Che cos'è SynthID Text? LLM watermark (filigrana nei testi IA): funzionamento, uso e rilevamento

È possibile capire in seguito che un testo è stato scritto da un'IA? Gli strumenti di rilevamento che lo stimano dalle caratteristiche del testo sono spesso criticati per i loro errori, per cui si studia e si applica già un altro metodo: inserire una filigrana digitale (watermark) invisibile nel momento in cui l'IA genera il testo. Questo tipo di filigrana nell'output di un LLM (modello linguistico di grandi dimensioni) è chiamato anche LLM watermark (LLM watermarking). L'esempio più noto è SynthID Text di Google DeepMind. In questo articolo vediamo come funziona SynthID Text, l'effetto sulla qualità, come possono usarlo gli sviluppatori, come si rileva e in quali casi funziona male, sulla base della documentazione ufficiale e dell'articolo su Nature, con informazioni aggiornate al 9 ottobre 2026.

Per SynthID nel suo complesso, incluse immagini, video e audio, vedi «Che cos'è SynthID?».

Che cos'è SynthID Text

SynthID Text è una tecnologia per inserire una filigrana digitale nei testi generati dai modelli linguistici di grandi dimensioni (LLM) e rilevarla in seguito. Tra gli LLM watermark è un'implementazione di riferimento, usata su larga scala in servizi reali e utilizzabile da chiunque perché open source. È stata sviluppata da Google DeepMind, che il 23 ottobre 2024 ne ha presentato il funzionamento in un articolo sulla rivista scientifica Nature e contemporaneamente l'ha pubblicata in open source.

La sua particolarità è che non inserisce simboli o caratteri invisibili nel testo, ma lascia il watermark nel modo stesso in cui l'IA sceglie le parole. Leggendolo non si distingue da un testo normale e, secondo Google, non influisce sulla qualità del testo.

Al momento della pubblicazione dell'articolo, Google spiegava che anche le risposte di Gemini contenevano il watermark di SynthID Text. A ottobre 2026 non siamo riusciti a trovare nuove spiegazioni ufficiali su come venga applicato attualmente in Gemini.

Viene usato anche al di fuori di Google. Ad agosto 2026 Anthropic ha spiegato che il watermark dei testi generati da Claude «si basa sul metodo di SynthID Text».

Come funziona: il watermark resta nella scelta delle parole

Quando genera un testo, un LLM assegna una probabilità a ciascun candidato per la parola successiva (più precisamente, il token successivo) e ne sceglie uno, ripetendo il processo. SynthID Text interviene proprio in questa fase di «scelta».

L'articolo su Nature chiama questo metodo tournament sampling (campionamento a torneo). In sintesi, il procedimento è il seguente.

Si estraggono più candidati per la parola successiva secondo le probabilità del LLM
I candidati si sfidano in un torneo a eliminazione diretta. Il vincitore di ogni sfida è deciso da un punteggio (la funzione g) calcolato a partire da una chiave segreta e dalle poche parole immediatamente precedenti
Il candidato che supera tutti i turni diventa la parola effettivamente prodotta

Poiché i candidati provengono dalle parole che il LLM tenderebbe comunque a scegliere, il testo resta naturale. Al contrario, chi conosce la chiave e ricalcola i punteggi scopre che le parole prodotte hanno punteggi più alti della media. Questo sbilanciamento è il watermark.

La documentazione di Google per gli sviluppatori lo descrive come un «logits processor» applicato dopo il consueto filtraggio dei candidati, come Top-K o Top-P. Inoltre, il watermark non viene inserito nei punti in cui si ripetono le stesse espressioni, per preservarne la rilevabilità.

Effetto su qualità e velocità

Un grande punto di forza di SynthID Text è essere stato verificato su larga scala in un servizio reale. L'articolo su Nature confronta circa 20 milioni di risposte di Gemini, con e senza watermark.

La differenza nella percentuale di valutazioni positive degli utenti è stata dello 0,01% e in quella delle valutazioni negative dello 0,02%: praticamente nessuna differenza di qualità

In una misurazione della velocità effettuata separatamente, l'aumento del tempo di generazione dovuto al watermark si è fermato a circa lo 0,57%.

Inoltre non serve riaddestrare il LLM: basta modificare la procedura di generazione del testo. Anche per il rilevamento non è necessario il LLM originale.

Come usarlo come sviluppatore

SynthID Text è integrato nella libreria Transformers di Hugging Face (versione 4.46.0 o successive). È disponibile anche nel Responsible GenAI Toolkit di Google e su GitHub in google-deepmind/synthid-text. Il codice su GitHub ha licenza Apache 2.0 ed è un'implementazione di riferimento per riprodurre l'articolo. Per l'uso in produzione si consiglia l'implementazione ufficiale di Transformers.

