C'est quoi un watermark statistique pour un LLM ?

Un watermark statistique est un signal invisible intégré dans le texte au moment de sa génération par le modèle. Il ne change ni le sens, ni la qualité, ni la lisibilité du texte. Il fonctionne en modifiant légèrement les probabilités de choix de tokens pendant la génération, de façon détectable statistiquement par qui connaît la clé. Anthropic l'a déployé mondialement pour tous les modèles Claude lancés depuis le 2 août 2026.

Le watermark de Claude prouve-t-il qu'un texte a été écrit par une IA ?

Non. Un watermark détecté prouve que le texte a été traité par Claude, pas que Claude en est l'auteur. Une personne peut utiliser Claude pour relire, traduire, résumer ou convertir un texte qu'elle a écrit. Le résultat porte le watermark même si le contenu original vient d'un humain. Anthropic le dit explicitement dans sa documentation.

Le watermark de Claude survit-il à la paraphrase ?

Le watermark statistique degrade sous la paraphrase, la traduction aller-retour, le renaming de variables dans le code, ou les attaques de scrubbing boîte noire qui ne nécessitent même pas de connaître le schéma. Les métadonnées C2PA sur les fichiers sont strippées par toute capture d'écran ou ré-enregistrement. Des outils open source de suppression C2PA existent déjà.

Le watermark est-il uniquement pour les utilisateurs européens ?

Non, Anthropic a appliqué le watermark mondialement, pas seulement pour les utilisateurs européens. Le règlement européen (AI Act article 50) exige le marquage du contenu généré par IA en Europe, mais Anthropic a choisi d'aller au-delà et de l'appliquer partout où Claude est disponible.

Peut-on détecter le watermark de Claude aujourd'hui ?

Pas encore. Anthropic a annoncé que le watermark est actif depuis le 2 août 2026, mais le détecteur public n'a pas encore été publié. Actuellement, seul Anthropic peut vérifier la présence du watermark. La documentation technique de détection est à venir.

Concepts · IA générative

Claude watermark le texte qu'il génère (et comment ça marche)

12 août 2026 · 7 min de lecture

Depuis le 2 août 2026, tout texte produit par un modèle Claude lancé à cette date ou après contient un watermark invisible. Anthropic a déployé le système mondialement, pas seulement en Europe. C'est le premier lab frontier à le faire à cette échelle. OpenAI, de son propre aveu, n'y est pas encore.

La page de support d'Anthropic décrit deux mécanismes : un watermark statistique tissé dans le texte, et des métadonnées de provenance signées (C2PA) attachées aux fichiers. Anthropic n'a pas publié les détails techniques de son watermark. Mais la science derrière existe, elle est documentée, et elle a des limites que tout le monde devrait connaître.

Ce que Anthropic a annoncé

Le 10 août 2026, Anthropic a publié une page de support décrivant comment Claude marque le contenu généré par IA. Deux techniques :

Watermark texte : un watermark statistique intégré directement dans le texte au moment de la génération. Invisible, ne change ni le sens, ni la qualité, ni la lisibilité. Suit le texte quand il est copié-collé, et peut survivre à certaines modifications.
Métadonnées C2PA : pour les fichiers (.svg, .png, .jpg), Claude attache des métadonnées signées suivant le standard C2PA (Coalition for Content Provenance and Authenticity). Ça permet de savoir que le fichier a été traité par Claude et de détecter s'il a été modifié.

Le watermark texte s'applique partout : API Claude, claude.ai, Claude Code, Claude Cowork, Claude Tag, et les modèles Claude accédés via AWS, Google Cloud et Microsoft Foundry. Partout dans le monde, pas seulement pour les utilisateurs européens.

Anthropic a signé le Code of Practice de l'article 50(2) de l'AI Act européen, qui exige le marquage du contenu généré par IA. Le règlement est entré en vigueur le 2 août 2026 pour les nouveaux systèmes. Les modèles lancés avant cette date ont jusqu'au 2 décembre 2026 pour s'aligner.

