Qu'est-ce que le filigrane LLM ? Watermark des textes d'IA : fonctionnement, méthodes et choix des entreprises

Comment reconnaître un texte écrit par une IA ? Des études ont montré que les outils de détection d'IA, qui l'estiment à partir des caractéristiques du texte, peuvent être facilement contournés par une simple reformulation. C'est pourquoi le filigrane LLM (LLM watermarking), qui insère une marque invisible au moment où l'IA rédige le texte, suscite l'intérêt. Après Google, qui a commencé à l'utiliser dans Gemini en 2024, Anthropic et OpenAI ont à leur tour commencé en 2026 à filigraner les textes produits par leur IA, et la réglementation l'exige désormais aussi. Cet article présente le fonctionnement du filigrane LLM, les principales méthodes, ses limites et les choix de chaque entreprise, à partir d'articles de recherche et de sources officielles, avec des informations à jour au 9 octobre 2026.

Ce qu'est le filigrane LLM

Le filigrane LLM est une technologie qui intègre une marque statistique, imperceptible pour les humains, dans les textes générés par un LLM (grand modèle de langage). Au lieu d'ajouter des symboles ou des caractères invisibles au texte, il laisse une marque en orientant légèrement la façon dont l'IA choisit le mot suivant.

Pour produire un texte, un LLM attribue des probabilités aux candidats pour le mot suivant (plus précisément, le token suivant), puis en choisit un, et ainsi de suite. Le filigrane LLM ajoute à ce choix une règle fondée sur une clé secrète. Une personne qui connaît la clé peut vérifier statistiquement, en examinant le texte, qu'« il y a trop de mots conformes à la règle pour que ce soit le hasard ».

Différences avec les outils de détection d'IA et C2PA

Outre le filigrane LLM, il existe d'autres moyens de reconnaître les textes d'IA.

Outils de détection d'IA : ils estiment après coup, à partir des caractéristiques du texte, s'il ressemble à celui d'une IA. Ils fonctionnent sans marque, mais ne donnent qu'une estimation. Dans une étude, il a suffi de reformuler le texte avec une autre IA pour que le taux de détection de l'un de ces outils (DetectGPT) passe de 70,3 % à 4,6 %
C2PA (Content Credentials) : ajoute au fichier des informations de provenance signées. Il convient aux fichiers d'images ou de documents, mais ne peut pas accompagner un texte ordinaire copié-collé

Anthropic distingue lui aussi les usages pour les productions de Claude : filigrane pour le texte, C2PA pour les fichiers générés. C2PA est présenté dans « Qu'est-ce que C2PA ? ».

Principales méthodes

Il existe plusieurs familles de filigranes LLM. Voici les plus représentatives.

Méthode de la liste verte

C'est une méthode de référence présentée en 2023 par des chercheurs de l'université du Maryland (Kirchenbauer et al., ICML 2023).

À partir du mot précédent et de la clé, le vocabulaire est à chaque fois réparti entre une « liste verte » et une « liste rouge »
Un léger bonus est ajouté au score des mots de la liste verte pour qu'ils soient un peu plus souvent choisis
Pour la détection, on compte les mots de la liste verte et on teste statistiquement s'ils sont trop nombreux pour s'expliquer par le hasard

L'article a montré un taux de détection d'environ 98 % ou plus sur des textes de 200 tokens. Le mécanisme est simple à comprendre et il est aussi implémenté dans Transformers de Hugging Face. En revanche, comme il oriente le choix des mots, il peut légèrement affecter la qualité du texte.

Méthodes qui ne modifient pas la distribution

Pour supprimer l'effet sur la qualité du texte, des méthodes qui insèrent le filigrane sans modifier les probabilités avec lesquelles l'IA choisirait chaque mot sont aussi étudiées.

