Posez deux fois la même question à un modèle de langage et vous obtenez deux réponses différentes. Ce n'est pas de la négligence — c'est le design. Et il se trouve que ce même hasard qui fait varier les sorties est précisément l'ouverture qui permet à un laboratoire de filigraner son texte de façon invisible : non pas en changeant ce que le modèle écrit, mais en changeant d'où vient son hasard. Nous avons construit un explorateur interactif qui permet de régénérer une réponse, de voir où le chemin bifurque, et d'observer le filigrane à l'œuvre ; ce billet en présente les idées — désormais mis à jour avec la propre explication d'Anthropic du 14 août sur le fonctionnement du filigrane de Claude, qui confirme que le mécanisme ci-dessous n'est pas une description générique mais celui, littéral, que Claude utilise.
Première idée : générer, c'est enchaîner des lancers de dés
Un modèle écrit un token à la fois. À chaque étape, il produit une distribution de probabilités sur les tokens suivants possibles ; souvent un candidat domine (après « la tour », il n'y a essentiellement qu'« Eiffel »), mais fréquemment plusieurs continuations se valent presque — un choix à haute entropie — et un nombre aléatoire tranche. La partie critique est ce qui suit : le token choisi devient le contexte de toutes les étapes ultérieures. Deux exécutions du même prompt n'échangent pas seulement des synonymes — une bifurcation précoce peut envoyer tout le reste de la réponse sur une autre route. L'échantillonnage est un chemin dans un arbre qui se ramifie, et les dés choisissent le chemin.
Deuxième idée : le filigrane ne remplace que les dés
Chaque choix à haute entropie consomme un nombre aléatoire. Normalement, il vient d'un générateur aléatoire ordinaire. Avec le filigrane, il vient d'une clé secrète combinée aux mots déjà écrits — et c'est là tout le changement. Les tokens candidats à chaque bifurcation restent les mêmes. Leurs probabilités restent les mêmes. Une réponse filigranée est l'un des chemins que le modèle aurait toujours pu prendre ; sur de nombreux prompts, sorties filigranées et non filigranées sont statistiquement indiscernables pour quiconque n'a pas la clé. C'est la famille des schémas « sans distorsion » — le design derrière la proposition de Scott Aaronson chez OpenAI et, sous forme déployée, SynthID-Text de Google DeepMind, publié dans Nature et en production dans Gemini. Aucune taxe sur la qualité, puisque rien n'a changé dans la distribution — seulement la source du hasard.
Le détenteur de la clé peut ensuite rejouer la dérivation : à partir du texte, recalculer ce que les nombres pseudo-aléatoires à clé auraient été à chaque étape, et vérifier si les choix réellement faits continuent de s'accorder avec eux. Un texte que le modèle n'a jamais écrit ne s'accorde qu'au niveau du hasard.
Troisième idée : la détection est une probabilité, jamais un verdict
Une vérification de filigrane ne répond pas oui ou non. Chaque bifurcation à haute entropie qui s'accorde avec la clé est un élément de preuve de plus, et la confiance se cumule avec le nombre de bifurcations que contient le texte. Le corollaire est net : le filigrane ne vit que là où le modèle avait de vrais choix. Une réponse longue et discursive porte des centaines de bifurcations et produit une confiance statistique écrasante. Une réponse courte, une liste de faits, ou du code — où à la plupart des étapes il n'y avait qu'un seul token raisonnable — ne laisse presque nulle part où loger le signal, peu importe comment les dés ont été lancés. Même mécanisme, détectabilité radicalement différente, et c'est pourquoi tout détecteur honnête rapporte une vraisemblance plutôt que de rendre un verdict.
Pourquoi maintenant : l'AI Act européen, pas une lubie de recherche
La propre explication d'Anthropic, publiée le 14 août, confirme que le filigrane de Claude est une version de SynthID-Text et énonce clairement le déclencheur : depuis le 2 août 2026, l'UE exige des fournisseurs d'IA servant son marché qu'ils marquent le contenu généré par IA, et Anthropic — avec environ 190 autres signataires — a signé le Code de bonnes pratiques de l'UE sur la transparence du contenu généré par IA en juillet 2026. Chaque grand laboratoire qui déploie un filigrane en ce moment le fait pour la même raison réglementaire, sur le même principe de conception sous-jacent, avec des clés différentes. Anthropic déploie le filigrane globalement dès le lancement, pas seulement pour l'UE, car elle dit ne pas encore avoir de moyen durable de le limiter par région — à noter comme un cas où la conformité à la loi d'une juridiction change le produit partout, pas seulement là où la loi s'applique.
Ce que les propres chiffres d'Anthropic confirment
L'annonce répond précisément aux questions opérationnelles que soulève le mécanisme. Aucun impact sur le coût ou la vitesse : le filigrane n'ajoute aucun token supplémentaire, donc servir le modèle coûte le même prix. Aucune traçabilité vers une personne, une organisation ou une conversation : la clé n'encode rien sur l'utilisateur, seulement la probabilité que le modèle ait été impliqué. Une API de détection arrive, détails encore en cours d'élaboration — pour l'instant, vérifier un filigrane exige d'être Anthropic. Et Anthropic rapporte ce à quoi on s'attendrait d'un schéma sans distorsion qui tient réellement à l'usage : dans la propre évaluation de SynthID-Text par Google DeepMind, le trafic Gemini filigrané n'a montré aucune différence statistiquement significative dans les notations pouce-en-haut/pouce-en-bas par rapport au trafic non filigrané, et les tests internes d'Anthropic ainsi qu'une étude humaine contrôlée en côte-à-côte n'ont trouvé aucune différence de qualité détectable non plus.