Comment fonctionne le watermarking statistique des LLMs

Anthropic n'a pas publié sa méthode exacte. Mais la technique appartient à une famille établie par John Kirchenbauer et ses collègues de l'Université du Maryland en 2023. Voici comment elle marche.

Le principe : vert et rouge

Le vocabulaire d'un LLM compte des dizaines de milliers de tokens. À chaque étape de génération, le modèle choisit le prochain token parmi une distribution de probabilités. Le watermark exploite ce choix.

La méthode classique partitionne le vocabulaire en deux ensembles à chaque position : une liste verte et une liste rouge. La partition est déterminée par une fonction de hachage cryptographique qui prend le token précédent (ou une fenêtre de tokens précédents) comme clé. À chaque position, les tokens verts changent.

Pendant la génération, le modèle applique un biais positif sur la probabilité des tokens verts. Le biais est petit : le modèle préfère légèrement les tokens verts, mais pas assez pour que ça se lise. Un humain ne voit rien. Le texte reste naturel.

Le détecteur, lui, connaît la clé. Il recalcule la partition à chaque position et compte la proportion de tokens verts dans le texte. Si la proportion dépasse un seuil statistique, le texte est marqué.

Les deux paramètres qui changent tout

Le système a deux boutons. Le ratio de partition contrôle quelle fraction du vocabulaire est verte (50/50 est courant). Le biais delta contrôle la force de la préférence pour les tokens verts.

Monte delta : le watermark est plus facile à détecter, plus dur à retirer, mais le modèle commence à faire des choix de mots peu naturels. Baisse delta : la qualité du texte s'améliore, mais la détection devient peu fiable sur les textes courts.

Les recherches publiées rapportent des taux de faux positifs sous 3% et de faux négatifs sous 1% en conditions contrôlées. La phrase clé est "en conditions contrôlées". Ça suppose que le texte n'a pas été modifié après génération.

Les variantes en production

Google a déployé SynthID-Text dans Gemini depuis octobre 2024, pour 20 millions d'utilisateurs. Au lieu d'une simple partition vert/rouge, SynthID utilise une fonction pseudo-aléatoire appliquée au contexte de génération pour ajuster les scores de probabilité des tokens. Le détecteur produit trois états : watermarked, not watermarked, ou uncertain. C'est un cadre bayésien, pas un test binaire.

Le test à grande échelle de Google n'a montré aucune dégradation de qualité mesurable. Mais Google est transparent sur les faiblesses : les réponses factuelles laissent moins de liberté au modèle (il doit produire un fait précis, pas choisir parmi des synonymes), donc moins d'opportunités d'intégrer le watermark. Et la réécriture ou la traduction aller-retour dégradent le signal.

Comment ils auraient pu faire : les approches possibles

Anthropic n'a pas publié les détails. Mais vu l'état de l'art, voici les approches qu'un lab frontier peut utiliser.

Approche 1 : Biais de logit (Kirchenbauer)

La plus documentée. À chaque token, on partitionne le vocabulaire selon un hash du contexte précédent, et on ajoute un biais aux logits des tokens verts. C'est rapide, ça se fait au moment de l'inférence, ça ne change ni l'entraînement ni les poids du modèle.

C'est probablement la famille de techniques qu'Anthropic utilise, parce que la page de support dit que le watermark "suit le texte quand il est copié-collé", ce qui est la signature d'un watermark au niveau des tokens.

Approche 2 : Tournament sampling (SynthID-Text)

Au lieu de biaiser les logits, on modifie le processus de sampling lui-même. On organise un tournoi entre les tokens candidats : des scores pseudo-aléatoires pondèrent les tokens, et le gagnant est sélectionné par élimination par paires. Le signal est plus dur à spoof et dégrade moins la qualité que la méthode verte/rouge.

