il fiasco della nuova norma UE

Gioco del gatto e del topo sui testi con intelligenza artificiale: l’ascesa dell’industria dell’elusione rapida

Con l’entrata in vigore dell’articolo 50 del Regolamento europeo sull’IA il 2 agosto 2026, si sarebbe dovuta aprire una nuova era di trasparenza. Colossi dell’IA come Anthropic hanno reagito prontamente, implementando filigrane leggibili automaticamente nei loro output di testo per conformarsi al requisito di etichettatura. Tuttavia, la realtà tecnologica ha raggiunto l’ideale normativo in tempi record: appena quattro ore dopo la sua introduzione, uno sviluppatore ha presentato uno strumento in grado di rimuovere completamente il marcatore invisibile.

Questo episodio è ben più di un semplice aneddoto tecnico: segna l’inizio di un’industria dell’elusione estremamente dinamica e rivela un dilemma strutturale nella legislazione europea. Mentre nuovi studi scientifici dimostrano la debolezza fondamentale e la fragilità giuridica degli attuali metodi di watermarking, aziende, redazioni e creatori di contenuti si trovano ad affrontare enormi incertezze legali e organizzative. Il seguente articolo analizza la rischiosa architettura del nuovo requisito di etichettatura, l’impari gioco del gatto e del topo tra autorità di regolamentazione e sviluppatori e le profonde conseguenze economiche per l’intero panorama dell’informazione digitale.

Correlato a questo:

Quando i requisiti di etichettatura incontrano l’industria dell’elusione: una corsa che sembra decisa ancor prima di iniziare

Il 2 agosto 2026, l’articolo 50 del Regolamento europeo sull’IA è entrato nella sua fase di piena attuazione, inaugurando una nuova realtà normativa per i fornitori di sistemi di IA generativa. Anthropic, l’azienda che ha sviluppato il modello linguistico Claude, è stata tra i primi grandi fornitori a rispondere a questo requisito, incorporando una filigrana leggibile automaticamente nel testo generato. Quella che era stata concepita come una misura di conformità tecnica si è rapidamente trasformata in un monito sui limiti della regolamentazione governativa in ambito digitale. Appena quattro ore dopo l’annuncio di Anthropic, lo sviluppatore francese Guillaume Meyer ha rilasciato uno strumento progettato per rimuovere la stessa filigrana appena introdotta. Questa stretta prossimità temporale tra la misura normativa e l’elusione tecnica non è affatto casuale, ma evidenzia piuttosto un problema strutturale che pervade l’intero dibattito sulla trasparenza dell’IA: non appena un sistema di marcatura tecnica viene descritto pubblicamente, esiste già il modello per aggirarlo.

Il significato economico di questo processo va ben oltre il semplice aneddoto tecnico di un programmatore abile. Tocca contemporaneamente questioni fondamentali di economia dell’informazione, teoria della regolamentazione ed economia delle piattaforme. Se i requisiti di etichettatura possono essere aggirati con uno sforzo ragionevole, l’intero calcolo cambia per aziende, istituzioni e autorità che si affidano a prove affidabili di origine per i contenuti digitali. Emerge un mercato dell’affidabilità, in cui la verificabilità diventa una risorsa scarsa e quindi preziosa, mentre allo stesso tempo un’industria parallela dell’offuscamento cresce a un ritmo sorprendente.

L’architettura tecnica del nuovo requisito di etichettatura

L’approccio di Anthropic alla filigrana del testo si basa su un metodo chiamato SynthID-Text, originariamente sviluppato da Google DeepMind e pubblicato sulla rivista Nature nel 2024. Questo metodo funziona in modo fondamentalmente diverso dalle filigrane visibili nelle immagini. Interviene nel processo di generazione del testo del modello linguistico stesso, incorporando uno schema statistico in scelte lessicali secondarie, come la scelta tra termini semanticamente correlati come “nuvoloso” e “grigio”. Questo intervento rimane completamente impercettibile al lettore umano, mentre un algoritmo con la chiave appropriata può leggere lo schema incorporato e dedurre la probabilità che il testo sia stato generato da Claude.

Anthropic sottolinea diverse caratteristiche di questo metodo che lo distinguono da approcci più rudimentali. Non aggiunge caratteri extra o simboli nascosti al testo, non aumenta i costi computazionali e non può essere ricondotto a una persona, organizzazione o conversazione specifica. Oltre alla semplice marcatura del testo, Anthropic incorpora anche i file generati, come immagini in formato SVG, PNG e JPEG, con metadati di provenienza firmati digitalmente secondo lo standard C2PA. Questa combinazione di una filigrana invisibile nel testo e informazioni di provenienza firmate crittograficamente per i file mira a creare il sistema di tracciabilità più completo possibile, estendendosi a tutte le aree del prodotto Claude, dall’API e dall’interfaccia di chat agli strumenti per sviluppatori come Claude Code.

