A Anthropic começou a marcar o texto do Claude — e 1.922 casos judiciais mostram o que isso não resolve

Em 11 de agosto de 2026, a Anthropic começou a inserir uma marca d'água no texto que o Claude escreve, e três dias depois publicou um FAQ em linguagem simples explicando como aquilo funciona. O gatilho não tem mistério: o artigo 50 da Lei de IA da União Europeia, que obriga fornecedores a marcar de forma legível por máquina as saídas geradas automaticamente, passou a valer em 2 de agosto.

Ou seja, uma capacidade real acaba de chegar. Boa parte do texto escrito por IA hoje em circulação carrega um sinal que, nas condições certas, pode ser rastreado até o modelo que o produziu.

E aqui está a parte que merece uma pausa. No mesmo dia em que essa marca entrou no ar, um banco de dados público de decisões judiciais envolvendo conteúdo com alucinações de IA marcava 1.922 casos. Nenhum deles foi uma falha da marca d'água. Todos foram uma falha de verificação: alguém protocolou, publicou ou faturou a saída de um modelo sem conferir se aquilo que ela afirmava existia. Uma marca d'água teria detectado todos e não teria impedido nenhum. Este texto é sobre essa lacuna: como a marcação funciona em termos simples, o que um resultado de detecção de fato prova e o que ele não consegue provar, por melhor que fique.

Resumo:

• Nada é acrescentado ao texto. O modelo apenas enviesa, com uma chave secreta, qual entre várias próximas palavras igualmente boas ele escolhe. Sem caracteres ocultos, sem metadados, sem custo ou lentidão extra — e vale para todo mundo, em qualquer lugar.
• Um positivo é prova fraca e um negativo quase não é prova. A própria Anthropic diz que a marca não distingue "o Claude escreveu isto" de "o Claude editou muito isto", que é fraca em textos curtos, em código e em trechos puramente factuais, e que uma reescrita a apaga. Em 2024, pesquisadores mostraram que menos de 50 dólares bastam tanto para remover essas marcas quanto para forjá-las em texto escrito por uma pessoa.
• Procedência não é verificação. A marca diz qual modelo passou pelo texto. Nunca diz se a decisão, a citação ou o livro que ele menciona existe.

Imagem: Jon Rawlinson, Wikimedia Commons, CC BY 2.0. Uma página cheia de marcas de autenticidade. Cada uma prova que uma fronteira foi cruzada. Nenhuma diz uma palavra sobre se o viajante falou a verdade.

O que a Anthropic mudou de fato, e o que não mudou

Comece pelo mecanismo, porque quase todo mal-entendido depois disso nasce de errar aqui.

Quando um modelo de linguagem escreve, ele produz uma palavra por vez, e na maioria das posições não existe uma única escolha certa. "A reunião foi produtiva" e "A reunião foi útil" servem igualmente. O modelo mantém uma lista de próximas palavras aceitáveis e escolhe uma por sorteio aleatório. É por isso que o mesmo prompt devolve respostas ligeiramente diferentes duas vezes.

Uma marca d'água textual troca esse sorteio por um sorteio pseudoaleatório governado por uma chave secreta. O modelo continua escolhendo apenas entre palavras que já julgava igualmente boas, então a qualidade não muda. Mas ao longo de algumas centenas de palavras, o padrão de qual palavra aceitável venceu a cada vez deixa de parecer coincidência, e quem tem a chave consegue medi-lo.

A formulação da própria Anthropic desarma os dois enganos mais comuns: "nada é adicionado ao texto, não há caracteres ocultos". Nada de Unicode invisível, nada de espaços de largura zero, nada de bloco de metadados que caia ao colar num editor de texto simples. Também não há mudança de custo nem de velocidade. E está ligado globalmente: a Anthropic afirma ainda não ter um jeito durável de limitar esse comportamento por região, então quem está em São Paulo recebe o mesmo tratamento de quem está em Estocolmo.

