Anthropic filigrane les textes de Claude — et 1 922 décisions de justice montrent ce que cela ne règle pas

Le 11 août 2026, Anthropic a commencé à apposer un filigrane sur les textes que Claude écrit, puis a publié trois jours plus tard une FAQ en langage clair expliquant son fonctionnement. Le déclencheur n'a rien de mystérieux : l'article 50 du règlement européen sur l'IA, qui impose aux fournisseurs de marquer les sorties générées par machine dans un format lisible par une machine, s'applique depuis le 2 août.

Une vraie capacité vient donc d'arriver. Une part importante du texte écrit par IA aujourd'hui en circulation porte un signal qui peut, dans de bonnes conditions, être remonté jusqu'au modèle qui l'a produit.

Voici maintenant la partie sur laquelle il faut s'arrêter. Le jour même où cette marque a été déployée, une base publique recensant les décisions de justice portant sur des contenus contenant des hallucinations d'IA affichait 1 922 affaires. Pas une seule n'était un échec du filigrane. Toutes étaient un échec de vérification : quelqu'un a déposé, publié ou facturé une sortie de modèle sans contrôler si ce qu'elle affirmait existait. Un filigrane les aurait toutes détectées et n'en aurait empêché aucune. Cet article parle de cet écart : comment le marquage fonctionne en termes simples, ce qu'un résultat de détection prouve réellement, et ce qu'il ne pourra jamais prouver, si bon soit-il.

L'essentiel :

• Rien n'est ajouté au texte. Le modèle se contente d'orienter, à l'aide d'une clé secrète, lequel de plusieurs mots suivants également valables il retient. Aucun caractère caché, aucune métadonnée, aucune pénalité de vitesse ou de coût — et cela s'applique à tout le monde, partout.
• Un résultat positif est une preuve faible, un négatif n'en est presque pas une. Anthropic écrit elle-même que la marque ne permet pas de distinguer « Claude a écrit ceci » de « Claude a fortement retravaillé ceci », qu'elle est faible sur les textes courts, le code et les passages purement factuels, et qu'une réécriture l'efface. En 2024, des chercheurs ont montré que moins de 50 dollars suffisent à la fois pour effacer ces marques et pour les falsifier sur un texte écrit par un humain.
• La provenance n'est pas la vérification. La marque vous dit quel modèle a traité le texte. Elle ne vous dit jamais si l'arrêt, la citation ou le livre qu'il mentionne existe.

Image : Jon Rawlinson, Wikimedia Commons, CC BY 2.0. Une page pleine de marques d'authenticité. Chacune prouve qu'une frontière a été franchie. Aucune ne dit un mot sur la sincérité du voyageur.

Ce qu'Anthropic a réellement changé, et ce qu'elle n'a pas changé

Commençons par le mécanisme, car presque tous les malentendus qui suivent viennent d'une erreur à cette étape.

Quand un modèle de langue écrit, il produit un mot à la fois, et à la plupart des positions il n'existe pas un seul choix correct. « La réunion a été productive » et « La réunion a été utile » se valent. Le modèle dispose d'une liste de mots suivants acceptables et en choisit un par tirage aléatoire. C'est pour cela que la même consigne vous donne deux réponses légèrement différentes.

Un filigrane textuel remplace ce tirage aléatoire par un tirage pseudo-aléatoire piloté par une clé secrète. Le modèle ne choisit toujours que parmi des mots qu'il jugeait déjà équivalents, la qualité reste donc intacte. Mais sur quelques centaines de mots, le motif indiquant quel mot acceptable l'a emporté à chaque fois cesse de ressembler à une coïncidence, et quiconque détient la clé peut le mesurer.

La formulation d'Anthropic désamorce d'emblée les deux méprises les plus fréquentes : « rien n'est ajouté au texte, aucun caractère caché ». Pas d'Unicode invisible, pas d'espace de largeur nulle, pas de bloc de métadonnées qu'un collage dans un éditeur de texte ferait tomber. Pas de changement de coût ni de vitesse non plus. Et c'est activé partout : Anthropic indique n'avoir pas encore de moyen durable de restreindre ce comportement par région, si bien qu'un utilisateur à São Paulo est traité comme un utilisateur à Stockholm.