Il contesto normativo che ha imposto questa decisione tecnica è degno di nota. Anthropic è uno dei circa 190 firmatari del codice di condotta volontario sulla trasparenza dei contenuti generati dall’IA, presentato dalla Commissione europea nell’estate del 2026. Tale codice specifica i requisiti dell’articolo 50(2) del Regolamento sull’IA, secondo il quale i fornitori di sistemi di IA generativa devono garantire che il loro output sia identificabile come generato artificialmente in un formato leggibile da una macchina. Sebbene l’adesione al codice sia formalmente volontaria, l’obbligo di trasparenza sottostante è di per sé un requisito legale vincolante, la cui inosservanza può comportare sanzioni.

Quattro doveri, una legge e molti malintesi

Il dibattito pubblico sull’etichettatura obbligatoria è afflitto da significative semplificazioni che ostacolano una valutazione obiettiva. L’articolo 50 del Regolamento sull’IA contiene in realtà quattro obblighi di trasparenza indipendenti, suddivisi in quattro paragrafi distinti, ciascuno rivolto a soggetti diversi e con ambiti di applicazione differenti. Il primo paragrafo riguarda i sistemi di IA che interagiscono direttamente con persone fisiche, come chatbot o assistenti vocali, e richiede che gli utenti siano informati quando comunicano con una macchina. Il secondo paragrafo si rivolge ai fornitori di sistemi di IA generativa come Anthropic, OpenAI o Midjourney e li obbliga a etichettare tecnicamente tutti gli output sintetici, indipendentemente dal loro successivo utilizzo. Il terzo paragrafo riguarda i sistemi di riconoscimento delle emozioni e di categorizzazione biometrica. Infine, il quarto paragrafo si rivolge agli operatori – ovvero aziende, associazioni o redazioni – che utilizzano l’IA in un contesto professionale e richiede loro di fornire un’etichettatura visibile in due casi specifici: deepfake e testi generati dall’IA su argomenti di interesse pubblico.

Un’idea errata molto diffusa è che tutti i contenuti generati dall’IA debbano essere etichettati. Questa supposizione è troppo semplicistica, poiché il regolamento prevede un’importante eccezione specifica per il testo, che non si applica alle immagini. L’obbligo di etichettatura visibile per il testo viene meno se vengono soddisfatte cumulativamente due condizioni: in primo luogo, deve essere stata effettuata un’autentica revisione del contenuto prima della pubblicazione, comprensiva di un controllo consapevole di accuratezza, plausibilità e fonti, con la reale possibilità di modificare o rifiutare il testo. In secondo luogo, una persona fisica o giuridica chiaramente identificabile deve assumersi la responsabilità editoriale della pubblicazione. Tuttavia, questa eccezione non si applica ai deepfake: per i contenuti di immagini, audio o video generati o manipolati dall’IA che costituiscono un deepfake secondo la definizione del regolamento, l’obbligo di divulgazione si applica indipendentemente dal fatto che un essere umano abbia precedentemente esaminato il contenuto.

Questo trattamento asimmetrico, che vede i testi da un lato e i deepfake audiovisivi dall’altro, riflette una valutazione del rischio economicamente giustificabile da parte del legislatore. I testi scritti con l’ausilio dell’intelligenza artificiale, ma redatti da autori esterni, si distinguono sostanzialmente, per il loro potenziale ingannevole, dai video falsificati dall’aspetto realistico che ritraggono personaggi famosi. Allo stesso tempo, questa stessa distinzione apre la strada a interpretazioni che, in pratica, generano una notevole incertezza giuridica, soprattutto per le aziende e i creatori di contenuti che si avvalgono ampiamente dell’intelligenza artificiale.

Lo scontro di due interessi opposti

L’annuncio della filigrana ha scatenato una resistenza quasi immediata, derivante da almeno due motivazioni distinte. Lo sviluppatore Guillaume Meyer, il cui strumento è diventato rapidamente virale su GitHub, è stato aggiunto ai segnalibri più di 20.000 volte sulla piattaforma X e ha attratto oltre 100 collaboratori, ha citato due ragioni personali alla rivista Wired . In primo luogo, era attratto dalla sfida tecnica in sé. In secondo luogo, essendo di madrelingua francese e utilizzando strumenti di intelligenza artificiale per migliorare i suoi testi in inglese, temeva di essere stigmatizzato o penalizzato semplicemente per questo utilizzo puramente di supporto. È importante notare che non si è opposto in linea di principio all’etichettatura dei contenuti generati dall’IA, ma ha criticato piuttosto la specifica implementazione e i rischi associati di errata classificazione.

