SynthID-Text gira su Gemini e su Claude. Un'API di rilevamento continua a non esserci.

Due dei tre maggiori fornitori di modelli linguistici mettono ormai una filigrana sul testo che generano. Google lo fa in Gemini dal 2024. Anthropic l'ha attivata per Claude il 14 agosto 2026. Entrambi usano lo stesso metodo, SynthID-Text, pubblicato su Nature da Google DeepMind.

Se volete verificare se un dato paragrafo porta una di queste filigrane, non potete. Non con un'API, non con un portale, non con uno strumento open source. Il marchio c'è, in linea di principio è leggibile da una macchina, e le uniche macchine in grado di leggerlo appartengono alle due aziende che ce l'hanno messo.

Questo divario pesa più di un anno fa, perché il regolamento sull'IA ha ora una scadenza di marcatura con una data precisa, e perché parecchie persone hanno iniziato a comprare strumenti che dicono di colmarlo e non lo colmano.

Che cosa fa davvero SynthID-Text

Vale la pena essere precisi, perché quasi tutto ciò che si scrive sulle filigrane testuali generate dall'IA sbaglia nello stesso modo.

SynthID-Text non aggiunge nulla al testo. Nessun carattere a larghezza zero, nessun Unicode insolito, nessun marcatore invisibile, nessuna punteggiatura rivelatrice, nessun token in più. Anthropic lo dice testualmente, e vale per il metodo in generale. Se avete letto il consiglio di rimuovere i caratteri invisibili per aggirare una filigrana IA, quel consiglio punta a una cosa che qui non esiste.

Quello che fa, invece, è cambiare il modo in cui il modello sceglie le parole.

Quando un modello linguistico genera testo, produce una distribuzione di probabilità sul token successivo e ne estrae un campione. SynthID-Text interviene esattamente in quel passaggio. Una finestra scorrevole sugli ultimi token, di solito quattro, viene sottoposta a hash insieme a una chiave segreta di filigrana per produrre un seme. Quel seme guida un insieme di funzioni di punteggio pseudocasuali, le funzioni g. L'algoritmo estrae token candidati e li fa passare per una serie di livelli a torneo: ogni livello valuta i candidati in gara con una funzione g e il vincitore avanza. Il token che vince il torneo è quello che viene emesso.

Il risultato è che, su un passaggio abbastanza lungo, i token emessi si correlano ai valori g in un modo che la scelta umana delle parole non produrrebbe. Il rilevamento è quindi un test statistico: si ricalcolano i valori g sul testo e ci si chiede se la media sia più alta di quanto il caso consenta. I rilevatori pubblicati esistono in tre varianti, una media semplice, una media pesata e un rilevatore bayesiano addestrato su campioni con e senza filigrana, il più efficace dei tre.

Da questo impianto discendono due proprietà che spiegano quasi tutto il resto.

Primo, il rilevamento non richiede il modello. Non serve far girare Gemini per controllare del testo di Gemini. È questo che rende lo schema abbastanza economico da poter essere distribuito, ed è un progresso reale rispetto ai classificatori a posteriori.

Secondo, il rilevamento richiede la chiave. Le funzioni g vengono seminate da essa. Senza la chiave di filigrana i valori g che calcolate non hanno alcun rapporto con quelli usati in generazione, e il test restituisce rumore. Non è una lacuna implementativa che prima o poi qualcuno colmerà. È la proprietà di sicurezza che impedisce a chiunque di falsificare la filigrana di Google su testo che Google non ha scritto.

Tutto il problema del rilevamento sta in questa seconda proprietà.

Chi mette la filigrana sul testo oggi

Il quadro ad agosto 2026, limitato a ciò che i fornitori confermano direttamente:

Google Gemini. Con filigrana dall'articolo su Nature che ne descriveva la prima distribuzione su larga scala, per Gemini e Gemini Advanced. Il personale di Google ha confermato sul forum ufficiale per sviluppatori che anche il testo generato tramite API Gemini, Google AI Studio e Antigravity porta la filigrana. Quella risposta è arrivata dopo una prima risposta errata di segno opposto, il che dice quanto sia sottile la documentazione.

