Le filigrane invisible de Claude a été effacé en quatre heures, et le détecteur censé le lire n’existe toujours pas

L’Europe a exigé que les textes de machine soient marqués. Une entreprise a livré une marque. Un développeur l’a défaite le jour même. Et l’outil qui permettrait à quiconque de vérifier quoi que ce soit n’a jamais été publié. Il reste donc une signature que seul celui qui la pose sait lire.

Le 2 août 2026, l’article 50 du règlement européen sur l’intelligence artificielle est entré en application. Il impose aux fournisseurs de systèmes générant du contenu de synthèse que leurs sorties soient marquées dans un format lisible par machine, sous peine d’amendes pouvant atteindre 3 % du chiffre d’affaires annuel (Crypto Briefing). Au 31 juillet, cent quatre-vingt-dix organisations avaient signé le code de bonne pratique de la Commission qui sert de mode d’emploi à cet article, Google, OpenAI, Meta et Anthropic parmi elles (IT Social).

Le 11 août, Anthropic a commencé à imprégner tous les textes produits par ses modèles récents d’une empreinte imperceptible. Deux techniques cohabitent : le standard C2PA, qui accole aux fichiers d’image des métadonnées de provenance signées, et un filigrane de texte qui ne s’ajoute pas au texte mais se loge dans le choix des mots eux mêmes. Quand plusieurs formulations se valent, une clé secrète oriente la sélection, ce qui dépose une signature statistique invisible à la lecture. Le marquage est appliqué au niveau du modèle, il n’est donc pas désactivable par le client, et il franchit l’interface de programmation : un éditeur qui embarque Claude via AWS, Google Cloud ou Microsoft Foundry livre à ses propres clients du texte filigrané sans disposer d’un réglage pour l’éviter.

Huit jours plus tard, c’était fini. Selon Crypto Briefing, qui rapporte l’enquête de Wired, le développeur Guillaume Meyer a publié un contournement en logiciel libre environ quatre heures après la confirmation du déploiement mondial. Le projet a essaimé sur GitHub et rassemblé plus de cent contributeurs. La méthode n’a rien d’ésotérique : faire réécrire le passage par un autre grand modèle, remplacer des mots par des synonymes, réorganiser des portions. Traduire suffit. Diluer dans de l’écriture humaine suffit. Anthropic a d’ailleurs reconnu par avance qu’un contenu lourdement réécrit, paraphrasé ou traduit peut ne plus porter de marque détectable.

Il faut mesurer ce que cette phrase concède. Le filigrane ne résiste pas à l’opération la plus banale de la production de texte contemporaine, qui est de faire passer un brouillon dans une seconde machine. Il s’ajoute à cela une borne qu’aucun progrès ne repoussera, celle de l’entropie : une marque ne peut se glisser que là où le modèle avait le choix entre plusieurs mots acceptables. Jamais dans une réponse de deux lignes. Jamais dans un extrait de code. Jamais dans une citation exacte. Autrement dit, jamais dans les sorties les plus courtes, les plus techniques et les plus vérifiables, celles précisément dont on voudrait connaître l’origine.

Voilà le point que personne ne veut formuler simplement. Anthropic écrit travailler à permettre aux tiers de vérifier ses marques et renvoie les modalités à une documentation ultérieure, sans date. La société a indiqué à Wired qu’elle prévoit de publier une interface de détection. En attendant, il n’existe aucun moyen indépendant d’établir si les techniques de suppression fonctionnent, puisqu’il n’existe aucun moyen indépendant de lire la marque tout court. Le régulateur a obtenu une obligation de marquage. Il n’a pas obtenu, au même calendrier, un instrument de lecture. On a fabriqué une empreinte et remis la loupe à celui qui appose l’empreinte.

Il y a pire, et c’est un défaut de conception, pas un défaut de mise en œuvre. L’article 50 exempte explicitement les outils d’assistance à l’édition standard, ceux qui ne modifient pas substantiellement les données ni leur sémantique. Corriger l’orthographe d’une note, reformuler trois phrases : le législateur a compris que marquer une relecture reviendrait à requalifier en artificiel un texte humain. Un filigrane posé au niveau du modèle ne sait pas faire cette distinction. Au moment où il choisit un mot, il ignore si on lui a demandé d’écrire la note ou de corriger celle de l’utilisateur. Le biais s’applique dans les deux cas. Anthropic ne l’élude pas et parle de contenu « généré et traité » par Claude. Traduction : la marque atteste un passage, pas une paternité.

Une direction juridique tentée d’opposer cette marque à une agence au titre d’une clause d’interdiction de l’IA se heurtera donc à un objet qui ne prouve pas ce qu’on veut lui faire dire. Un service de ressources humaines aussi. C’est un indice de traitement, pas une preuve d’auteur, et la seule chose que le détecteur dira le jour où il sortira, c’est quel modèle se cache derrière un produit vendu sans mention de sa pile technique. Utile pour auditer ses fournisseurs. Sans rapport avec la question de départ.

Ce que ces trois semaines ont établi tient en une ligne. On a demandé à la machine de signer ses textes. La machine a signé. Quatre heures plus tard, la signature s’effaçait avec un script, et vingt-cinq jours plus tard, personne au monde en dehors de l’émetteur ne peut vérifier une seule de ces signatures. La transparence a été votée. Elle n’a pas été livrée.