Hai scritto con ChatGPT? Ora l’IA può lasciare una firma invisibile nel testo

Dal 2 agosto 2026 l’AI Act europeo introduce nuovi obblighi per la marcatura dei contenuti generati dall’IA. I watermark testuali non sono scritte invisibili, ma segnali statistici incorporati nella scelta dei token. Ecco come funzionano, perché non sono una prova assoluta e quali rischi pongono per il futuro dell’IA.

Prima di capire cosa sia il Watermark, occorre comprendere da dove abbia origine la necessità di sviluppare queste procedure, affinché le persone raggiunte dai testi generati mediante LLM possano riconoscerli. Il 2 agosto 2026 è entrato in vigore l’articolo 50 dell’AI Act Europeo, il quale ha obbligato i fornitori di sistemi IA a firmare digitalmente i contenuti prodotti con l’intelligenza artificiale generativa.

Nello specifico, l’articolo 50 stabilisce (più precisamente secondo quanto previsto dal successivo AI Omnibus) che per i sistemi generativi immessi sul mercato o messi in servizio prima del 2 agosto 2026 sia previsto un periodo transitorio per adeguare la marcatura dei risultati prodotti. La scadenza è fissata per il 2 dicembre 2026. Quindi, modelli come Opus 5 e Sonnet 5 dovranno essere adeguati entro tale data.

“Art.50 comma 2 – I fornitori di sistemi di IA, compresi isistemi di IA per finalità generali, che generano contenuti audio, immagine, video otestuali sintetici, garantiscono che gli output del sistema di IA siano marcati in un formato leggibile meccanicamente erilevabili come generati omanipolati artificialmente. Ifornitori garantiscono che le loro soluzioni tecniche siano efficaci, interoperabili, solide eaffidabili nella misura in cui ciò sia tecnicamente possibile, tenendo conto delle specificità edei limiti dei vari tipi di contenuti, dei costi di attuazione edello stato dell’arte generalmente riconosciuto, come eventualmente indicato nelle pertinenti norme tecniche. Tale obbligo non si applica se isistemi di IA svolgono una funzione di assistenza per l’editing standard onon modificano in modo sostanziale idati di input forniti dal deployer ola rispettiva semantica, ose autorizzati dalla legge ad accertare, prevenire, indagare operseguire reati.”

Anthropic ha anticipato che questo tipo di firma sarà impercettibile e farà parte del testo stesso.Non si potrà quindi eliminare con un copia-incolla, neanche sfruttando quei sistemi che azzerano ogni tipo di formattazione o convertendo il testo in formato semplice.La firma digitale verrà applicata a livello del modello, e sfrutterà per la sua creazione i token scelti in fase di produzione del testo. Tuttavia, i marcatori leggibili dalle macchine forniscono segnali utili, manon possono dimostrare con certezza l’origine del contenuto.

La presenza di un marcatore indica che il contenuto potrebbe essere stato elaborato da un modello, ma non necessariamente creato interamente da zero. Il testo potrebbe, infatti, essere stato semplicemente corretto, tradotto o rielaborato dall’IA. Inoltre, potrebbe essere stato modificato o combinato con altro materiale dopo l’elaborazione. Allo stesso modo, l’assenza di un marcatore non dimostra che il contenuto non sia stato generato o elaborato dall’IA.

Cerchiamo di comprendere come funzionerà il watermark. Un LLM costruisce il testo un elemento alla volta. Gli elementi sono chiamati token e possono corrispondere a una parola intera. Dopo aver ricevuto una richiesta e aver prodotto i primi token, il modello, mediante calcoli probabilistici determina quali token potrebbero venire dopo e assegna a ogni possibilità una probabilità.

Considerando il classico esempio del gatto “Il gatto si è addormentato sul…”, il modello potrebbe assegnare queste probabilità per completare la frase:

• 40% “divano”;
• 30% “letto”;
• 20% “tappeto”;
• 10% “balcone”.

Il sistema mediante un procedimento chiamato campionamento deve estrarre uno dei candidati. Le parole con probabilità più elevata avranno maggiore possibilità di essere selezionate. Il token scelto viene aggiunto alla frase e l’intero calcolo ricomincia per quello successivo.

Ilwatermarkinterviene proprio in questo passaggio,tra il calcolo delle probabilità e la scelta del token successivo.

Non consiste, quindi, in una scritta invisibile aggiunta al documento né in caratteri nascosti che potrebbero essere eliminati copiando il testo.Il sistema modifica leggermente il modo in cui vengono selezionati i token, sfruttando una chiave, cioè un numero segreto, conosciuta dal gestore del sistema.

La chiave combinata con gli ultimi token prodotti viene passata a una funzione hash, cheserve a ricavare da quel preciso contesto un valore riproducibile. Questo valore sarà utilizzato come seme o seed, per un generatore pseudocasuale.

La riproducibilità è ovviamente essenziale perché, quando il testo viene controllato,il rilevatore può prendere gli stessi token, combinarli con la stessa chiave e ricostruire le indicazioni che il generatore aveva ricevuto al momento della scrittura.

Al momento ci sono tre studi fondamentali su questo tipo di marcatura dei testi, due di JohnKirchenbauer e lo studio pubblicato su Nature che poi ha dato vita al SynthID-Text di Google.

Nel metodo proposto da Kirchenbauer, il seme pseudocasuale divide il vocabolario del modello in due gruppi:una lista verde e una lista rossa.Se un token appartiene alla lista verde avrà una maggiore probabilità di essere scelto. Precisiamo che una parola non appartiene ad uno dei due gruppi sulla base della probabilità, ma solo perché il calcolo pseudocasuale l’ha collocata in quel gruppo. Dopo la scelta, si verifica un cambiamento di contesto, che richiede un nuovo hash necessario per formare una nuova lista. La stessa parola quindi potrà avere colore differente se compare in punti differenti del testo.

Questa procedura aumenta i “logit”, i punteggi interni dei token che in quel momento appartengono alla lista verde. È importante precisare che i token rossi non vengono vietati, ma semplicemente ricevono un vantaggio inferiore. Il testo generato conterrà una proporzione insolitamente alta di token verdi.

Alla fine, il rilevatore ricostruisce la stessa sequenza di liste verde/rossa, calcola lo z-score:

Se lo z-score supera una soglia prestabilita, per esempioz>4, il testo viene classificato come probabilmente generato da un modello che usa quel watermark. Altrimenti il rilevatore non trova prove statisticamente sufficienti del watermark.

La diffusione di testi marcati dovrebbe farci riflettere su una questione di lungo periodo.Cosa accade se questi testi vengono raccolti dal web per addestrare modelli successivi? L’IA che utilizza i suoi stessi testi per addestrare nuovi modelli potrebbe finire per uniformare ulteriormente gli stili di scrittura a livello globale?

Antonino Battaglia

Antonino Battaglia Ingegnere elettronico con oltre dieci anni di esperienza nell'automazione industriale e nella sicurezza informatica. Appassionato di tecnologia blockchain e criptovalute, collabora con Red Hot Cyber, condividendo la sua conoscenza su sicurezza informatica, automazione e IoT.