Méthode d'Aaronson : présentée en 2022 par Scott Aaronson, informaticien théoricien qui menait alors des recherches chez OpenAI. Le choix des mots est déterminé par des nombres aléatoires générés à partir d'une clé, et quelques centaines de tokens suffiraient selon lui à obtenir une marque suffisante
Méthodes robustes : des chercheurs de l'université Stanford ont présenté une méthode qui permet la détection même si 40 à 50 % des mots sont réécrits au hasard (Kuditipudi et al., 2023)
Filigranes indiscernables : une étude a montré en théorie que, sans la clé, il est calculatoirement difficile de distinguer un texte filigrané du texte original de l'IA (Christ et al., 2023)

SynthID Text de Google et textGrain d'OpenAI reposent eux aussi sur cette idée de « préserver la qualité ».

Autres méthodes

D'autres méthodes ont aussi été proposées : insérer le filigrane au niveau du sens des phrases plutôt que des mots pour mieux résister aux reformulations (SemStamp, par exemple), intégrer des informations comme l'identifiant de l'utilisateur, ou publier la clé pour que chacun puisse vérifier le filigrane.

Principes de la détection

La détection des filigranes LLM présente les caractéristiques suivantes.

La clé est nécessaire : avec la plupart des méthodes, il est impossible de détecter le filigrane sans la clé secrète utilisée lors de son insertion. En principe, seule l'entreprise qui l'a inséré, ou les personnes à qui la clé a été confiée, peuvent donc le détecter.
Le résultat est probabiliste : le résultat de la détection prend la forme d'un jugement probabiliste comme « filigrane très probablement présent », « absent » ou « indéterminé ».
Une certaine longueur est nécessaire : un texte court ne permet pas de jugement statistique. La recherche évalue souvent des textes d'environ 200 tokens ; pour textGrain d'OpenAI, avec des faux positifs limités à 1 %, des taux de détection d'environ 80 % pour 200 tokens et 95 % pour 400 tokens ont été publiés pour des textes de psychologie et d'autres domaines.
Difficile à insérer dans les textes à réponse fixe : lorsque le mot suivant est presque imposé, comme dans le code informatique, les textes standardisés ou les réponses factuelles, il y a peu de latitude pour orienter le choix et le filigrane s'affaiblit.

Faiblesses et attaques

La recherche a mis en évidence plusieurs faiblesses des filigranes LLM.

Reformulation : une reformulation par une autre IA affaiblit fortement le filigrane. OpenAI a indiqué que remplacer 25 % des mots par des synonymes fait tomber le taux de détection de textGrain à 17 %.
Traduction : il a été montré que faire générer le texte dans une autre langue puis le traduire fait disparaître le filigrane.
Attaque par emojis : une technique consiste à demander à l'IA d'insérer un emoji entre chaque mot, puis à supprimer les emojis pour casser le filigrane.
Usurpation : des attaques qui déduisent les règles du filigrane pour le falsifier dans des textes écrits par des humains sont aussi étudiées. Une étude a déduit les règles par des requêtes à l'API et obtenu des taux de réussite supérieurs à 80 % aussi bien pour la falsification que pour la suppression, pour un coût inférieur à 50 dollars.
Modèles ouverts : avec des modèles que n'importe qui peut exécuter, le traitement qui insère le filigrane peut être désactivé.

Où en sont les entreprises

Après Google, Anthropic et OpenAI ont eux aussi commencé en 2026 à filigraner les textes produits par leur IA.

OpenAI : en 2024, l'entreprise se montrait prudente quant au filigranage des textes, au motif qu'il pouvait être facilement contourné par la traduction notamment, et qu'il risquait de jeter injustement le soupçon sur les personnes dont l'anglais n'est pas la langue maternelle. Le 5 octobre 2026, elle a changé de position et annoncé son propre filigrane, « textGrain ». Il est déployé dans ChatGPT et Codex pour l'UE, et utilisable de manière facultative dans le monde entier via l'API. Pour en savoir plus, voir « Qu'est-ce que textGrain ? ».
Google : a développé SynthID Text et annoncé en 2024 l'utiliser dans Gemini. Il est publié en open source. Pour en savoir plus, voir « Qu'est-ce que SynthID Text ? ».
Anthropic : insère un filigrane dans les textes générés par Claude. Les modèles publiés à partir du 2 août 2026 le prennent en charge dès leur lancement, et les modèles antérieurs sont eux aussi filigranés dans les services d'Anthropic. La méthode repose sur SynthID Text et s'applique de manière uniforme dans le monde entier, faute de moyen fiable de l'appliquer séparément selon les régions.
Meta : a publié en open source « TextSeal », un outil de recherche sur le filigranage des textes.

