Claude va signer ses textes en filigrane

Le 11 août, Anthropic a mis en ligne une page d’aide comme on range un dossier, sans annonce ni communiqué, quelques paragraphes pour expliquer que Claude marquerait désormais ce qu’il écrit^[1]. Trois jours auront suffi pour que la discrétion se retourne contre son auteur, puisque le 14, l’entreprise publiait un article entier afin de répondre à des abonnés qui parlaient de lettre écarlate et postaient sur X la capture de leur résiliation^[2].

Trois jours entre la note de service et l’incendie

La page d’aide tient en une poignée d’affirmations tranquilles. Les modèles sortis à partir du 2 août portent la marque dès leur lancement, les plus anciens la recevront au fil des mois, et le marquage vaut partout où Claude parle, l’interface grand public, l’API, Claude Code, Cowork, Claude Tag, y compris lorsqu’il tourne chez Amazon, Google ou Microsoft. Pour les images et les SVG qu’il produit, Anthropic joint en prime une signature de provenance au format C2PA, norme ouverte qui atteste qu’un fichier n’a pas été retouché depuis sa naissance.

Une phrase a mis le feu, celle qui précise que la marque voyage avec le texte lorsqu’on le copie ailleurs et qu’elle survit parfois à la réécriture. Des dizaines d’abonnés y ont lu une trahison, l’un dénonçant « une conspiration contre les utilisateurs innocents de Claude », un autre comparant l’empreinte à une lettre écarlate qui resterait collée au texte longtemps après sa sortie de l’application. La plupart des plaintes venaient de gens affirmant n’utiliser Claude que pour relire leur propre prose, et de développeurs redoutant qu’une signature cryptographique dégrade leur code^[3]. Sur Reddit, où l’on attendait le même déluge, la majorité a plutôt approuvé, un commentateur résumant l’affaire d’une ligne qui a le mérite de la franchise, la seule raison de refuser ce marquage étant de vouloir mentir à quelqu’un.

Le calendrier explique l’essentiel. Le 2 août, l’article 50 du règlement européen sur l’IA est entré en application et impose aux systèmes génératifs de marquer leurs productions dans un format lisible par une machine, obligation dont je racontais ici même l’entrée en vigueur. Anthropic figure parmi les quelque cent quatre-vingt-dix signataires du code de bonnes pratiques rédigé par le Bureau européen de l’IA, aux côtés de Google, Meta, Microsoft, OpenAI, Mistral et Cohere^[4]. La marque n’a donc rien d’une lubie maison, et les concurrents qui n’ont pas encore annoncé la leur y viendront.

Une pièce truquée de un pour cent

Le procédé porte un nom, SynthID-Text, sorti des laboratoires de Google DeepMind et publié dans Nature en 2024^[5]. Rien n’est ajouté au texte, ni caractère caché, ni jeton supplémentaire, et la facture ne bouge pas d’un centime. Le filigrane se loge dans les hésitations du modèle. Quand Claude écrit que le temps était froid et cherche le mot suivant, « couvert » et « gris » se valent, si bien que le tirage entre les deux peut être orienté par une clé secrète sans que personne n’y voie rien.

Un choix isolé ne prouve rien, comme une pièce tordue de un pour cent dont un seul lancer n’apprend rien alors que mille lancers la désignent sans hésiter. Le détecteur ne lit pas le texte, il compte, et compare la fréquence des mots préférés à ce que le hasard produirait. Une prose humaine tombe dans les bonnes cases une fois sur deux, une prose marquée y tombe un peu trop souvent pour que ce soit fortuit.

Google fait tourner ce mécanisme dans Gemini depuis 2024 et en a mesuré l’effet sur une vingtaine de millions de réponses, sans que les utilisateurs perçoivent la moindre différence de qualité, de créativité ou de vitesse^[6]. Anthropic promet la même neutralité et ajoute la précision qui aurait dû calmer la moitié de la fronde, puisque la marque ne transporte aucune information identifiante et ne remonte ni à une personne, ni à une entreprise, ni à une conversation. Elle dit qu’un modèle est passé par là, jamais lequel de ses utilisateurs l’a fait travailler.

L’espace fine n’a jamais dénoncé personne

Reste la légende tenace, celle des caractères invisibles. Depuis deux ans, des fils entiers recensent les espaces de largeur nulle et les espaces fines insécables débusquées dans les sorties des modèles, présentées comme la preuve d’un marquage clandestin. Ce sont des habitudes typographiques héritées de l’entraînement, et leur fragilité même les disqualifie, puisqu’un rechercher-remplacer les efface en une seconde^[7]. Un filigrane qu’on retire par accident en collant du texte dans un formulaire ne serait pas un filigrane.