Rien de tout cela n'est neuf sur le plan scientifique. Scott Aaronson a proposé l'approche en 2022, Kirchenbauer et ses collègues ont publié un schéma fonctionnel à l'ICML en 2023, et Google DeepMind a publié SynthID-Text dans Nature en octobre 2024 — l'implémentation d'Anthropic en est une variante. Google le fait tourner dans Gemini depuis 2024, rapportant environ 20 millions de réponses en production sans différence de qualité détectable, et revendique depuis plus de 10 milliards de contenus filigranés.

Ce qui amène à ce qui n'a pas été livré. Anthropic annonce une API de détection « bientôt ». Elle n'existe pas. Les tarifs, le taux de faux positifs et les modèles couverts ne sont pas encore publiés, et le portail public de détection SynthID de Google, annoncé en mai 2025, fonctionne toujours sur liste d'attente. La marque est présente dans des milliards de documents ; la possibilité d'en vérifier un reste, pour à peu près tous les lecteurs, une promesse.

La marque survit à un copier-coller. Elle ne survit pas à une réécriture.

Le signal réside dans les mots qui ont été choisis. Tout ce qui préserve ces choix préserve donc la marque, et tout ce qui les remplace la détruit. Anthropic énonce le plafond sans détour : « une réécriture complète où chaque mot est remplacé » la supprimera. Deux cas rompent ce schéma d'une manière qui prend les gens de court.

Les textes courts et factuels ne portent presque rien. Le filigrane a besoin de choix où se loger. Une ou deux phrases n'offrent pas assez de décisions pour former un motif, et un contenu très factuel peut n'offrir aucun choix réel — l'exemple d'Anthropic est parlant : après « les Principia de Newton », le mot suivant sera « Mathematica », et aucune clé n'a voix au chapitre. La même logique affaiblit le code, où la syntaxe impose l'essentiel des jetons, et la relecture, où le modèle modifie trop peu de mots pour laisser un signal.

La traduction porte un filigrane complet. Celui-ci va contre l'intuition. Demandez à Claude de traduire un document en japonais : ce texte japonais est nouvellement généré par Claude, mot après mot, avec la liberté de choix habituelle. Il ressort donc pleinement marqué, alors même que les idées venaient d'un original humain non marqué. C'est l'inverse de ce que décrivent les chercheurs de DeepMind dans Nature, où traduire un texte filigrané vers une autre langue réduit fortement la confiance de détection. Les deux sont vrais, ce sont deux scénarios différents : traduire ailleurs un texte marqué délave la marque, tandis que faire traduire le modèle lui-même en appose une nouvelle.

Comportement tel qu'indiqué par Anthropic dans sa FAQ du 14 août 2026 et par les auteurs de SynthID-Text dans Nature, octobre 2024.

Un positif est une preuve faible. Un négatif n'en est presque pas une.

Quelqu'un passe un détecteur sur un document et obtient un résultat. Qu'a-t-il appris ?

S'il est positif : qu'une partie de ce texte est passée par le modèle de ce fournisseur. C'est tout. Anthropic précise clairement que la marque ne permet pas de distinguer « Claude a écrit ceci » de « Claude a fortement retravaillé ceci », qu'elle ne dit rien de la véracité de la moindre affirmation, et qu'elle ne reconnaît pas un texte venu d'une autre IA, puisqu'elle ne connaît jamais que sa propre clé.

S'il est négatif, il n'a presque rien appris. Un résultat propre est exactement ce que vous obtenez aussi avec une paraphrase, un extrait court, un bloc de code, le modèle d'un concurrent, ou un modèle à poids ouverts tournant sur l'ordinateur de quelqu'un sans aucun marquage.

Chaque case ici est une limite que les fournisseurs ont publiée eux-mêmes. Sources : FAQ filigrane d'Anthropic (14 août 2026) ; Dathathri et al., Nature (octobre 2024) ; Jovanović, Staab et Vechev, ICML 2024.

L'attaque que personne ne budgète va dans l'autre sens

L'effacement est le risque que tout le monde imagine : quelqu'un blanchit un texte d'IA pour en masquer l'origine. Soit. Mais il existe une seconde attaque dont la flèche pointe dans l'autre sens, et c'est celle-là qui devrait vous inquiéter.