C'est l'approche de Google. Anthropic pourrait utiliser une variante, mais la page de support ne donne pas assez de détails pour le savoir.

Approche 3 : Watermark multi-bit

Au lieu d'un seul bit (watermarked ou non), on encode un payload : version du modèle, timestamp, ID utilisateur. L'attrait est réel : on pourrait tracer un contenu jusqu'à l'appel API précis qui l'a généré.

Le coût est l'extraction. Certains schémas 32-bit nécessitent des heures de calcul pour extraire le payload. MirrorMark encode 54 bits dans 300 tokens avec une précision utile, mais l'infrastructure d'extraction à l'échelle de production reste un projet d'ingénierie conséquent.

Approche 4 : Watermark indétectable

Des constructions cryptographiques existent où le watermark est impossible à distinguer d'un texte non watermarké sans la clé secrète. Théoriquement propre. Pas déployé en production à ce jour.

Les limites : ce que le watermark ne survit pas

C'est la partie que tout le monde devrait lire.

Paraphrase

Réécrire le texte en gardant le sens casse les statistiques de tokens. Les paraphraseurs entraînés spécifiquement pour l'évasion peuvent battre la plupart des schémas actuels avec un impact négligeable sur la qualité du texte. L'attaque SIRA (Self-Information Rewrite Attack) cible les tokens à haute entropie (ceux où le modèle avait vraiment le choix) et les réécrit. 100% de succès contre sept schémas de watermarking pour 0,88$ par million de tokens.

Traduction aller-retour

Traduire le texte dans une autre langue puis revenir change suffisamment la structure des phrases pour disperser les statistiques de tokens. Le contenu sémantique survit. Le watermark, non.

Pour le code

Le code est particulièrement fragile. Renommer une variable, insérer du code mort, changer une structure : sémantiquement transparent pour un humain, statistiquement destructif pour un watermark. Le code offre plus d'opportunités de réécriture préservant le sens que la prose.

Scrubbing boîte noire

L'attaque "b4" (NAACL 2025) ne nécessite aucune connaissance du schéma de watermarking. Juste un accès API. On peut éliminer un watermark sans reverse-engineer le système spécifique utilisé.

Côté C2PA

Les métadonnées C2PA sur les fichiers sont utiles mais fragiles. Une capture d'écran ou une ré-enregistration du fichier les strippe. Des outils open source de suppression C2PA existent déjà sur GitHub.

Ce que le watermark prouve (et ne prouve pas)

Anthropic est clair là-dessus, et c'est important : un watermark détecté ne prouve pas que Claude est l'auteur. Une personne peut utiliser Claude pour relire, traduire, résumer ou convertir un fichier. Le résultat porte le watermark de Claude même si les idées, le texte ou les données viennent d'ailleurs.

Inversement, l'absence de watermark ne prouve pas que le contenu n'est pas généré par IA. Les anciens modèles n'en ont pas. Une édition lourde le détruit. Les passages très courts le rendent indétectable. Les conversions de format peuvent stripper les métadonnées C2PA.

Le détecteur public n'existe pas encore. Anthropic dit qu'il partagera les détails techniques de détection dans une documentation à venir. Pendant ce temps, le watermark est présent partout, mais personne ne peut le vérifier en dehors d'Anthropic.

Un exemple chez Maisons&Mobilia

Pierre, développeur chez Maisons&Mobilia (M&M, enseigne de meubles fictive), utilise Claude pour générer des rapports de stock hebdomadaires. Depuis août, ces rapports contiennent un watermark.

Est-ce que ça change quelque chose pour Pierre ? Non. Le watermark est invisible, ne change pas la qualité du texte, et personne à M&M n'a de détecteur pour le vérifier.

