SynthID e C2PA: come riconoscere l’origine dei contenuti creati con l’AI

Agosto 17, 2026
Giovanni Masi

A cura di Giovanni Masi

Anthropic ha annunciato che i futuri modelli Claude inseriranno nei testi una traccia invisibile, pensata per permettere di verificare se il sistema abbia probabilmente partecipato alla loro scrittura. Non compariranno etichette, simboli o caratteri nascosti. Il segnale nascerà invece durante la generazione stessa delle parole. È un cambiamento importante perché sposta l’attenzione dalla ricerca di testi che semplicemente “sembrano scritti dall’IA” alla possibilità di individuare una traccia lasciata intenzionalmente dal sistema che li ha prodotti.

Dietro questa evoluzione ci sono due degli approcci oggi più importanti per rendere riconoscibile la provenienza dei contenuti digitali. Il primo è il watermark, come SynthID, che inserisce un segnale direttamente nel contenuto. Il secondo è rappresentato dalle Content Credentials basate sullo standard C2PA, che associano al file informazioni firmate e verificabili sulla sua provenienza. I due sistemi fanno cose diverse e proprio per questo possono rafforzarsi a vicenda.

Il watermark di Claude nasce mentre vengono scelte le parole

Per capire SynthID-Text bisogna partire da come lavora un modello linguistico. Quando genera una frase, Claude non dispone sempre di un’unica parola possibile. In molti punti esistono diverse continuazioni plausibili. Se una frase fosse “oggi il cielo è…”, per esempio, parole come “grigio” o “nuvoloso” potrebbero essere entrambe appropriate.

È proprio in queste situazioni che può essere inserito il watermark. Anthropic utilizzerà una versione di SynthID-Text, tecnologia sviluppata da Google DeepMind e descritta nel 2024 sulla rivista Nature. Il sistema non aggiunge qualcosa dopo che il testo è stato scritto. Interviene mentre il modello decide quale parola, o più precisamente quale token, generare successivamente.

Nella generazione normale una componente di casualità contribuisce a scegliere tra alternative considerate valide dal modello. Con il watermark cambia la fonte di quella casualità. Una chiave e parte del testo precedente contribuiscono a determinare le scelte successive, creando nel tempo una regolarità statistica. Il lettore non vede nulla di particolare, ma un detector che conosce il sistema può esaminare la sequenza delle parole e calcolare quanto sia compatibile con quella specifica chiave.

Il percorso, semplificando, è quindi questo. Claude genera il testo, SynthID influenza alcune scelte possibili durante la generazione e, successivamente, un detector cerca la regolarità statistica prodotta da quelle decisioni.

Non siamo quindi davanti a un rilevatore universale dell’intelligenza artificiale. Il detector di Anthropic cerca il watermark associato a Claude. Un testo nel quale quel segnale non viene trovato potrebbe essere umano, ma potrebbe anche provenire da un altro modello o essere stato modificato abbastanza da rendere il watermark difficile da rilevare.

Più parole sceglie Claude, più informazioni ha il detector

Il funzionamento spiega anche perché la lunghezza del testo sia importante. Più Claude scrive, maggiore è il numero di decisioni nelle quali può esistere una scelta tra alternative equivalenti e maggiore diventa l’informazione disponibile al detector.

Nei testi brevi il segnale è inevitabilmente più debole. Lo stesso accade nei passaggi molto fattuali e nel codice, dove spesso non c’è libertà sufficiente per scegliere. Dopo ‘2 + 2 =’, per esempio, il risultato corretto è 4. In passaggi nei quali la risposta è sostanzialmente obbligata, il modello ha quindi meno margine per compiere le scelte linguistiche attraverso cui viene costruito il watermark.

Anche una semplice correzione grammaticale può lasciare poca traccia, perché quasi tutte le parole rimangono quelle scritte dall’utente. Una traduzione completa si trova invece nella situazione opposta. Claude sceglie sostanzialmente tutte le parole del testo tradotto e può quindi applicare il watermark durante l’intera generazione.

Un risultato positivo non significa comunque che Claude abbia scritto tutto. Anthropic sottolinea che il sistema può indicare soltanto la probabilità che Claude sia intervenuto. Non può distinguere con certezza un documento scritto interamente dal modello da uno creato da una persona e poi pesantemente riscritto dall’IA.