Nada disso é ciência nova. Scott Aaronson propôs a abordagem em 2022, Kirchenbauer e colegas publicaram um esquema funcional no ICML em 2023, e o Google DeepMind publicou o SynthID-Text na Nature em outubro de 2024 — a implementação da Anthropic é uma versão daquilo. O Google roda isso no Gemini desde 2024, relatando cerca de 20 milhões de respostas em produção sem diferença de qualidade detectável, e desde então afirma ter marcado mais de 10 bilhões de conteúdos.

O que nos leva ao que não foi entregue. A Anthropic diz que uma API de detecção vem "em breve". Ela não existe. Preço, taxa de falsos positivos e quais modelos estão cobertos estão todos ainda não publicados, e o portal público de detecção SynthID do Google, anunciado em maio de 2025, ainda funciona por lista de espera. A marca está em bilhões de documentos; a capacidade de conferir um deles é, para praticamente todo mundo que lê isto, ainda uma promessa.

A marca sobrevive a um copiar e colar. Não sobrevive a uma reescrita.

O sinal mora em quais palavras foram escolhidas, então tudo que preserva essas escolhas preserva a marca, e tudo que as substitui a destrói. A Anthropic enuncia o teto sem rodeios: "uma reescrita completa em que cada palavra é substituída" vai removê-la. Dois casos quebram esse padrão de um jeito que pega muita gente de surpresa.

Texto curto e texto factual quase não carregam nada. A marca d'água precisa de escolhas onde se esconder. Uma ou duas frases não oferecem decisões suficientes para formar um padrão, e conteúdo muito factual pode não oferecer escolha nenhuma — o exemplo da Anthropic é que depois de "os Principia de Newton" a próxima palavra vai ser "Mathematica", e nenhuma chave tem voto. A mesma lógica enfraquece código, onde a sintaxe dita a maior parte dos tokens, e a revisão de texto, em que o modelo muda poucas palavras demais para deixar sinal.

A tradução carrega uma marca d'água completa. Esta vai contra a intuição. Peça ao Claude para traduzir um documento para o japonês e esse texto em japonês é gerado do zero pelo Claude, palavra por palavra, com a liberdade de escolha de sempre — então sai plenamente marcado, mesmo que as ideias venham de um original humano sem marca. É o oposto do que os pesquisadores do DeepMind descrevem na Nature, onde traduzir texto marcado para outro idioma reduz muito a confiança de detecção. As duas coisas são verdadeiras porque são cenários diferentes: traduzir em outro lugar um texto marcado lava a marca, enquanto fazer o próprio modelo traduzir imprime uma nova.

Comportamento conforme declarado pela Anthropic no FAQ de 14 de agosto de 2026 e pelos autores do SynthID-Text na Nature, outubro de 2024.

Um positivo é prova fraca. Um negativo quase não é prova.

Alguém roda um detector sobre um documento e recebe um resultado. O que essa pessoa ficou sabendo?

Se for positivo: que parte desse texto passou pelo modelo daquele fornecedor. É só isso. A Anthropic afirma com todas as letras que a marca não distingue "o Claude escreveu isto" de "o Claude editou muito isto", não diz nada sobre a veracidade de nenhuma afirmação ali dentro, e não reconhece texto de outra IA, porque só conhece a própria chave.

Se for negativo, essa pessoa não ficou sabendo quase nada. Um resultado limpo é exatamente o que você também obtém de uma paráfrase pesada, de um trecho curto, de um bloco de código, do modelo de um concorrente ou de um modelo de pesos abertos rodando no notebook de alguém sem marcação nenhuma.

Cada célula aqui é um limite que os próprios fornecedores publicaram. Fontes: FAQ da Anthropic sobre a marca d'água (14 de agosto de 2026); Dathathri et al., Nature (outubro de 2024); Jovanović, Staab e Vechev, ICML 2024.

