Che cos'è l'LLM watermark? Watermark nei testi IA: funzionamento, metodi e scelte delle aziende

Come si fa a riconoscere un testo scritto da un'IA? La ricerca ha dimostrato che gli strumenti di rilevamento dell'IA, che lo stimano dalle caratteristiche del testo, si possono aggirare facilmente con una semplice parafrasi. Per questo sta attirando attenzione l'LLM watermark (LLM watermarking), che inserisce un segno invisibile nel momento in cui l'IA genera il testo. Dopo Google, che ha iniziato a usarlo in Gemini nel 2024, nel 2026 anche Anthropic e OpenAI hanno cominciato a inserire un watermark nei testi della propria IA, e anche le norme hanno iniziato a richiederlo. In questo articolo vediamo come funziona l'LLM watermark, i principali metodi, i limiti e le scelte di ciascuna azienda, sulla base di articoli scientifici e fonti ufficiali, con informazioni aggiornate al 9 ottobre 2026.

Che cos'è l'LLM watermark

L'LLM watermark è una tecnologia che incorpora un segno statistico, impercettibile per le persone, nei testi generati da un LLM (modello linguistico di grandi dimensioni). Non aggiunge simboli o caratteri invisibili al testo, ma lascia il segno orientando leggermente il modo in cui l'IA sceglie la parola successiva.

Quando genera un testo, un LLM assegna probabilità ai candidati per la parola successiva (più precisamente, il token successivo) e ne sceglie uno, ripetendo il processo. L'LLM watermark aggiunge a questa scelta una regola basata su una chiave segreta. Chi conosce la chiave può verificare statisticamente, esaminando il testo, che «le parole conformi alla regola sono troppe per essere un caso».

Differenze con gli strumenti di rilevamento dell'IA e con C2PA

Oltre all'LLM watermark esistono altri modi per riconoscere i testi dell'IA.

Strumenti di rilevamento dell'IA: stimano a posteriori, dalle caratteristiche del testo, se sembra scritto da un'IA. Funzionano anche senza alcun segno, ma restano una stima. In uno studio è bastato parafrasare il testo con un'altra IA perché il tasso di rilevamento di uno di questi strumenti (DetectGPT) scendesse dal 70,3% al 4,6%
C2PA (Content Credentials): aggiunge al file informazioni firmate sulla provenienza. È adatto ai file di immagini o documenti, ma non si può applicare al normale testo che viene copiato e incollato

Anche Anthropic distingue gli usi per l'output di Claude: watermark per il testo e C2PA per i file generati. Spieghiamo C2PA in «Che cos'è C2PA?».

I principali metodi

Esistono diverse famiglie di LLM watermark. Ecco le più rappresentative.

Metodo della lista verde

È un metodo di riferimento presentato nel 2023 da ricercatori dell'Università del Maryland (Kirchenbauer et al., ICML 2023).

A partire dalla parola precedente e dalla chiave, il vocabolario viene ogni volta diviso in una «lista verde» e una «lista rossa»
Al punteggio delle parole della lista verde si aggiunge un piccolo bonus, così che vengano scelte un po' più spesso
Per il rilevamento si contano le parole della lista verde e si verifica statisticamente se sono troppe per essere spiegate dal caso

L'articolo ha mostrato un tasso di rilevamento di circa il 98% o più su testi di 200 token. Il meccanismo è facile da capire ed è implementato anche in Transformers di Hugging Face. D'altra parte, poiché orienta la scelta delle parole, può influire leggermente sulla qualità del testo.

Metodi che non alterano la distribuzione

Per eliminare l'effetto sulla qualità del testo si studiano anche metodi che inseriscono il watermark senza cambiare le probabilità con cui l'IA sceglierebbe ciascuna parola.