Nelle immagini il segnale viene incorporato nel contenuto

SynthID non riguarda soltanto il testo. Google DeepMind ha sviluppato la tecnologia anche per immagini, audio e video, adattando il principio alle caratteristiche di ciascun formato. Nel caso delle immagini il watermark viene incorporato direttamente nel contenuto visivo attraverso modelli di machine learning, in modo da essere impercettibile per chi guarda ma riconoscibile dal sistema di rilevamento.

Il vantaggio rispetto a normali informazioni inserite nel file è importante. Se un watermark fa parte del contenuto stesso, la semplice eliminazione dei metadati non è necessariamente sufficiente a rimuoverlo. Google ha progettato SynthID affinché il segnale possa continuare a essere rilevabile dopo almeno alcune trasformazioni comuni, anche se questo non significa che sia indistruttibile.

Il concetto resta lo stesso. Il generatore crea il contenuto e contemporaneamente vi inserisce un segnale; un detector può successivamente cercarlo. Il watermark, però, può comunicare relativamente poche informazioni. Può aiutare a riconoscere il coinvolgimento di un determinato sistema, ma non racconta da solo tutto ciò che è accaduto al file.

C2PA assomiglia più a un passaporto digitale

Le Content Credentials affrontano il problema in maniera diversa. C2PA è uno standard tecnico aperto che permette di associare a un contenuto informazioni sulla sua storia di provenienza verificabili crittograficamente, anche se questa storia non è necessariamente completa. Più che a una semplice carta d’identità, il meccanismo assomiglia quindi a un passaporto digitale nel quale possono essere registrati alcuni passaggi importanti della vita di un file.

Il sistema raccoglie delle dichiarazioni, chiamate assertions. Possono riguardare, per esempio, la creazione del contenuto o determinate operazioni effettuate durante l’elaborazione. Queste informazioni vengono riunite in un claim, che viene poi protetto crittograficamente e firmato. L’insieme forma un C2PA Manifest, cioè il nucleo delle Content Credentials.

Un’applicazione compatibile può registrare determinate informazioni sulla creazione o sulle modifiche del contenuto, costruire il manifest, collegarlo all’asset e firmare crittograficamente il claim. Quando un software compatibile con C2PA apre quel file, può verificare che il manifest sia effettivamente legato al contenuto e controllarne la firma.

Un’impronta crittografica lega la storia al file

Resta una domanda fondamentale. Come si può sapere che quel manifest appartenga proprio a quella fotografia e non sia stato semplicemente copiato da un altro file?

C2PA utilizza i cosiddetti content bindings. Uno dei meccanismi principali è l’hard binding, basato su hash crittografici. Un hash può essere pensato come una sorta di impronta matematica calcolata sulle parti dell’asset che il sistema vuole proteggere. Se quei dati vengono modificati, l’impronta non corrisponde più a quella associata al manifest. Il verificatore può così controllare che il manifest sia effettivamente legato a quell’asset e verificare l’integrità delle parti protette.

Questo non rende però C2PA impossibile da rimuovere. Durante la circolazione online i metadati possono andare persi, per esempio in seguito a conversioni, elaborazioni o piattaforme che non preservano le informazioni C2PA. Lo standard prevede quindi anche i cosiddetti soft bindings.

Un soft binding può essere un’impronta calcolata sul contenuto oppure un watermark invisibile. Può aiutare a riconoscere versioni derivate dello stesso asset e a ritrovare un manifest conservato separatamente, per esempio in un repository, anche quando non è più presente nel file distribuito. È uno dei principi alla base delle cosiddette Durable Content Credentials.

C2PA non certifica che una fotografia sia vera

Questa distinzione è essenziale. Una firma C2PA non dimostra che ciò che appare nell’immagine sia realmente accaduto. Se una Content Credential dichiara che un determinato software ha creato o modificato un file, la crittografia può permettere di verificare la provenienza e l’integrità di quella dichiarazione. Non può stabilire se la scena rappresentata sia autentica, se un testo contenga informazioni corrette o se una persona abbia mentito prima di produrre il contenuto.