O ataque para o qual ninguém reserva orçamento corre no sentido inverso

Apagar é o risco que todo mundo imagina: alguém lava um texto de IA para esconder a origem. Tudo bem. Mas existe um segundo ataque com a seta apontando para o outro lado, e é ele que deveria preocupar você.

Falsificação é fazer um texto escrito por uma pessoa carregar a marca d'água de outra. Ninguém está escondendo nada; está plantando. O alvo é alguém que depois será acusado de usar IA, ou um fornecedor culpado por saídas que nunca produziu.

No ICML de 2024, Jovanović, Staab e Vechev demonstraram os dois ataques contra esquemas de ponta com mais de 80% de sucesso e menos de 50 dólares de computação. Os autores do DeepMind admitem o mesmo terreno no próprio artigo da Nature: marcas d'água "não oferecem uma solução completa", precisam da cooperação do fornecedor do modelo para sequer existir, não são exigíveis em modelos de pesos abertos que qualquer um roda como estão, e são "vulneráveis a ataques de roubo, falsificação e remoção". Essa última oração é o argumento inteiro, escrita pela equipe que construiu a tecnologia.

O experimento de "detectar a IA" já foi feito. Ele reprovou os alunos errados.

Ferramentas de detecção já existem, e são outra tecnologia, com um histórico documentado de danos. Uma marca d'água é plantada no momento da geração pelo dono do modelo, com uma chave. Um classificador chuta depois do fato, a partir de características do próprio texto: quão previsíveis são as escolhas de palavras, quão variado é o vocabulário. O primeiro sabe alguma coisa. O segundo faz reconhecimento de padrão de estilo. É a diferença entre medir e traçar perfil.

A OpenAI lançou um AI Text Classifier em 31 de janeiro de 2023 e o encerrou em 20 de julho do mesmo ano "devido à sua baixa taxa de acurácia". Os números dela mesma: pegou 26% do texto de IA e sinalizou erroneamente 9% do texto humano.

Depois, Liang e colegas publicaram na Patterns em julho de 2023 o achado que deveria ter encerrado a categoria. Com sete detectores aplicados a redações de TOEFL escritas por falantes não nativos de inglês, a taxa média de falsos positivos foi de 61,3%; um detector sinalizou 97,8% delas. Ao pedir que as mesmas redações fossem reescritas com vocabulário mais rico, a taxa caiu para 11,6%. Os detectores nunca estavam medindo autoria: mediam fluência, e penalizavam quem tivesse o inglês mais simples.

As instituições fizeram a conta. Em 16 de agosto de 2023 — exatamente três anos atrás — a Universidade Vanderbilt desligou o detector de IA do Turnitin, raciocinando que uma taxa anunciada de 1% de falsos positivos aplicada a 75.000 trabalhos por ano significa cerca de 750 estudantes acusados injustamente todo ano.

Marcas d'água são claramente melhores do que isso: elas não chutam. Mas repare no que foi herdado. O modo de falha de um sistema de detecção nunca é um "não sei" limpo; é uma resposta confiante sobre uma pessoa específica. Marcas d'água melhoram a precisão dos positivos. Diante da falsificação, elas não eliminam a acusação falsa — industrializam a capacidade de fabricar uma.

A regulação chegou antes das ferramentas

Tudo isso se acumula em uma quinzena porque os legisladores se moveram primeiro.

A Lei de IA da UE divide o dever em dois. O artigo 50(2) vincula os fornecedores: quem constrói um sistema generativo precisa marcar as saídas de forma legível por máquina, texto incluído. O artigo 50(4) vincula você: quem publica texto gerado por IA que "informa o público sobre assuntos de interesse público" precisa divulgar isso.

E esse segundo item traz uma isenção que é, para a maioria dos leitores, o coração prático de todo o regime. O dever não se aplica quando o conteúdo passou por revisão humana ou controle editorial e uma pessoa detém a responsabilidade editorial por ele. Leia duas vezes. A resposta da Europa ao texto gerado por IA não é um detector. É uma pessoa com nome que revisou aquilo e responde por isso.