Questa argomentazione tocca un punto dolente dell’intero dibattito, sollevato anche da osservatori indipendenti. Una filigrana che si limita a indicare il coinvolgimento di un modello Claude di supporto nell’elaborazione del testo non riesce a distinguere tra un passaggio interamente generato da una macchina e un testo in cui un essere umano ha semplicemente corretto una singola parola in un paragrafo scritto da sé. Chiunque si limiti a far correggere, tradurre, riassumere o riformattare i propri testi produce inevitabilmente un testo contrassegnato, che non corrisponde alla comune concezione di contenuto generato dall’IA. Questa mancanza di capacità di differenziazione della filigrana ne compromette significativamente l’utilità pratica, ancor prima di discutere possibili soluzioni tecniche.

Accanto allo strumento di Meyer, sono emerse rapidamente altre soluzioni alternative con diversi approcci tecnici. Lo sviluppatore di software Erik Hughes ha affermato di aver impiegato solo quindici minuti per sviluppare uno strumento che utilizzasse lo stesso Claude, in grado di rimuovere caratteri invisibili e visivamente ingannevoli, riorganizzare le frasi all’interno dei paragrafi e sostituire singole parole con sinonimi. Leon Chlon, ricercatore ospite presso l’Università di Oxford, ha descritto un approccio ancora più pragmatico: è sufficiente condensare la risposta di Claude, tradurla in una lingua con una semantica significativamente diversa, come un dialetto arabo, e poi ritradurla per eliminare in modo affidabile la filigrana. Questa varietà di strategie alternative, che vanno da algoritmi di riscrittura altamente specializzati a semplici cicli di traduzione, dimostra che non si tratta di una vulnerabilità di sicurezza isolata, bensì di un problema strutturale intrinseco all’intero approccio alla filigrana.

Perché la filigrana è fragile da un punto di vista scientifico

La vulnerabilità di SynthID-Text e dei metodi correlati ai cosiddetti attacchi che preservano il significato non è affatto una scoperta recente derivante dall’esperienza pratica con lo strumento di Meyer, ma è già stata oggetto di diversi studi scientifici. Un’analisi completa della robustezza condotta nell’estate del 2025 ha dimostrato che, mentre SynthID-Text raggiunge valori di riconoscimento quasi perfetti in condizioni ideali, con un valore F1 di 1,0 e un tasso di falsi positivi pari a 0,0, le sue prestazioni calano significativamente in presenza di interferenze realistiche. Con semplici sostituzioni di sinonimi, il valore F1 scende a un ancora accettabile 0,884, indicando una moderata resistenza alle variazioni lessicali. Tuttavia, con attacchi di parafrasi più sofisticati che alterano sia il vocabolario che la struttura della frase, il valore F1 scende a 0,842, mentre il tasso di falsi positivi sale a 0,23. Le conseguenze più gravi derivano dalla retrotraduzione tramite una lingua pivot strutturalmente molto diversa come il cinese, una procedura che corrisponde esattamente all’approccio descritto da Chlon.

Uno studio forense pubblicato nel luglio 2026, con il titolo programmatico “AI Watermark Evidence Fails Forensic Readiness” (Le prove tramite filigrana AI non sono all’altezza in ambito forense), presenta cifre ancora più drastiche e mette in discussione l’ammissibilità legale di tali filigrane. Lo studio ha testato tre metodi rappresentativi di filigrana, tra cui l’implementazione MarkLLM di SynthID-Text, utilizzando 846 passaggi di parafrasi validi su quindici diversi modelli di testo. Il risultato è stato inequivocabile: ogni singolo testo inizialmente riconosciuto dai due metodi di confronto, KGW e Unigram, ha perso completamente la sua filigrana dopo un solo passaggio di parafrasi, con un tasso di rimozione del 100%. SynthID-Text ha ottenuto risultati solo leggermente migliori, con un tasso di rimozione del 98,3%. Anche prima di qualsiasi manipolazione, i tassi di falsi negativi erano allarmanti, raggiungendo l’80% per SynthID, il che significa che una parte significativa del testo effettivamente contrassegnato da filigrana non è mai stata riconosciuta come tale in primo luogo.

Particolarmente esplosivo è un dettaglio metodologico che lo studio definisce un tasso di paradosso del 18,6%: in questa percentuale di casi, il metodo SynthID ha prodotto risultati di riconoscimento contraddittori, con l’80% del proprio materiale sorgente non alterato e con filigrana che è finito in una zona grigia di incertezza, dove il sistema stesso non è stato in grado di fornire un’affermazione definitiva sull’origine. Inoltre, il metodo ha classificato erroneamente il 5,4% dei testi di controllo parafrasati, in realtà scritti da esseri umani, come generati dall’IA. Gli autori dello studio concludono che nessuno dei tre metodi esaminati soddisfa più di due dei cinque cosiddetti criteri Daubert, lo standard stabilito nella giurisprudenza statunitense per valutare l’ammissibilità scientifica delle prove forensi. Questi risultati minano radicalmente l’idea che le filigrane possano mai fungere da prove affidabili nelle controversie legali.