Metodo di Aaronson: presentato nel 2022 da Scott Aaronson, informatico teorico che all'epoca faceva ricerca in OpenAI. La scelta delle parole è determinata da numeri casuali generati da una chiave, e secondo lui bastano alcune centinaia di token per ottenere un segno sufficiente
Metodi robusti: ricercatori dell'Università di Stanford hanno presentato un metodo che permette il rilevamento anche se il 40-50% delle parole viene riscritto a caso (Kuditipudi et al., 2023)
Watermark indistinguibili: uno studio ha dimostrato in teoria che, senza la chiave, distinguere un testo con watermark dal testo originale dell'IA è computazionalmente difficile (Christ et al., 2023)

Anche SynthID Text di Google e textGrain di OpenAI si basano su questa idea di «preservare la qualità».

Altri metodi

Sono stati proposti anche metodi che inseriscono il watermark a livello del significato delle frasi anziché delle singole parole, per resistere meglio alle parafrasi (come SemStamp), metodi che incorporano informazioni come l'ID dell'utente e metodi che pubblicano la chiave perché chiunque possa verificarlo.

Come funziona il rilevamento

Il rilevamento degli LLM watermark ha le seguenti caratteristiche.

Serve la chiave: con la maggior parte dei metodi, senza la chiave segreta usata per inserire il watermark non è possibile rilevarlo. Per questo, in linea di principio, possono rilevarlo solo l'azienda che lo ha inserito o chi ha ricevuto la chiave.
Il risultato è espresso in probabilità: il risultato del rilevamento è un giudizio probabilistico come «watermark molto probabilmente presente», «assente» o «non determinabile».
Serve una certa lunghezza: con testi brevi non è possibile un giudizio statistico. La ricerca valuta spesso testi di circa 200 token; per textGrain di OpenAI, con i falsi positivi limitati all'1%, sono stati pubblicati tassi di rilevamento di circa l'80% con 200 token e del 95% con 400 token su testi di psicologia e altri ambiti.
Difficile da inserire nei testi con risposta obbligata: quando la parola successiva è quasi obbligata, come nel codice di programmazione, nei testi standard o nelle risposte fattuali, c'è poco margine per orientare la scelta e il watermark si indebolisce.

Punti deboli e attacchi

La ricerca ha individuato diversi punti deboli degli LLM watermark.

Parafrasi: se il testo viene parafrasato con un'altra IA, il watermark si indebolisce molto. OpenAI ha reso noto che sostituendo il 25% delle parole con sinonimi il tasso di rilevamento di textGrain scende al 17%.
Traduzione: è stato dimostrato che, facendo generare il testo in un'altra lingua e poi traducendolo, il watermark scompare.
Attacco con emoji: è nota anche la tecnica di chiedere all'IA di inserire un'emoji tra una parola e l'altra e poi cancellare le emoji per rompere il watermark.
Contraffazione: si studiano anche attacchi che ricostruiscono le regole del watermark e lo falsificano in testi scritti da persone. Uno studio ha ricostruito le regole con interrogazioni all'API e ha ottenuto tassi di successo superiori all'80% sia nella falsificazione sia nella rimozione, con una spesa inferiore a 50 dollari.
Modelli aperti: nei modelli che chiunque può eseguire, il processo di inserimento del watermark può essere disattivato.

La situazione nelle varie aziende

Dopo Google, nel 2026 anche Anthropic e OpenAI hanno iniziato a inserire un watermark nei testi della propria IA.

OpenAI: nel 2024 si mostrava cauta sull'introduzione del watermark nei testi, perché era facile aggirarlo con traduzioni e altri metodi e perché rischiava di far ricadere sospetti ingiusti sull'uso da parte di chi non ha l'inglese come lingua madre. Il 5 ottobre 2026 ha cambiato linea e ha annunciato il proprio watermark, «textGrain». Lo introduce in ChatGPT e Codex nell'UE, mentre tramite l'API è utilizzabile su base facoltativa in tutto il mondo. Approfondiamo in «Che cos'è textGrain?».
Google: ha sviluppato SynthID Text e nel 2024 ha annunciato di usarlo in Gemini. Lo ha pubblicato in open source. Approfondiamo in «Che cos'è SynthID Text?».
Anthropic: inserisce un watermark nei testi generati da Claude. I modelli pubblicati dal 2 agosto 2026 in poi lo supportano fin dal lancio, e anche i modelli precedenti ricevono il watermark nei servizi di Anthropic stessa. Il metodo si basa su SynthID Text e viene applicato in modo uniforme in tutto il mondo, perché non esiste un modo affidabile per applicarlo separatamente per regione.
Meta: ha pubblicato in open source «TextSeal», uno strumento di ricerca sul watermark nei testi.