As obrigações de rotulagem chegaram no cronograma; uma detecção utilizável, não. Fontes: a Lei de IA da UE e suas datas de aplicação, o código de conduta europeu sobre transparência (julho de 2026), as medidas chinesas de rotulagem e a norma GB 45438-2025, a Lei Básica de IA da Coreia e o anúncio da Anthropic.

O resto do calendário é curto. O código de conduta europeu sobre transparência foi considerado adequado em 8 e 9 de julho de 2026 e reuniu cerca de 190 signatários, entre eles Anthropic, Google, Meta, Microsoft, Mistral e OpenAI. Em 2 de dezembro de 2026 acaba o período de carência e o dever de marcação se estende a sistemas colocados no mercado antes de 2 de agosto; em 2 de fevereiro de 2027 vence a interoperabilidade da detecção. As medidas chinesas de rotulagem estão em vigor desde 1º de setembro de 2025, exigindo rótulos visíveis e embutidos sob a norma GB 45438-2025, com o artigo 10 proibindo remover ou forjar um rótulo. A Lei Básica de IA da Coreia entrou em vigor em 22 de janeiro de 2026, com deveres de rotulagem e multas de até 30 milhões de wons. Os Estados Unidos não têm nenhum mandato federal de marcação de texto — vale dizer isso com clareza, porque uma regra que boa parte dos modelos do mercado ignora não é uma regra global.

Mais uma ausência cabe aqui. O Wall Street Journal noticiou em 2024 que a OpenAI havia construído um método de marca d'água textual descrito internamente como de cerca de 99,9% de acurácia. Trate isso como reportagem, não como fato: o número nunca foi verificado de forma independente e a OpenAI nunca lançou marcação de texto. O próprio post dela de 11 de junho de 2026 sobre conformidade na UE documenta apenas procedência de imagens, e admite o limite geral com as próprias palavras: "metadados podem ser removidos, marcas d'água podem se degradar".

Todos esses casos teriam passado na checagem da marca d'água

Damien Charlotin mantém um banco de dados público de decisões judiciais no mundo todo em que um juiz teve de lidar com conteúdo gerado por IA contendo alucinações. Consultado em 16 de agosto de 2026, marcava 1.922 decisões. A trajetória: cerca de 200 em meados de 2025, 719 em janeiro de 2026, 1.227 em abril, 1.598 em 9 de junho e 1.922 hoje — 324 acrescentadas só nas últimas dez semanas.

Todo ponto desta curva teria carregado uma marca d'água válida. Fonte: banco de dados de casos de alucinação de IA de Damien Charlotin, consultado em 16 de agosto de 2026.

O arquétipo é Mata v. Avianca, decidido no Distrito Sul de Nova York em 22 de junho de 2023: uma petição citando seis decisões judiciais que não existiam, e uma sanção de 5.000 dólares.

Mas o exemplo que deveria pesar mais pertence à Anthropic. Em maio de 2025, em Concord Music v. Anthropic, os próprios advogados da empresa protocolaram uma declaração pericial citando um estudo que o Claude havia alucinado. Uma conferência manual deixou passar; o advogado se desculpou com o tribunal. A empresa que agora lança uma marca d'água textual se queimou justamente citando sem espírito crítico a saída do próprio modelo, no próprio processo, com os próprios advogados revisando. Uma marca d'água naquela declaração teria devolvido um positivo limpo e confiante, e não teria mudado nada.

Isso vai além dos tribunais. A Deloitte Austrália concordou em outubro de 2025 em reembolsar parcialmente um relatório de governo de 440.000 dólares australianos com referências inexistentes e uma citação inventada de uma sentença. Em 18 de maio de 2025, o Chicago Sun-Times e o Philadelphia Inquirer publicaram uma lista de leituras de verão distribuída por sindicalização em que só cinco dos quinze livros existiam. Liang e colegas, analisando 950.965 artigos em arXiv:2404.01268, encontraram conteúdo modificado por LLM chegando a 17,5% dos resumos de ciência da computação, contra 6,3% ou menos em matemática e no portfólio da Nature.

