ait été écrit en partie par Claude ?

Elle ne permet pas de savoir :

qui a rédigé la demande, pour quel compte, dans quelle conversation, le watermark ne portant aucune information d'identité ;
si un texte est d'origine humaine, l'absence de signal n'étant pas une preuve ;
quel autre système aurait écrit le texte, le cas échéant ;
et, point souvent négligé, la différence entre « Claude a écrit » et « Claude a lourdement édité ».

Ce dernier point mérite d'être développé, parce qu'il change la lecture d'un résultat positif. Si vous rédigez un texte vous-même et demandez ensuite à Claude de le réécrire en profondeur, la sortie porte le marquage exactement comme un texte produit de bout en bout à partir d'une consigne. Les deux cas sont indistinguables pour le détecteur.

Autrement dit, le marquage indique surtout qui a formulé le texte, et non qui en a conçu les idées. Cette distinction est essentielle : une personne qui confie entièrement la rédaction à un modèle n'est pas dans la même situation qu'une personne qui écrit elle-même son texte avant de demander au modèle de le reformuler. Pourtant, dans les deux cas, le détecteur peut relever un signal similaire, puisque les mots finaux ont été choisis par l'IA.

Ce signal varie toutefois selon le degré d'intervention du modèle. Il sera généralement fort si l'IA a rédigé ou largement réécrit le texte, mais presque absent si elle s'est limitée à quelques corrections. La section suivante montre dans quels cas le signal reste détectable, dans quels cas il est renouvelé, et dans quels cas il peut disparaître.

Quand le marquage subsiste, et quand il disparaît

Le marquage dépend de la part du texte final effectivement formulée par Claude. Il ne suffit donc pas qu'un texte ait été modifié pour que le signal disparaisse : tout dépend de l'auteur de cette modification.

Une correction légère apportée à un texte marqué ne suffit probablement pas à supprimer le signal.
Une traduction ou une réécriture complète réalisée par Claude produit un nouveau texte marqué, puisque le modèle choisit de nouveau les formulations.
Une réécriture complète réalisée par un humain, ou par un système qui n'applique pas ce marquage, peut faire disparaître le signal d'origine.
Si Claude se limite à corriger ponctuellement un texte humain sans le reformuler, le marquage devrait rester faible, car l'essentiel des mots n'a pas été choisi par le modèle.

Le marquage dépend aussi de la nature du contenu. Dans les passages très factuels, le modèle dispose de moins de formulations équivalentes entre lesquelles arbitrer : le signal y est donc plus clairsemé. Le code présente la même difficulté, comme nous le verrons plus loin.

La longueur, et le risque de conclusion hâtive

La détection fonctionne mal sur un échantillon court, et la confiance croît avec la longueur du passage. C'est une mesure probabiliste : un détecteur de ce type produit nécessairement des faux positifs et des faux négatifs. Traiter sa sortie comme une preuve, dans un cadre scolaire ou disciplinaire, serait un contresens sur ce que l'outil mesure.

Le cas du code

Un marquage statistique a besoin de choix. Or une bonne partie du code n'en offre aucun : un nom d'API, une syntaxe, une valeur nécessaire au fonctionnement ne peuvent pas être modifiés sans casser le programme.

text

2 + 2 = 4      <- aucun choix possible
nom_variable   <- plusieurs formulations acceptables
// commentaire <- plusieurs formulations acceptables

Anthropic indique donc que le code reçoit un marquage minimal, logé là où plusieurs formulations restent possibles, principalement les commentaires et les noms, avec un effet négligeable sur le code produit. Moins que de la prose, donc, mais pas nécessairement rien : la question de savoir ce qu'un dépôt entier conserve comme signal reste ouverte, et se mesurera quand l'API de détection sera disponible.

Les fichiers suivent une autre voie

Pour les fichiers pris en charge, .svg, .png, .jpg, il ne s'agit pas d'un watermark statistique mais d'une métadonnée signée cryptographiquement, au standard ouvert C2PA, jointe au fichier sans en modifier le contenu.

Les deux approches n'ont pas les mêmes propriétés, et la différence mérite d'être connue : une métadonnée s'enlève en une commande, un biais statistique réparti dans un texte demande de réécrire ce texte.

Pourquoi maintenant

Depuis le 2 août 2026, l'article 50 de l'AI Act impose aux fournisseurs de systèmes générant du texte, de l'image, de l'audio ou de la vidéo de rendre leurs sorties marquées dans un format lisible par machine et détectables comme artificiellement générées, lorsque c'est techniquement possible. Le règlement n'impose pas de technologie : watermark, métadonnées ou mécanismes cryptographiques conviennent, à condition d'être efficaces, interopérables, robustes et fiables au regard de l'état de l'art.

L'article 50 distingue deux responsabilités. Les fournisseurs de modèles doivent rendre les contenus générés détectables comme artificiels. De leur côté, les organisations qui publient certains contenus générés ou manipulés par une IA doivent en informer le public, notamment lorsqu'il s'agit de deepfakes ou de textes diffusés dans un but d'information. Des exceptions sont toutefois prévues : une simple correction éditoriale n'est pas traitée comme une génération complète, et certains textes ayant fait l'objet d'un contrôle humain ou d'une responsabilité éditoriale peuvent relever d'un régime différent.

Un déploiement mondial

Le marquage s'applique mondialement dès le lancement des nouveaux modèles. Anthropic explique ne pas disposer d'une méthode assez durable pour le restreindre à certaines régions, ce qui est cohérent avec la difficulté de situer géographiquement une requête qui traverse plusieurs juridictions. Les modèles lancés avant le 2 août 2026 bénéficient d'une période de transition, avec un déploiement étalé.

La Chine, par une autre route

Depuis septembre 2025, la Chine applique ses propres règles de marquage des contenus synthétiques, couvrant texte, image, audio, vidéo et environnements virtuels. L'approche diffère : elle distingue marquage explicite et implicite, et prévoit pour certains fichiers des informations en métadonnées, telles que les caractéristiques du contenu, le fournisseur et un identifiant.

Deux cadres réglementaires distincts convergent donc vers une même propriété technique : un contenu généré ne devient plus nécessairement anonyme en quittant le système qui l'a produit.

Ce qu'il reste à mesurer

Anthropic annonce une API de détection, sans date. Tant qu'elle n'est pas disponible, plusieurs questions restent ouvertes pour qui utilise ces modèles au quotidien : quelle longueur de texte faut-il réellement pour une mesure fiable, quel taux de faux positifs sur des corpus humains, et que conserve un dépôt logiciel écrit en grande partie avec un assistant.

Ce sont des questions expérimentales. Nous y reviendrons quand il sera possible d'y répondre autrement que par déduction, sur les dépôts de notre pratique Claude.

Le watermark de Claude : comment il fonctionne, et ce qu'il ne fait pas