Le procès fait au tiret cadratin relève de la même confusion, alors qu’il n’y a là qu’un tic d’écriture anglo-saxon. Ce blog offre d’ailleurs un contre-exemple involontaire, puisque le français impose une espace fine avant le point-virgule, le point d’exclamation, le point d’interrogation et à l’intérieur des guillemets, si bien que chacun de mes articles en contient des dizaines. Un détecteur réglé sur ce caractère condamnerait toute la typographie française correcte et blanchirait quiconque compose à la va-vite. Les vrais filigranes se cachent ailleurs, dans les statistiques, là où l’œil ne va pas.

Ce que la marque ne dira jamais

Anthropic énumère honnêtement les limites, et elles sont sévères. Le filigrane ne confirme pas qu’un humain a écrit un texte, ne reconnaît pas les productions des modèles concurrents, s’efface sous une réécriture intégrale et s’affaiblit à chaque retouche. Il fonctionne mal sur les textes courts et sur les passages factuels, faute de mots interchangeables où loger la préférence, de sorte que le code échappe largement au dispositif, à la grande consolation des développeurs inquiets. La page d’aide reconnaît surtout qu’une marque détectée reste un signal, jamais une conclusion, et que son absence ne prouve nullement l’absence de machine.

L’ennui vient de l’usage plutôt que de la technique. La signature atteste qu’un modèle est intervenu quelque part, sans distinguer le texte que Claude a rédigé du texte qu’il a simplement corrigé. Un professeur ou un recruteur qui obtiendra ce signal y lira pourtant un verdict de paternité, parce que c’est le verdict qu’il cherchait. Quiconque écrit dans une langue étrangère et se fait relire par une machine récoltera un texte entièrement marqué pour une pensée entièrement sienne, ce qui promet quelques injustices bien senties.

Le détecteur, enfin, n’existe pas encore. Anthropic a annoncé une API de vérification, et annoncé est ici le mot qui compte, puisque rien n’a été livré à ce jour^[8]. Aucune école, aucune entreprise, aucune plateforme ne peut lire la marque, d’où cet objet curieux, une signature dont l’unique lecteur est celui qui l’appose. L’accusation, elle, se portera sans attendre, avec les détecteurs maison dont on connaît déjà la fiabilité.

Le tricheur consciencieux dormira tranquille

L’asymétrie saute aux yeux dès qu’on cherche à contourner le dispositif, tant l’opération demande peu d’effort. Il suffit de faire reformuler le texte par un modèle qui ne marque pas, DeepSeek, Qwen, un Llama tournant sur sa propre machine, pour que la statistique se dissolve. Le lycéen qui industrialise la fraude connaît la manœuvre, celui qui a demandé à Claude de réordonner un paragraphe ne la connaît pas, et c’est le second que l’empreinte désignera. Une règle qui n’attrape que les honnêtes distraits mérite qu’on s’interroge sur ce qu’elle mesure.

OpenAI avait tranché autrement, et son arbitrage éclaire l’affaire mieux que n’importe quelle déclaration. L’entreprise a construit son propre filigrane textuel, mesuré à 99,9 % de fiabilité en interne, puis l’a gardé dans un tiroir pendant deux ans. Parmi les motifs invoqués figuraient le risque d’accusations infondées et le sort réservé aux locuteurs non natifs, mais un chiffre pesait plus lourd que les autres, puisqu’un sondage maison indiquait que près de 30 % des utilisateurs se serviraient moins de ChatGPT si le produit portait une marque que les concurrents n’auraient pas^[9]. La transparence était prête, la concurrence l’a rangée.

Voilà exactement ce que le règlement européen corrige, en imposant le marquage à tout le monde en même temps plutôt qu’à celui qui aurait le courage de commencer. Le paradoxe vaut d’être savouré, puisqu’un continent qui ne fabrique aucun des modèles concernés obtient d’une entreprise californienne qu’elle signe ses sorties dans le monde entier, y compris pour des utilisateurs américains qui n’ont jamais voté pour ça et le font copieusement savoir.

Je reste favorable au filigrane, et pas seulement parce que Bruxelles l’exige. Savoir si un texte vient d’une machine tient du même droit élémentaire que savoir à qui l’on parle, et je préfère un dispositif imparfait à l’aveuglement qui l’a précédé. Mais une marque que son émetteur seul peut lire relève de la promesse plutôt que de la preuve, et tout se jouera le jour où l’API de vérification ouvrira ses portes aux écoles, aux employeurs et aux rédactions.

Le plus savoureux dans cette histoire tient au calendrier, puisqu’aucun modèle marqué n’est encore sorti au moment où j’écris ces lignes, la génération actuelle ayant précédé le 2 août de plusieurs mois^[7:1]. Des gens ont donc résilié leur abonnement pour protester contre une signature qui n’a jamais figuré dans une seule de leurs conversations, ce qui reste, avouons-le, une manière assez originale de plaider l’authenticité.