Con Transformers si crea la configurazione del watermark (SynthIDTextWatermarkingConfig) e la si passa alla funzione che genera il testo. I parametri principali sono questi.

keys (obbligatorio): elenco di numeri interi casuali che fungono da chiave del watermark. Se trapela, il watermark potrebbe essere falsificato, quindi va custodito in segreto
ngram_len (obbligatorio): numero di parole precedenti usate per calcolare il punteggio. Più è alto, più è facile il rilevamento; più è basso, più il watermark resiste alle riscritture. La documentazione ufficiale consiglia 5 come valore predefinito
sampling_table_size: dimensione della tabella usata internamente. Per evitare sbilanciamenti si consiglia 2 alla 16 (65536) o più
sampling_table_seed: seme casuale per creare la tabella. Va bene qualsiasi numero intero
context_history_size: quantità di contesto registrata per individuare le ripetizioni. Il valore predefinito è 1024

La documentazione ufficiale di Transformers riporta un codice di esempio che mostra concretamente come scrivere la configurazione.

Come rilevare il watermark

Per rilevare il watermark servono la stessa configurazione delle chiavi e lo stesso tokenizer usati per generare il testo. Per questo solo chi ha inserito il watermark (o chi ha ricevuto la chiave) può rilevarlo.

L'implementazione ufficiale offre tre metodi di rilevamento: uno basato sulla media dei punteggi, uno sulla media ponderata e un rilevatore bayesiano addestrato. Il rilevatore bayesiano restituisce tre possibili risultati, «watermark presente», «watermark assente» e «non determinabile», e permette di regolare la severità del giudizio con due soglie.

Il rilevatore bayesiano va addestrato prima dell'uso con il proprio modello e le proprie chiavi; secondo la spiegazione di Hugging Face servono almeno 10.000 esempi. Inoltre, secondo la documentazione di Google per gli sviluppatori, il rilevatore può essere reso disponibile in tre modi: usarlo solo internamente, offrirlo all'esterno come API oppure distribuire il rilevatore stesso.

Non c'è invece alcuna indicazione che un watermark inserito con le proprie chiavi possa essere rilevato con SynthID Detector di Google o strumenti simili.

Casi difficili e limiti

La documentazione di Google per gli sviluppatori e l'articolo su Nature indicano i seguenti limiti.

Risposte fattuali: nelle domande con una risposta quasi obbligata c'è poco margine per cambiare la scelta delle parole, quindi il watermark perde efficacia
Riscritture profonde: se il testo viene riscritto a fondo, l'affidabilità del rilevamento cala molto
Traduzione: se il testo viene tradotto in un'altra lingua, l'affidabilità del rilevamento cala molto
Attacchi deliberati: proteggersi da chi cerca intenzionalmente di eliminare il watermark non rientra negli obiettivi del progetto
Modelli aperti: con modelli che chiunque può eseguire è difficile imporre l'inserimento del watermark

Differenze con gli strumenti di rilevamento dei testi IA

Per riconoscere i testi scritti dall'IA, oltre alle filigrane digitali come SynthID Text esistono gli strumenti di rilevamento dell'IA, che stimano dalle caratteristiche del testo se sembra scritto da un'IA.

Filigrana digitale: chi genera il testo inserisce in anticipo un contrassegno. Con la chiave si ottiene un giudizio fondato, ma non si possono riconoscere i testi di IA privi di watermark
Strumenti di rilevamento dell'IA: possono fare una stima sui testi di qualsiasi IA, ma resta una stima, e a volte classificano come IA testi scritti da persone

La tendenza a contrassegnare gli output dell'IA si sta diffondendo anche ad altre aziende. Per esempio, Anthropic inserisce nei testi generati da Claude un watermark basato sul metodo di SynthID Text (per ora il rilevamento è un'anteprima privata limitata ad autorità di regolamentazione e soggetti simili). Anche OpenAI ha presentato a ottobre 2026 un proprio watermark per i testi, «textGrain». Il confronto tra i vari metodi è approfondito in «Confronto tra watermark IA (filigrane digitali)».

In sintesi

SynthID Text è una tecnologia che contrassegna i testi dell'IA in modo impercettibile alla lettura, lasciando un watermark nel processo con cui l'IA sceglie le parole. Una verifica su circa 20 milioni di risposte di Gemini ha mostrato un impatto quasi nullo sulla qualità, e una misurazione separata ha mostrato un effetto minimo anche sulla velocità. È disponibile a chiunque tramite Transformers.

Tuttavia è debole con risposte fattuali brevi, traduzioni e riscritture profonde, e solo chi ha inserito il watermark può rilevarlo. Più che una prova decisiva per riconoscere i testi dell'IA, conviene vederlo come uno dei meccanismi con cui un'azienda si assume la responsabilità degli output della propria IA.