Anthropic Claude. Attivo a livello globale dal 14 agosto 2026, sui modelli Claude usciti il 2 agosto 2026 o dopo, con i modelli precedenti a seguire. Anthropic lo descrive come una versione dell'approccio SynthID-Text e fa risalire l'idea a una proposta di Scott Aaronson del 2022. Anthropic allega inoltre credenziali C2PA firmate ai file immagine generati, che è un meccanismo distinto.

OpenAI. Nessuna filigrana testuale. OpenAI ne ha costruita una, secondo il Wall Street Journal del 2024 molto accurata, e l'ha lasciata nel cassetto. Le riserve dichiarate: reggeva male la traduzione e la riscrittura globale, e rischiava di segnalare in modo sproporzionato chi non ha l'inglese come lingua madre. OpenAI allega invece Content Credentials C2PA alle immagini che genera.

Tutti gli altri. I modelli a pesi aperti non portano alcuna filigrana, a meno che chi li esegue non ne aggiunga una, e nulla gli impedisce di toglierla. È il buco strutturale che l'articolo su Nature nomina da sé: la filigrana funziona solo dove i fornitori cooperano, e i modelli aperti non si possono obbligare a cooperare.

Che le due distribuzioni si allineino al 2 agosto 2026 non è un caso. È la data in cui l'articolo 50 del regolamento sull'IA è diventato applicabile.

Gli strumenti che esistono, e a cosa serve ciascuno

Questa parte va fatta bene, perché i risultati di ricerca sul tema sono pesantemente inquinati.

google-deepmind/synthid-text su GitHub. L'implementazione di riferimento dell'articolo su Nature, licenza Apache 2.0. Marca e rileva, e include il codice di addestramento del rilevatore bayesiano. Supporta Gemma e GPT-2 tramite classi mixin. Il README dice esplicitamente che serve alla riproducibilità della ricerca, che i mixin non sono pensati per la produzione e che la funzione di hash non offre alcuna garanzia di sicurezza crittografica. Utile, onesto, e non è un rilevatore per il testo altrui.

Hugging Face Transformers. La strada adatta alla produzione a cui Google rimanda. SynthIDTextWatermarkingConfig e SynthIDTextWatermarkLogitsProcessor permettono di generare testo con filigrana da un modello che controllate, passando un elenco di chiavi e una lunghezza di n-gramma. Chi ha le chiavi può rilevare. È l'unica via per cui oggi un normale team di ingegneria ottiene una filigrana testuale funzionante da capo a fondo, e copre soltanto il testo generato dal vostro sistema.

MarkLLM. Un toolkit accademico di THU-BPM che implementa molti algoritmi di filigrana dietro un'unica interfaccia, tra cui KGW, Unigram, EXP e SynthID-Text con i rilevatori a media, media pesata e bayesiano. Se state valutando schemi invece di distribuirne uno, si parte da qui.

Il portale SynthID Detector. Lo strumento di Google in cui si carica e si verifica, aperto ai tester iniziali all'I/O di maggio 2026 tramite una lista d'attesa per giornalisti, ricercatori e professionisti dei media. La documentazione di supporto di Google sulla verifica parla di immagini, video e audio. Il testo non è nell'elenco, e il thread del forum sviluppatori sulla filigrana via API afferma chiaramente che il portale non lo accetta.

La Content Detection API di Google. In anteprima nel 2026 sulla piattaforma Gemini Enterprise per partner selezionati, tra cui Shutterstock, Snap, Canva e Fox Sports. Solo immagini, JPEG, PNG e WebP. Niente testo, nessuna data di disponibilità generale, nessun prezzo pubblicato.