Est-ce que ça change quelque chose pour les contenus publics de M&M ? Un peu. Si l'équipe marketing utilise Claude pour rédiger des descriptions de produits et les publie telles quelles, le watermark est là. Si un concurrent ou un régulateur obtient un détecteur, il peut identifier ces textes comme "traités par Claude". Pas comme "écrits par Claude", parce que le watermark ne prouve pas l'auteurship. Mais comme "passés par Claude" à un moment donné.

Si Pierre paraphrase le texte avec un autre outil, le watermark disparaît. La question n'est pas "est-ce que c'est triché de le faire", c'est "est-ce que le watermark est un outil fiable pour la transparence". La réponse est : partiellement, pour l'instant.

Ce que ça change pour toi

Le watermark de Claude est un signal, pas une preuve. Il dit "ce texte a été généré par un modèle Claude", pas "ce texte a été écrit par une IA au lieu d'un humain". La nuance compte, parce que la plupart des usages de Claude sont de la transformation (relire, résumer, traduire), pas de la création from scratch.

Pour la conformité réglementaire, c'est suffisant. L'AI Act demande un marquage machine-readable, Anthropic le fournit. Pour la détection adversariale (quelqu'un qui veut cacher qu'il a utilisé une IA), c'est fragile. Les attaques existent, elles marchent, et elles sont peu coûteuses.

La fenêtre actuelle est étrange : le watermark est partout, mais personne ne peut le détecter sauf Anthropic. Quand le détecteur public sortira, il faudra le traiter comme un signal parmi d'autres, pas comme une preuve définitive. Exactement comme Anthropic le décrit.

Aller plus loin

Pour comprendre comment les LLMs choisissent les tokens pendant la génération, notre article sur comment fonctionne un grand modèle de langage pose les bases. Pour voir comment les agents IA utilisent les sorties des modèles, le guide sur comment fonctionne un agent IA détaille l'orchestration. Et pour t'entraîner à ces notions en 5 minutes par jour, l'app saisir.ai propose des modules interactifs sur les LLMs, les tokens et la génération, en français, sans coder.

Sources

Questions fréquentes

C'est quoi un watermark statistique pour un LLM ?: Un watermark statistique est un signal invisible intégré dans le texte au moment de sa génération par le modèle. Il ne change ni le sens, ni la qualité, ni la lisibilité du texte. Il fonctionne en modifiant légèrement les probabilités de choix de tokens pendant la génération, de façon détectable statistiquement par qui connaît la clé. Anthropic l'a déployé mondialement pour tous les modèles Claude lancés depuis le 2 août 2026.
Le watermark de Claude prouve-t-il qu'un texte a été écrit par une IA ?: Non. Un watermark détecté prouve que le texte a été traité par Claude, pas que Claude en est l'auteur. Une personne peut utiliser Claude pour relire, traduire, résumer ou convertir un texte qu'elle a écrit. Le résultat porte le watermark même si le contenu original vient d'un humain. Anthropic le dit explicitement dans sa documentation.
Le watermark de Claude survit-il à la paraphrase ?: Le watermark statistique degrade sous la paraphrase, la traduction aller-retour, le renaming de variables dans le code, ou les attaques de scrubbing boîte noire qui ne nécessitent même pas de connaître le schéma. Les métadonnées C2PA sur les fichiers sont strippées par toute capture d'écran ou ré-enregistrement. Des outils open source de suppression C2PA existent déjà.
Le watermark est-il uniquement pour les utilisateurs européens ?: Non, Anthropic a appliqué le watermark mondialement, pas seulement pour les utilisateurs européens. Le règlement européen (AI Act article 50) exige le marquage du contenu généré par IA en Europe, mais Anthropic a choisi d'aller au-delà et de l'appliquer partout où Claude est disponible.
Peut-on détecter le watermark de Claude aujourd'hui ?: Pas encore. Anthropic a annoncé que le watermark est actif depuis le 2 août 2026, mais le détecteur public n'a pas encore été publié. Actuellement, seul Anthropic peut vérifier la présence du watermark. La documentation technique de détection est à venir.