Trois précisions affinent le point ci-dessus sur le texte à basse entropie qui n'a nulle part où loger le signal. Le code porte peu de filigrane, car une grande partie du code n'a exactement qu'un seul token correct à chaque étape — 2 + 2 = n'a pas d'alternative aussi bonne que 4 — bien que les choix arbitraires à l'intérieur du code, comme la formulation des commentaires, puissent encore en porter. La relecture résiste au filigrane presque par construction : si Claude ne fait que légèrement éditer un texte humain, presque tous les mots de la sortie restent ceux de l'humain, laissant au modèle trop peu de ses propres choix pour laisser une trace détectable. Les traductions, à l'inverse, sont pleinement filigranées — chaque mot de la sortie est un choix de Claude, donc une traduction porte la même densité de signal qu'un texte original.
Anthropic est aussi direct sur ce qu'une détection positive ne prouve pas : elle ne peut pas distinguer « Claude a écrit ceci » de « Claude a lourdement édité ceci », elle ne dit rien sur la paternité ou la propriété, et elle ne peut pas identifier la sortie d'une autre IA même si cette IA filigrane aussi — fournisseur différent, clé différente, aucune couverture partagée. C'est une question fondamentalement différente de celle à laquelle répondent les outils commerciaux de détection d'IA comme Pangram : ces outils n'ont pas de clé et repèrent plutôt des tics stylistiques (Anthropic cite la construction « ce n'est pas X, c'est Y » et l'usage excessif de « quietly »/« discrètement »), un signal fondamentalement plus faible que la vérification d'une dérivation cryptographique. La détection de filigrane avec la clé se rapproche d'une vérification ; sans elle, elle se rapproche d'une supposition. Les anciens modèles Claude, lancés avant l'échéance du 2 août de l'UE, bénéficient d'une période de transition — Anthropic dit ajouter le filigrane à ceux-ci « dans les mois qui viennent », donc un passage écrit par Claude avant ce déploiement, ou par un ancien modèle non filigrané encore en production, ne portera aucun signal.
L'autre type de provenance : le C2PA sur les fichiers
Le filigrane textuel a un cousin pour les images et autres fichiers, et les deux sont faciles à confondre mais fonctionnent de façon complètement différente. Quand Claude produit un fichier d'un type pris en charge (.png, .jpg, .svg), il y attache un content credential C2PA — une petite note de métadonnées signée cryptographiquement, le même standard ouvert que les fabricants d'appareils photo et les outils de retouche photo utilisent déjà pour enregistrer la provenance d'une image. Contrairement à un filigrane, rien dans le contenu réel du fichier ne change et rien n'est caché ; n'importe quel outil compatible C2PA peut lire le credential directement, sans clé ni API de détection. C'est une étiquette, pas une empreinte intégrée dans les choix que Claude a faits.
Les réserves qui accompagnent l'élégance
Trois limites à énoncer aussi clairement que le mécanisme. La détection exige la clé, donc chaque laboratoire ne peut reconnaître que son propre texte — c'est une infrastructure de provenance pour le détenteur du secret, pas un oracle public « est-ce de l'IA ? », et un détecteur tiers sans accès à la clé devine à partir du style. La paraphrase érode le signal, et une réécriture complète le supprime : le propre cadrage d'Anthropic est qu'une légère édition ne supprimera probablement pas entièrement un filigrane, mais que remplacer chaque mot le fera — auquel cas, notent-ils, on peut légitimement se demander si le résultat compte encore comme généré par IA. Et le signal s'amincit exactement là où les enjeux sont souvent les plus élevés — réponses courtes et formats à basse entropie comme le code, exactement comme confirmé ci-dessus. Le watermarking est réel, déployé et mathématiquement élégant ; c'est une couche de provenance, pas la fin de la question « est-ce qu'une IA a écrit ceci ? ».
À surveiller
- Les conditions réelles de l'API de détection. Anthropic annonce qu'une API arrive mais n'a pas précisé l'accès, la tarification ni les limites de débit — ces détails détermineront si la vérification est un service public ou un outil d'entreprise sous accès restreint.
- Le déploiement sur les anciens modèles. Filigraner les modèles Claude d'avant le 2 août est promis « dans les mois qui viennent », un vrai trou de couverture en attendant — à vérifier au fil de ce calendrier quels modèles restent non filigranés.
- La standardisation inter-laboratoires. Des clés par laboratoire signifient une détection par laboratoire ; environ 190 signataires du Code de bonnes pratiques déploient chacun leur propre schéma, et que l'industrie converge vers une infrastructure de vérification partagée déterminera si le watermarking reste cloisonné ou devient une provenance publique.
- La course à la paraphrase. Chaque filigrane déployé invite des outils de blanchiment ; la durabilité du signal sous réécriture adversariale, et non en évaluation de laboratoire, est le chiffre qui compte.
Références : Explorateur interactif — voir la bifurcation, changer les dés · Anthropic — How Claude's text watermark works · Dathathri et al. — Scalable watermarking for identifying LLM outputs (SynthID-Text, Nature 2024) · Scott Aaronson — discussion du schéma de watermarking · Kirchenbauer et al. — A Watermark for Large Language Models · couverture liée : Comprendre la quantification des modèles d'IA · SigLIP expliqué