A questão do volume também merece um número honesto em vez de um alarmante. Uma análise do Common Crawl feita pela Graphite e publicada em outubro de 2025 encontrou cerca de 51,7% dos novos artigos amostrados escritos por IA em maio de 2025 — e o Axios, ao noticiar, acrescentou a ressalva que importa: essa fatia estabilizou perto da metade em vez de continuar subindo. Não é uma enxurrada. É uma nova normalidade.

Aqui está o ponto. Nada nessa lista é uma falha de marca d'água. Em todos os casos a procedência nunca esteve em dúvida: todo mundo sabia que havia um modelo envolvido, ou aceitaria na hora. O que falhou foi ninguém abrir a referência e conferir se aquele caso, aquele estudo, aquele livro existia.

Conclusão: procedência não é verificação

Vamos chamar isso de falácia do carimbo postal. Um carimbo prova qual agência processou a carta. Ele nunca teve opinião sobre se a carta é verdadeira. Acabamos de investir bastante engenharia para construir um carimbo postal muito bom, e uma parte do debate público está prestes a confundi-lo com um verificador de fatos.

Segure três coisas ao mesmo tempo. Uma detecção positiva é prova fraca: estabelece uma rota, não uma autoria, e nunca um fato. Uma detecção negativa quase não é prova. E a cobertura é estruturalmente incompleta por projeto — depende de cada fornecedor aderir voluntariamente e guardar a própria chave, enquanto modelos de pesos abertos, que qualquer um baixa e roda como estão, não participam de nada. E, por ora, a capacidade de conferir nem sequer está nas suas mãos: está atrás de uma lista de espera e de um "em breve".

O que de fato resiste ao escrutínio não é uma marca na saída. É um registro que você consegue rederivar a partir da fonte: uma gravação que ainda existe, uma transcrição com marcação de tempo em que você pode voltar ao momento em questão, uma frase atribuída a quem realmente a disse, uma afirmação rastreável até um documento primário que você pode abrir. Já defendemos isso ao falar de tradução ao vivo, em que a nota revisável importa mais do que a saída fluente, e de transcrição de interrogatórios policiais, em que o registro precisa aguentar quando alguém o contesta. A era da marca d'água não muda esse argumento, ela o afia: quando a marcação for universal, "houve IA envolvida" deixa de distinguir qualquer coisa.

Marcas d'água respondem de onde o texto veio. Ninguém construiu ainda a coisa que responde se ele é verdadeiro, porque essa coisa não é um detector. É uma fonte à qual você pode voltar.

---

Onde a Telli.sh entra: nós construímos exatamente essa fonte à qual voltar. A Telli.sh grava a reunião, produz uma transcrição com marcação de tempo e falantes identificados, e mantém o resumo ancorado no áudio de onde ele veio — de modo que qualquer linha das suas notas pode ser rastreada, meses depois, até o segundo em que alguém a disse. Isso não é uma promessa sobre detectar IA. É a outra metade do problema: quando um resumo afirma algo, você pode conferir contra a gravação em vez de confiar na frase.

Começar uma nota de IA ao vivo

Fontes

• Anthropic, "How Claude's text watermark works" (agosto de 2026)
• Dathathri et al., "Scalable watermarking for identifying large language model outputs," Nature (outubro de 2024)
• Kirchenbauer et al., "A Watermark for Large Language Models," ICML 2023
• Jovanović, Staab & Vechev, "Watermark Stealing in Large Language Models," ICML 2024
• Liang et al., "GPT detectors are biased against non-native English writers," Patterns (julho de 2023)
• Liang et al., "Mapping the Increasing Use of LLMs in Scientific Papers," arXiv:2404.01268
• Damien Charlotin, banco de dados de casos de alucinação de IA
• Lei de IA da UE, artigo 50 — obrigações de transparência
• Página da imagem no Wikimedia Commons