L'API di rilevamento di Anthropic. Annunciata come in arrivo, senza tempistiche né dettagli implementativi. Quando uscirà, risponderà presumibilmente per il testo di Claude e per nient'altro.

Content Credentials di C2PA. Non è affatto una filigrana, ed è complementare più che concorrente. Sono metadati di provenienza firmati crittograficamente: chi ha creato questo, con quale strumento, quando, e se un sistema di IA è stato coinvolto, registrato nel campo digitalSourceType. La versione 2.3 ha aggiunto i manifest per i documenti di testo semplice, cosa nuova e rilevante. La debolezza è speculare a quella della filigrana: i metadati si perdono con un copia e incolla, che è esattamente il modo in cui viaggia il testo.

E poi c'è ciò che non è uno strumento.

Un buon numero di siti si posiziona su «SynthID detection API» e descrive un prodotto da attivare nella console di Google Cloud, con prezzo per richiesta e latenza sul testo sotto il secondo. Nella documentazione di Google Cloud un prodotto simile non compare. Almeno uno di quei siti è content marketing per un servizio di rimozione filigrane. A parte questo, i siti che offrono di controllare un testo per SynthID eseguono rilevatori statistici di IA, che la filigrana non la leggono e non possono leggerla, perché non hanno la chiave. Valutano la scrittura per prevedibilità e ritmo. È un'altra cosa vestita con la stessa parola.

Quanto funziona bene

La risposta onesta è che funziona bene su testo lungo, non modificato e ad alta entropia, e degrada in fretta fuori da quelle condizioni. I numeri sono pubblici e non sono lusinghieri.

Lunghezza. Il rilevamento è un test statistico, quindi le prove si accumulano con i token. Un'analisi teorica di SynthID-Text pubblicata nel 2026 colloca il rilevamento intorno a 0,3 di tasso di veri positivi all'1 per cento di falsi positivi su testi da 50 token, e conduce i propri esperimenti su sequenze da 100 a 400 token. Un post social, una descrizione prodotto o una risposta di assistenza non sono testo sufficiente.

Entropia. La filigrana vive della libertà di scelta del modello. Dove esiste una sola risposta giusta, non c'è spazio per codificare nulla. Anthropic lo dice apertamente: il marchio è più rado nei passaggi fattuali e nel codice, dove sintassi e aritmetica devono essere esatte. Chiedete a un modello di correggervi la grammatica e la filigrana può abitare solo nella manciata di correzioni, che possono essere troppo poche per registrarsi.

Parafrasi. È il punto debole. Una valutazione di robustezza ha rilevato il tasso di veri positivi di SynthID scendere da 0,998 su testo pulito a 0,498 con parafrasi moderata. Il SRI Lab dell'ETH di Zurigo riporta oltre il 90 per cento di successo nella rimozione con parafrasi standard, vicino al 100 per cento se assistita dal furto di filigrana, e osserva che il campionamento a torneo, pensato come misura di sicurezza, rende il rafforzamento dei token più sensibile alle riscritture e quindi meno robusto di schemi più semplici. Una valutazione del 2026 rispetto a standard forensi ha misurato il 98,3 per cento di rimozione con parafrasi che preserva il significato, con similarità semantica ferma intorno a 0,83.

Falsi positivi. La stessa valutazione forense ha misurato un tasso di falsi positivi del 5,4 per cento su testo umano pulito, con il 93,6 per cento di instabilità del verdetto a piccole variazioni della soglia di rilevamento, e ha trovato una frase standard da test di dattilografia che superava la soglia. La conclusione: nessuno dei tre metodi esaminati, KGW, Unigram e SynthID-Text, soddisfa più di due dei cinque criteri Daubert per la prova peritale.

Contraffazione. Qui SynthID-Text regge meglio delle alternative. Il lavoro del SRI Lab riporta un 4 per cento di successo nella contraffazione con parametri predefiniti, contro l'80 per cento e oltre degli schemi rosso-verde, anche se il successo sale al 15 per cento quando le query dell'attaccante passano da 30.000 a 90.000. Lo stesso lavoro ha mostrato che la presenza stessa della filigrana è rilevabile da query a scatola nera, quindi tenere segreta la distribuzione non è un'opzione.