L'usurpation consiste à faire porter à un texte écrit par un humain le filigrane de quelqu'un d'autre. Personne ne cache rien : on plante quelque chose. La cible est une personne qui se retrouvera accusée d'avoir utilisé l'IA, ou un fournisseur à qui l'on imputera des sorties qu'il n'a jamais produites.

À l'ICML 2024, Jovanović, Staab et Vechev ont démontré les deux attaques contre des schémas à l'état de l'art avec plus de 80 % de réussite, pour moins de 50 dollars de calcul. Les auteurs de DeepMind concèdent le même terrain dans leur propre article de Nature : les filigranes « n'offrent pas une solution complète », ils exigent la coopération du fournisseur du modèle pour seulement exister, ils sont inapplicables aux modèles à poids ouverts que chacun peut faire tourner tels quels, et ils sont « vulnérables aux attaques de vol, d'usurpation et d'effacement ». Cette dernière proposition résume tout le débat, écrite par l'équipe qui a construit la technologie.

L'expérience « détecter l'IA » a déjà eu lieu. Ce sont les mauvais élèves qui ont échoué.

Les outils de détection existent déjà, et ils relèvent d'une autre technologie avec un historique de dommages documenté. Un filigrane est apposé au moment de la génération par le propriétaire du modèle, avec une clé. Un classifieur devine après coup, à partir des caractéristiques du texte lui-même : à quel point les choix de mots sont prévisibles, à quel point le vocabulaire est varié. Le premier sait quelque chose. Le second fait de la reconnaissance de style. C'est la différence entre mesurer et profiler.

OpenAI a lancé un AI Text Classifier le 31 janvier 2023 et l'a retiré le 20 juillet de la même année « en raison de son faible taux d'exactitude ». Ses propres chiffres : 26 % des textes d'IA détectés, 9 % des textes humains signalés à tort.

Puis Liang et ses collègues ont publié dans Patterns en juillet 2023 le résultat qui aurait dû clore la catégorie. Sur sept détecteurs appliqués à des essais TOEFL rédigés par des locuteurs non natifs de l'anglais, le taux moyen de faux positifs atteignait 61,3 % ; un détecteur en a signalé 97,8 %. En demandant de reformuler les mêmes essais avec un vocabulaire plus riche, ce taux tombait à 11,6 %. Les détecteurs ne mesuraient jamais la paternité du texte : ils mesuraient l'aisance, et pénalisaient quiconque avait un anglais plus simple.

Les institutions ont fait le calcul. Le 16 août 2023 — il y a exactement trois ans aujourd'hui — l'université Vanderbilt a désactivé le détecteur d'IA de Turnitin, au motif qu'un taux annoncé de 1 % de faux positifs appliqué à 75 000 copies par an revient à environ 750 étudiants accusés à tort chaque année.

Les filigranes valent nettement mieux que cela : ils ne devinent pas. Mais observez ce qui persiste. Le mode de défaillance d'un système de détection n'est jamais un « indéterminé » propre, c'est une réponse assurée à propos d'une personne précise. Les filigranes améliorent la fiabilité des positifs. Face à l'usurpation, ils n'éliminent pas la fausse accusation : ils industrialisent la capacité d'en fabriquer une.

La réglementation est arrivée avant les outils

Si tout cela atterrit en une même quinzaine, c'est que le législateur a bougé le premier.

Le règlement européen sur l'IA scinde l'obligation en deux. L'article 50, paragraphe 2 vise les fournisseurs : celui qui construit un système génératif doit marquer ses sorties de façon lisible par machine, texte compris. L'article 50, paragraphe 4 vous vise, vous : le déployeur qui publie un texte généré par IA « informant le public sur des questions d'intérêt public » doit le divulguer.

Ce second point s'accompagne d'une exemption qui constitue, pour la plupart des lecteurs, le cœur pratique du dispositif. L'obligation ne s'applique pas lorsque le contenu a fait l'objet d'un contrôle humain ou éditorial et qu'une personne assume la responsabilité éditoriale. Relisez-le. La réponse européenne au texte généré par IA n'est pas un détecteur. C'est une personne nommée qui l'a relu et qui en répond.

