Ce que le filigrane mesure n'est pas ce qu'on croit y lire

Le 14 août 2026, Anthropic a annoncé apposer un filigrane sur les textes produits par ses modèles. Le procédé s'appelle SynthID-Text, il vient de Google DeepMind, et l'annonce en donne la raison sans détour : « We're implementing watermarking to comply with the EU AI Act ».

Nous utilisons ces modèles pour écrire, y compris ce billet. La nouvelle nous concerne donc directement, et la première chose que nous avons faite a été d'aller lire comment le procédé fonctionne — avant d'en tirer quoi que ce soit.

Ce que nous y avons trouvé ne correspond pas à l'idée qu'on se fait d'un filigrane.

Le procédé n'ajoute rien

La phrase est dans l'annonce, et elle mérite d'être lue lentement :

« Nothing is added to the text and there are no hidden characters »

Rien n'est ajouté. Aucun caractère invisible, aucune balise, aucune métadonnée accrochée au fichier. Ce n'est donc pas un tampon posé sur un document — c'est une propriété du texte lui-même.

Le mécanisme tient à la manière dont un modèle choisit ses mots. À chaque mot, plusieurs suites sont possibles ; le procédé oriente ce choix selon une clé, de façon imperceptible à la lecture. La marque n'est pas dans le texte comme un objet caché : elle est la statistique des mots retenus.

C'est élégant, et ça a une conséquence immédiate que l'annonce écrit elle-même :

« Light editing probably won't remove the watermark completely; a complete rewrite where every word is replaced will. »

Une édition légère ne l'enlève probablement pas complètement. Une réécriture complète, où chaque mot est remplacé, l'enlève.

À quelle question cette marque répond-elle ?

C'est ici que le raisonnement bascule, et nous voudrions le poser proprement, parce qu'il est le seul objet de ce billet.

On demande à un filigrane : « ce texte a-t-il été produit par une IA ? »

Ce que le procédé mesure, mécaniquement, c'est : « le choix des mots issu du modèle a-t-il été conservé ? »

Ces deux questions coïncident dans un cas — celui du texte sorti du modèle et publié tel quel. Elles divergent dès que quelqu'un travaille le texte. Et plus le travail est profond, plus elles divergent.

Un texte réécrit en profondeur par un humain à partir d'un premier jet de modèle a bien été produit avec une IA. La marque, elle, aura faibli à mesure que les mots auront changé. Le contenu n'a pas cessé d'être co-écrit ; c'est le signal qui a cessé d'être lisible.

La marque ne s'efface pas malgré le travail humain. Elle s'efface parce qu'il a eu lieu, et proportionnellement à sa profondeur.

Les deux erreurs de lecture qu'on va voir arriver

Une fois ce mécanisme posé, deux raisonnements deviennent faux, dans les deux sens.

« Ce texte n'est pas marqué, donc il est de la main d'un humain. » Il peut aussi bien s'agir d'un texte de modèle passé par une réécriture, d'un texte produit par un modèle qui ne marque pas, ou d'un texte recopié à la main depuis une interface. L'absence de marque n'établit rien.

« Ce texte est marqué, donc personne ne l'a travaillé. » Non plus : l'édition légère laisse la marque en place. Un texte marqué peut avoir été relu attentivement — ou pas du tout. La marque ne fait pas la différence entre les deux.

Un signal qui ne se lit correctement dans aucun des deux sens n'est pas un mauvais signal. C'est un signal qui répond à une autre question que celle qu'on lui pose.

Ajoutons le fait qui achève le tableau pour l'instant : l'annonce indique qu'une API de détection « sera bientôt » proposée, les modalités étant encore à définir. Aujourd'hui, un tiers ne peut donc pas vérifier la présence de la marque. Ce qui n'est pas vérifiable par celui d'en face ne peut pas encore servir de preuve — quelle que soit la qualité du procédé.

Ce que nous en tirons pour notre propre pratique

Nous marquons nos publications co-écrites avec une IA, et nous continuons. Ce billet ne remet pas ce choix en cause : il précise ce que ce choix peut et ne peut pas faire.

Il ne peut pas servir à prouver qu'un texte a été relu. Un dispositif hérité du fournisseur, quel qu'il soit, s'efface exactement dans le cas où la relecture a été la plus sérieuse — et il ne dit rien de qui a relu, ni quand.

Ce que nous en tirons tient en une ligne de méthode, qui déborde largement ce sujet : avant d'utiliser une mesure comme preuve, écrire la question à laquelle elle répond réellement, pas celle qu'on aimerait lui poser. Les deux se ressemblent souvent au point d'être confondues, et c'est toujours à ce moment-là qu'un raisonnement se casse.

Nous avons rencontré exactement le même piège sur un objet tout différent : un engagement volontaire signé publiquement, qui semble répondre à « cet acteur est-il sérieux ? » et répond en réalité à « cet acteur a-t-il signé ? ». Le détail de cette mesure — et ce qu'elle prédit vraiment — est dans Que vaut une signature comme preuve.

Et sur la même famille de sujets, une marque portée par un fichier pose une difficulté distincte de celle décrite ici : elle ne survit pas à la circulation du contenu — capture d'écran, ré-encodage, copier-coller. Nous l'avons développé dans Marquer un contenu produit par une IA : un seul mot, deux objets à fabriquer, au Village de la Justice.

Ce que ce billet ne dit pas

Il ne dit pas si le marquage est une bonne ou une mauvaise politique. Ce n'est pas notre sujet, et l'annonce citée décrit le choix d'un fournisseur, pas une obligation qui pèserait sur ceux qui utilisent ses modèles.

Il ne dit pas ce que le droit exige de qui. Cette question se répartit par rôle, et nous l'avons traitée séparément — la question n'est pas « suis-je concerné » mais « dans quel rôle ». Elle ne se déduit pas d'une annonce commerciale.

Il ne dit pas que le procédé est mal conçu. Il fait exactement ce qu'il annonce faire, et son émetteur en écrit lui-même la limite — ce qui est plus honnête que la moyenne du secteur.

Il dit une chose : cette marque mesure la conservation d'un choix de mots, pas l'origine d'un texte. Le jour où quelqu'un vous demandera de prouver qu'un contenu a été examiné par un humain, ce n'est pas là qu'il faudra aller chercher.

Où faut-il chercher, alors ? C'est le sujet du second texte de ce dossier — le signal s'efface au moment précis où le travail devient réel — et de ce qu'il reste une fois qu'on a retiré tout ce qui ne peut pas servir. On y trouvera aussi les cinq situations, très banales, où cette question se pose sans qu'aucun texte réglementaire n'ait à s'appliquer.

Une phrase résume la position, et elle est inconfortable : vous n'avez peut-être rien à marquer — encore faut-il pouvoir le montrer.

Ce billet fait partie d'une série sur ce qu'une preuve peut et ne peut pas établir : deux institutions face à une mesure qui n'est pas mûre, ce qu'un dénombrement établit qu'une estimation ne dira jamais, et les quatre contraintes qu'on s'impose pour qu'une preuve tienne trois ans. Les autres analyses — obligations par rôle, calendriers réglementaires, garde-fous qui ne gardent rien — sont réunies sur le blog d'EuTrustedIA.

Source primaire : Anthropic, « Claude text watermark », 14 août 2026 — page consultée le 19 août 2026, citations verbatim.