Nel complesso: un esito positivo su un passaggio lungo è una prova significativa. Un esito negativo non significa quasi nulla, perché è ugualmente compatibile con scrittura umana, con un modello senza filigrana, con un campione corto o con una parafrasi. Chi costruisce un flusso di lavoro su questo deve aver interiorizzato quell'asimmetria prima di disegnare l'interfaccia.

Che cosa chiede la legge

Tre regimi chiedono ormai qualcosa in materia, e nessuno combacia del tutto con ciò che è distribuito.

Regolamento sull'IA, articolo 50, paragrafo 2. I fornitori di sistemi di IA che generano contenuti sintetici audio, immagine, video o testo devono marcare gli output in un formato leggibile da macchina che ne consenta il rilevamento come generati artificialmente. La marcatura deve essere efficace, interoperabile, robusta e affidabile nella misura in cui è tecnicamente fattibile. L'articolo 50 è diventato applicabile il 2 agosto 2026, e i requisiti di marcatura ed etichettatura scattano il 2 dicembre 2026, data in cui scade anche il periodo di tolleranza per i sistemi già immessi sul mercato prima del 2 agosto 2026. Il codice di buone pratiche indica un approccio a strati che combina metadati, filigrana e registrazione. Non nomina C2PA, ma ne descrive le proprietà così da vicino che gli osservatori hanno notato come C2PA sia oggi l'unica tecnologia distribuita a corrispondere. Il quadro più ampio dell'articolo 50 lo abbiamo trattato nella nostra guida alla trasparenza del regolamento sull'IA.

Notate la parola interoperabile. Una filigrana leggibile solo dal suo autore si accorda in modo curioso con quel requisito, e la tensione non è risolta.

Cina. Le Misure sull'etichettatura dei contenuti sintetici generati dall'IA sono in vigore dal 1 settembre 2025 e sono le più concrete delle tre. Richiedono sia un'etichetta esplicita, visibile all'utente, sia un'etichetta implicita nei metadati del file. Il testo rientra nell'ambito. Le piattaforme devono fornire funzioni di etichettatura, e chi pubblica contenuti generati dall'IA deve dichiararlo.

California. L'AI Transparency Act, SB 942 come modificato da AB 853, è operativo dal 2 agosto 2026 per i fornitori con oltre un milione di utenti mensili. Richiede uno strumento di rilevamento gratuito, una comunicazione visibile e una comunicazione latente incorporata che riporti nome del fornitore, nome e versione del sistema, marca temporale e un identificativo univoco. Leggete l'ambito con attenzione: l'obbligo di comunicazione latente riguarda immagine, video e audio. Il testo non c'è. Dal 1 gennaio 2027 le grandi piattaforme online dovranno esporre i dati di provenienza e non potranno rimuoverli consapevolmente.

Lo schema è lo stesso ovunque. La legge chiede marchi rilevabili, e i marchi testuali distribuiti sono rilevabili solo dai loro autori. O il rilevamento si apre, oppure gli obblighi sul testo verranno soddisfatti con metadati in stile C2PA che a un copia e incolla non sopravvivono quasi mai.

Che cosa significa se sviluppate software

Gran parte di questo non è un progetto di conformità. Sono poche decisioni ingegneristiche, oggi economiche e care da recuperare dopo.

Non comprate un rilevatore come verdetto. Se un fornitore sostiene di rilevare SynthID in un testo qualsiasi, non può, e dovreste chiedergli la chiave. Se già applicate rilevamento IA a ciò che inviano gli utenti, trattate il punteggio come triage che porta a una revisione umana, mai come accertamento. Le prove contro un uso con conseguenze sono solide: uno studio di Stanford ha rilevato che i rilevatori classificavano erroneamente come generati dall'IA più della metà dei temi TOEFL di autori non madrelingua, e un elenco crescente di università ha disattivato questi strumenti dopo che avevano segnalato lavori umani con il 100 per cento di confidenza. Costruirci sopra una policy è un rischio legale, non un controllo.