Les obligations d'étiquetage sont arrivées à l'heure ; une détection utilisable, non. Sources : le règlement européen sur l'IA et ses dates d'application, le code de bonnes pratiques européen sur la transparence (juillet 2026), les mesures chinoises d'étiquetage et la norme GB 45438-2025, la loi-cadre coréenne sur l'IA, et l'annonce d'Anthropic.

Le reste du calendrier est court. Le code de bonnes pratiques européen sur la transparence a été jugé adéquat les 8 et 9 juillet 2026 et a réuni environ 190 signataires, dont Anthropic, Google, Meta, Microsoft, Mistral et OpenAI. Le 2 décembre 2026 met fin à la période de grâce et étend l'obligation de marquage aux systèmes mis sur le marché avant le 2 août ; le 2 février 2027 est l'échéance de l'interopérabilité de la détection. Les mesures chinoises d'étiquetage sont entrées en vigueur le 1er septembre 2025, exigeant à la fois des étiquettes visibles et intégrées selon la norme GB 45438-2025, l'article 10 interdisant de les retirer ou de les falsifier. La loi-cadre coréenne sur l'IA est en vigueur depuis le 22 janvier 2026, avec des obligations d'étiquetage et des amendes jusqu'à 30 millions de wons. Les États-Unis n'ont aucune obligation fédérale de marquage des textes — cela mérite d'être dit clairement, car une règle qu'une part importante des modèles du marché ignore n'est pas une règle mondiale.

Une autre absence a sa place ici. Le Wall Street Journal a rapporté en 2024 qu'OpenAI avait mis au point une méthode de filigrane textuel décrite en interne comme précise à environ 99,9 %. À traiter comme une information de presse, pas comme un fait : le chiffre n'a jamais été vérifié de façon indépendante et OpenAI n'a jamais déployé de marquage de texte. Son propre billet du 11 juin 2026 sur la conformité européenne ne documente que la provenance des images, et concède la limite générale avec ses propres mots : « les métadonnées peuvent être supprimées, les filigranes peuvent se dégrader ».

Chacune de ces affaires aurait passé le test du filigrane

Damien Charlotin tient une base publique de décisions de justice, dans le monde entier, où un juge a dû traiter d'un contenu généré par IA contenant des hallucinations. Consultée le 16 août 2026, elle affichait 1 922 décisions. La trajectoire : environ 200 à la mi-2025, 719 en janvier 2026, 1 227 en avril, 1 598 au 9 juin et 1 922 aujourd'hui — 324 ajoutées sur les dix dernières semaines seulement.

Chaque point de cette courbe aurait porté un filigrane valide. Source : base de données des affaires d'hallucination d'IA de Damien Charlotin, consultée le 16 août 2026.

L'archétype est Mata v. Avianca, tranchée le 22 juin 2023 dans le district sud de New York : un mémoire citant six décisions judiciaires inexistantes, et une sanction de 5 000 dollars.

Mais l'exemple qui devrait peser le plus appartient à Anthropic. En mai 2025, dans Concord Music v. Anthropic, les avocats de l'entreprise ont déposé une déclaration d'expert citant une étude que Claude avait hallucinée. Une vérification manuelle est passée à côté, le conseil a présenté ses excuses au tribunal. L'entreprise qui déploie aujourd'hui un filigrane textuel s'est elle-même brûlée à citer sans esprit critique — la sortie de son propre modèle, dans son propre contentieux, avec ses propres avocats en relecture. Un filigrane sur cette déclaration aurait renvoyé un positif propre et assuré, et n'aurait rien changé.

Cela déborde du prétoire. Deloitte Australie a accepté en octobre 2025 de rembourser partiellement un rapport gouvernemental de 440 000 dollars australiens contenant des références inexistantes et une citation fabriquée tirée d'un jugement. Le 18 mai 2025, le Chicago Sun-Times et le Philadelphia Inquirer ont publié une liste de lectures d'été diffusée en syndication où seuls cinq des quinze livres existaient. Liang et ses collègues, analysant 950 965 articles dans arXiv:2404.01268, ont relevé jusqu'à 17,5 % de contenu modifié par LLM dans les résumés d'informatique, contre 6,3 % ou moins en mathématiques et dans le portefeuille Nature.