Les détecteurs d'OpenAI et d'Anthropic ne sont fournis qu'à des chercheurs agréés après examen, à des autorités de régulation et à des organismes similaires ; le grand public ne peut pas les utiliser librement.

Évolutions réglementaires

La réglementation est une raison majeure de l'essor du filigrane LLM.

UE : l'article 50 de l'AI Act exige des fournisseurs d'IA qui génèrent des contenus, y compris du texte, qu'ils marquent leurs résultats dans un format lisible par machine afin qu'il soit possible de détecter qu'ils ont été créés par IA. Cette disposition s'applique depuis le 2 août 2026. Toutefois, la modification de l'AI Act de 2026 (Digital Omnibus) accorde, uniquement aux systèmes d'IA mis sur le marché avant cette date, un délai jusqu'au 2 décembre 2026 pour l'obligation de marquage lisible par machine. OpenAI, Google, Anthropic, Meta, Microsoft et Mistral, entre autres, ont signé le code de bonnes pratiques qui précise les méthodes.
Chine : depuis le 1er septembre 2025, une réglementation impose d'étiqueter les contenus générés par IA. Elle exige une mention visible sur les textes et une mention invisible dans les métadonnées des fichiers. L'ajout de filigranes numériques n'est que recommandé.
Japon : les « Lignes directrices sur l'IA pour les entreprises » (AI Guidelines for Business) du ministère des Affaires intérieures et des Communications (MIC) et du ministère de l'Économie, du Commerce et de l'Industrie (METI) demandent aux organisations qui développent des IA avancées de mettre en place, lorsque c'est techniquement possible, des mécanismes permettant d'identifier les contenus générés par IA, comme les filigranes numériques (sans force juridiquement contraignante).

Précautions selon les profils

Utilisateurs et enseignants

Les détecteurs de filigranes de texte n'étant accessibles qu'à un nombre limité d'organisations, le grand public ne peut pratiquement pas vérifier les textes dont il dispose. De plus, l'absence de filigrane ne prouve pas qu'un texte a été écrit par un humain. Les résultats des outils de détection d'IA ne sont eux aussi que des estimations : il faut éviter de s'en servir comme preuve pour affirmer que le texte d'un élève ou d'un candidat a été écrit par une IA.

Développeurs

Si vous construisez votre propre service avec des modèles ouverts, vous pouvez insérer un filigrane avec des outils comme ceux-ci.

Hugging Face Transformers : prend en charge à la fois la méthode de la liste verte et SynthID Text ; il suffit de transmettre la configuration lors de la génération du texte
vLLM : depuis la version 0.30.0 de septembre 2026, une fonction de filigrane (méthode Gumbel-max) est intégrée en standard. La méthode et la clé se configurent au démarrage du serveur. Toutefois, la génération à température 0 et la recherche en faisceau (beam search) ne reçoivent pas de filigrane
MarkLLM : une boîte à outils de recherche pour tester de nombreuses méthodes en un seul endroit

Si la clé fuite, le filigrane peut être falsifié : sa gestion demande donc beaucoup de rigueur.

En résumé

Le filigrane LLM est une technologie qui laisse une marque invisible dans le processus par lequel l'IA choisit ses mots, pour pouvoir la vérifier ensuite avec une clé. Après Google, qui a commencé à l'utiliser dans Gemini en 2024, Anthropic et OpenAI ont à leur tour commencé en 2026, sous l'effet de la réglementation européenne, à filigraner leurs textes.

Il reste toutefois difficile à insérer dans les textes courts ou à réponse fixe, s'affaiblit avec les reformulations et les traductions, et peu de personnes peuvent le détecter. Plutôt qu'une preuve décisive pour reconnaître les textes d'IA, mieux vaut voir le filigrane LLM comme l'un des mécanismes qui permettent aux fournisseurs d'IA d'assumer leurs responsabilités. Les différences entre les technologies sont résumées dans « Comparatif des filigranes IA (watermark) ».