Smettete di rimuovere i metadati di provenienza. È la ferita autoinflitta più comune. Le pipeline di immagini ricodificano, ridimensionano e normalizzano di routine, e la maggior parte butta via per strada i manifest C2PA e l'XMP. Secondo l'articolo 50, paragrafo 2, siete voi a togliere la marcatura che la legge vuole preservata, e da gennaio 2027 in California è un obbligo di piattaforma. Verificate la pipeline, conservate il manifest o rifirmate dopo la trasformazione. Ora che C2PA 2.3 supporta i documenti di testo semplice, la stessa disciplina sta per valere anche per il testo.

Tenete un vostro registro di provenienza. È la parte che funziona davvero. Qualunque cosa faccia la filigrana, il vostro sistema sa quale modello ha generato cosa, quando, con quale prompt e chi ha revisionato. Salvatelo come campo del record. È la prova per l'esenzione da revisione umana dell'articolo 50, è ciò che consegnate a un'autorità o a un cliente, e non dipende dal fatto che qualcuno rilasci un'API.

Chi ospita in proprio ha l'intero ciclo. Un team che esegue il proprio modello su Hugging Face Transformers può marcare in generazione e rilevare dopo, perché possiede le chiavi. Se generate contenuti in volume e dovete riconoscere il vostro output più avanti, questo è disponibile oggi e nessuno ve lo sta vendendo.

Fate ai fornitori la domanda giusta. Non «mettete la filigrana», la cui risposta ormai è di solito sì e non dice niente. Chiedete se il marchio è leggibile da voi o solo da loro, che fine fa con modifiche e traduzioni, se sono allegati metadati C2PA e a quali formati, e che cosa si impegnano contrattualmente a dichiarare sull'articolo 50, paragrafo 2, dopo il 2 dicembre 2026.

Dove sta andando

La tecnologia è reale e il risultato su Nature è un pezzo di ingegneria serio: una filigrana che costa mezzo punto percentuale di latenza, che supera una valutazione su circa 20 milioni di risposte reali di Gemini senza modificare in modo misurabile la soddisfazione degli utenti, e che si rileva senza toccare il modello. Non è poco.

La distribuzione, per ora, è anche chiusa. Due fornitori marcano il testo, nessuno dei due lascia leggere il marchio a terzi, il terzo ne ha costruito uno e l'ha messo via, e i modelli aperti restano del tutto fuori dal sistema. Il divario tra ciò che le regole di marcatura chiedono e ciò che una persona esterna a quelle aziende può davvero verificare è il problema interessante, e non è tecnico.

Il nostro consiglio ai clienti è di non spendere nulla in rilevamento e qualcosa in provenienza. Un rilevamento che non potete eseguire né credere non è un controllo. Un registro pulito di ciò che i vostri sistemi hanno generato, e una pipeline di asset che smetta di distruggere i metadati già presenti, è lavoro che controllate voi, ed è ciò che la scadenza del 2 dicembre 2026 tocca davvero. Per collocarlo tra tutto il resto che arriva da qui al 2028, vedete la nostra guida alla conformità digitale UE 2026.

Integriamo funzioni di IA nei prodotti di aziende che operano in Europa, il che significa che campi di provenienza, pipeline che preservano le credenziali e tracce di audit fanno parte della consegna normale e non di un esercizio separato. Se volete guardare da dove entrano i contenuti generati dall'IA nel vostro prodotto e che ne è della loro provenienza in uscita, scrivete a office@c9group.dev.

Siamo ingegneri, non avvocati. Se un obbligo specifico vi tocchi come fornitori o come deployer è materia per il vostro legale. Noi facciamo in modo che il sistema corrisponda alla risposta.