I rilevatori di OpenAI e Anthropic sono offerti solo a ricercatori approvati dopo una valutazione, autorità di regolamentazione e soggetti simili; il pubblico non può usarli liberamente.

Le novità normative

Una delle ragioni principali della diffusione dell'LLM watermark sono le norme.

UE: l'articolo 50 dell'AI Act impone ai fornitori di IA che generano contenuti, compresi i testi, di marcare i propri output in un formato leggibile automaticamente, così da poter rilevare che sono stati creati con l'IA. Questa disposizione si applica dal 2 agosto 2026. Tuttavia, la modifica dell'AI Act del 2026 (Digital Omnibus) concede, solo ai sistemi di IA immessi sul mercato prima di tale data, una proroga fino al 2 dicembre 2026 per l'obbligo di marcatura leggibile automaticamente. OpenAI, Google, Anthropic, Meta, Microsoft e Mistral, tra gli altri, hanno firmato il codice di condotta che ne precisa le modalità.
Cina: dal 1° settembre 2025 è in vigore una norma che obbliga a etichettare i contenuti generati con l'IA. Impone di aggiungere un'indicazione visibile ai testi e di inserire un'indicazione invisibile nei metadati dei file. L'aggiunta di filigrane digitali è solo raccomandata.
Giappone: le «Linee guida sull'IA per le imprese» (AI Guidelines for Business) del Ministero degli Affari interni e delle comunicazioni (MIC) e del Ministero dell'Economia, del commercio e dell'industria (METI) chiedono alle organizzazioni che sviluppano IA avanzate di introdurre, quando tecnicamente possibile, meccanismi che permettano di identificare i contenuti generati dall'IA, come le filigrane digitali (senza valore giuridicamente vincolante).

Avvertenze in base al profilo

Utenti e mondo dell'istruzione

Poiché i rilevatori di watermark nei testi sono disponibili solo per un numero limitato di organizzazioni, il pubblico non può praticamente verificare i testi che ha a disposizione. Inoltre, non trovare un watermark non dimostra che il testo sia stato scritto da una persona. Anche i risultati degli strumenti di rilevamento dell'IA sono solo stime, quindi è meglio non usarli come prova per sostenere che il testo di uno studente o di un candidato sia stato scritto da un'IA.

Sviluppatori

Se crei il tuo servizio con modelli aperti, puoi inserire un watermark con strumenti come questi.

Hugging Face Transformers: supporta sia il metodo della lista verde sia SynthID Text, e basta passare la configurazione al momento della generazione del testo
vLLM: dalla versione 0.30.0 di settembre 2026 include di serie una funzione di watermark (metodo Gumbel-max). Il metodo e la chiave si configurano all'avvio del server. Tuttavia, la generazione con temperatura 0 e la beam search non ricevono il watermark
MarkLLM: un toolkit di ricerca per provare molti metodi in un unico strumento

Se la chiave trapela, il watermark può essere falsificato, quindi va gestita con grande attenzione.

In sintesi

L'LLM watermark è una tecnologia che lascia un segno invisibile nel processo con cui l'IA sceglie le parole, così da poterlo verificare in seguito con una chiave. Dopo Google, che ha iniziato a usarlo in Gemini nel 2024, nel 2026 anche Anthropic e OpenAI, spinte dalle norme UE, hanno cominciato una dopo l'altra a inserire un watermark nei propri testi.

Tuttavia è difficile da inserire nei testi brevi o con risposta obbligata, si indebolisce con parafrasi e traduzioni, e pochi possono rilevarlo. Più che una prova decisiva per riconoscere i testi dell'IA, conviene considerare l'LLM watermark come uno dei meccanismi con cui chi fornisce l'IA si assume le proprie responsabilità. Le differenze tra le varie tecnologie sono riassunte in «Confronto tra watermark IA (filigrane digitali)».