La question du volume mérite elle aussi un chiffre honnête plutôt qu'alarmant. Une analyse de Common Crawl par Graphite publiée en octobre 2025 a trouvé qu'environ 51,7 % des nouveaux articles échantillonnés étaient écrits par IA en mai 2025 — et Axios, en la relayant, a ajouté la nuance qui compte : cette part a plafonné autour de la parité au lieu de continuer à grimper. Ce n'est pas un déluge. C'est une nouvelle normalité.

Voilà le point. Rien dans cette liste n'est un échec du filigrane. Dans chaque cas, la provenance n'a jamais fait débat : tout le monde savait qu'un modèle était impliqué, ou l'aurait admis aussitôt. Ce qui a échoué, c'est que personne n'a ouvert la référence pour vérifier si l'arrêt, l'étude ou le livre existait.

En résumé : la provenance n'est pas la vérification

Appelons cela le sophisme du cachet postal. Un cachet prouve quel bureau a traité la lettre. Il n'a jamais eu d'avis sur la véracité de son contenu. Nous venons de consacrer beaucoup d'ingénierie à fabriquer un très bon cachet, et une partie du débat public s'apprête à le prendre pour un vérificateur de faits.

Tenez trois choses à la fois. Un résultat positif est une preuve faible : il établit un itinéraire, pas un auteur, et jamais un fait. Un résultat négatif n'est presque pas une preuve. Et la couverture est structurellement incomplète par construction : elle dépend du volontariat de chaque fournisseur, chacun détenant sa propre clé, tandis que les modèles à poids ouverts, que n'importe qui peut télécharger et exécuter tels quels, ne participent à rien. Pour l'instant, la capacité de vérifier n'est même pas entre vos mains : elle est derrière une liste d'attente et un « bientôt ».

Ce qui résiste vraiment à l'examen n'est pas une marque sur la sortie. C'est un enregistrement que vous pouvez redériver depuis sa source : un audio qui existe encore, une transcription horodatée où vous pouvez revenir au moment précis, une phrase attribuée à la personne qui l'a réellement dite, une affirmation remontant à un document primaire que vous pouvez ouvrir. Nous l'avons déjà défendu à propos de la traduction en direct, où la note relisible compte plus que la sortie fluide, et de la transcription des auditions de police, où le compte rendu doit tenir quand quelqu'un le conteste. L'ère du filigrane ne change pas cet argument, elle l'aiguise : dès lors que le marquage devient universel, « une IA était impliquée » ne distingue plus rien.

Les filigranes répondent à la question de l'origine du texte. Ce qui répondrait à celle de sa véracité, personne ne l'a construit, parce que cette chose n'est pas un détecteur. C'est une source à laquelle vous pouvez revenir.

---

Ce que Telli.sh apporte : nous construisons précisément cette source à laquelle revenir. Telli.sh enregistre la réunion, produit une transcription horodatée avec les intervenants identifiés, et maintient le résumé ancré à l'audio dont il est issu — n'importe quelle ligne de vos notes peut donc être remontée, des mois plus tard, à la seconde où quelqu'un l'a dite. Ce n'est pas une promesse de détection d'IA. C'est l'autre moitié du problème : quand un résumé affirme quelque chose, vous pouvez le confronter à l'enregistrement au lieu de croire la phrase.

Démarrer une note IA en direct

Sources

• Anthropic, "How Claude's text watermark works" (août 2026)
• Dathathri et al., "Scalable watermarking for identifying large language model outputs," Nature (octobre 2024)
• Kirchenbauer et al., "A Watermark for Large Language Models," ICML 2023
• Jovanović, Staab & Vechev, "Watermark Stealing in Large Language Models," ICML 2024
• Liang et al., "GPT detectors are biased against non-native English writers," Patterns (juillet 2023)
• Liang et al., "Mapping the Increasing Use of LLMs in Scientific Papers," arXiv:2404.01268
• Damien Charlotin, base de données des affaires d'hallucination d'IA
• Règlement européen sur l'IA, article 50 — obligations de transparence
• Page de l'image sur Wikimedia Commons