C2PA serve quindi a rispondere a domande sulla provenienza, non sulla verità. Permette di verificare quali informazioni siano state dichiarate, da quale soggetto o sistema siano state firmate e se il loro collegamento con il contenuto risulti valido.

Anthropic prevede di utilizzare Content Credentials per file supportati come PNG, JPG e SVG prodotti o elaborati da Claude. L’azienda descrive la credenziale come una nota crittograficamente firmata inserita nei metadati, capace di indicare che il file è stato creato o processato con Claude senza identificare automaticamente l’utente che lo ha utilizzato.

Perché SynthID e C2PA funzionano meglio insieme

A questo punto diventa evidente perché le due tecnologie siano complementari. SynthID prova a lasciare una traccia nel contenuto stesso. C2PA permette invece di trasportare informazioni più ricche sulla provenienza e di proteggerle attraverso firme e collegamenti crittografici.

Un watermark può continuare a essere presente quando i normali metadati vengono eliminati. Una Content Credential può però raccontare molto più di quanto possa fare il watermark. La combinazione dei due sistemi permette quindi di costruire una provenienza più resistente. OpenAI, per esempio, sta adottando un approccio multilivello che combina Content Credentials C2PA e SynthID per le immagini supportate.

Esistono anche detector che cercano l’IA a posteriori

SynthID e C2PA non sono gli unici strumenti utilizzabili per indagare l’origine di un contenuto. Esistono anche sistemi di rilevazione che lavorano in modo completamente diverso, analizzando testi, immagini, audio o video alla ricerca di caratteristiche statistiche o artefatti compatibili con la generazione artificiale. In questo caso il generatore non deve avere inserito preventivamente alcuna firma.

La differenza è sostanziale. Un watermark come SynthID rappresenta un segnale inserito intenzionalmente durante la generazione. C2PA conserva invece informazioni dichiarate e firmate sulla provenienza del contenuto. Un detector forense cerca di dedurne l’origine osservando il materiale dopo che è stato prodotto.

Questi sistemi non sono però infallibili. Possono produrre falsi positivi, classificando come artificiale un contenuto umano, oppure falsi negativi, non riconoscendo un contenuto sintetico. Per questo il NIST considera watermarking, tracciamento della provenienza e rilevazione del contenuto sintetico tecniche distinte e complementari.

L’assenza di SynthID non dimostra quindi che un contenuto sia umano, così come l’assenza di Content Credentials non prova che l’intelligenza artificiale non sia stata utilizzata. Allo stesso modo, il verdetto di un detector statistico non dovrebbe essere interpretato come una prova assoluta. Più che trovare un unico “rilevatore dell’IA”, l’obiettivo è combinare segnali differenti per ricostruire con maggiore affidabilità la provenienza di ciò che si sta osservando.

L’AI Act accelera la corsa alla provenienza

A spingere questa evoluzione c’è anche la normativa europea. Dal 2 agosto 2026 si applicano gli obblighi di trasparenza dell’articolo 50 dell’AI Act. Per i fornitori interessati, le regole prevedono marcature leggibili dalle macchine che consentano di rilevare contenuti generati o manipolati dall’intelligenza artificiale. L’Unione europea non impone però l’uso di SynthID o di un’altra tecnologia specifica.

Anthropic ha collegato esplicitamente l’introduzione del proprio watermark a questi obblighi e ha scelto di applicarlo inizialmente a livello globale, spiegando di non avere ancora un sistema sufficientemente robusto per limitarlo geograficamente.

Si sta così formando una vera infrastruttura della provenienza digitale. La domanda non sarà più soltanto se un contenuto sia stato creato dall’IA. Diventerà altrettanto importante capire quale sistema vi abbia partecipato, quali tracce abbia lasciato e che cosa quelle tracce consentano realmente di dimostrare.

Watermark, Content Credentials e detector non sono macchine della verità. Non stabiliscono se una fotografia rappresenti un fatto reale, se un testo dica il vero o chi abbia avuto l’idea originale. Possono però aggiungere qualcosa che finora è spesso mancato ai contenuti sintetici, una serie di indizi tecnici sulla loro origine e sul percorso che hanno seguito. Nell’era dell’IA generativa, sapere da dove arriva un contenuto potrebbe diventare importante quasi quanto sapere che cosa mostra.

Bibliografia

Condividi Articolo