Le 11 août 2026, Anthropic a annoncé qu'elle allait intégrer des watermarks invisibles et lisibles par machine dans tout ce qu'écrivent ses nouveaux modèles Claude, partout dans le monde, pas seulement pour les utilisateurs couverts par le droit européen. Le déclencheur : l'article 50 de l'AI Act européen, dont les obligations de marquage lisible par machine pour le contenu généré étaient entrées en vigueur la veille. Près de deux ans plus tôt, Google DeepMind avait mis en couverture de Nature la technique qui rendait tout cela plausible : SynthID-Text, un watermark qui, à l'époque, tournait déjà silencieusement sous près de 20 millions de vraies réponses Gemini.
Cet article porte sur ce papier : comment fonctionne exactement SynthID-Text, pourquoi cela ne semble pas rendre Gemini moins bon ou plus lent, puis, parce qu'un watermark n'a d'utilité que s'il est difficile à contourner, ce que dit un corpus croissant de recherches contradictoires sur la portée réelle de cette protection.
Une note sur les sources. Tout ce qui concerne l'impact mesuré de SynthID-Text ci-dessous provient du reporting de DeepMind lui-même, relu par des pairs et publié dans Nature, mais non audité de façon indépendante. Les attaques et limites plus bas viennent de groupes de recherche distincts, qui n'ont aucun intérêt à ce que SynthID paraisse performant. Nous avons essayé de distinguer clairement les deux tout au long de l'article.
Ce que "tatouer numériquement" une phrase signifie vraiment
Tatouer une photo est intuitif : cacher un signal dans les pixels qui survit à la compression et au recadrage, mais qu'un œil humain ne remarque jamais. Tatouer du texte doit résoudre le même problème avec beaucoup moins de matière première. Une photo a des millions de pixels sur lesquels répartir un signal ; une phrase a quelques dizaines de tokens, et chacun doit encore ressembler à du langage normal une fois le travail terminé.
L'astuce qui rend cela possible : un grand modèle de langage ne choisit pas un mot suivant prédéterminé. À chaque position, il calcule une distribution de probabilité complète sur le vocabulaire et en tire un échantillon. Cet échantillonnage doit puiser son hasard quelque part, donc si l'on contrôle comment ce hasard est généré, sans changer quels mots deviennent probables, ce hasard peut lui-même porter un signal. Personne qui lit la phrase ne peut le deviner ; quiconque connaît la règle utilisée pour générer ce hasard peut ensuite le vérifier statistiquement. C'est l'idée centrale derrière tous les procédés présentés ci-dessous. Ce qui les distingue, c'est la façon dont ils biaisent l'étape d'échantillonnage, ce que cela coûte en qualité de texte, et la difficulté à détecter ou retirer ce biais sans la clé.
À l'intérieur de SynthID-Text : le Tournament Sampling
Le mécanisme de DeepMind, tel que décrit dans le papier Nature, fonctionne token par token :
- Une graine (seed), ancrée dans le contexte. À chaque position, une clé secrète de watermarking et un hash des quatre derniers tokens déjà générés (la fenêtre de contexte du papier, H = 4) se combinent en une graine. Quiconque possède la clé peut recalculer plus tard exactement cette même graine à partir du texte seul, sans avoir besoin du modèle qui l'a écrit.
- Un tirage à pile ou face par candidat. Cette graine alimente une fonction pseudo-aléatoire qui attribue à chaque token candidat une "valeur g" : concrètement, un 0 ou un 1 pseudo-aléatoire déterministe pour cette paire précise (token, contexte).
- Un tournoi à élimination directe. Plutôt que de tirer un seul token de la distribution du modèle, SynthID-Text tire de nombreux tokens candidats de façon indépendante dans cette même distribution (la configuration par défaut de DeepMind utilise 30 tours) et les fait s'affronter dans un tournoi à élimination : à chaque duel, le candidat avec la valeur g la plus élevée pour ce tour l'emporte, les égalités étant tranchées au hasard. Le token restant après tous les tours est celui réellement émis.
Une version simplifiée à deux tours rend le mécanisme concret :
Tirages issus de la distribution du modèle : "rapide" (g=1), "vif" (g=0), "rapide" (g=1), "prompt" (g=1)
Tour 1 : "rapide"(1) vs "vif"(0) -> "rapide" avance
"rapide"(1) vs "prompt"(1) -> égalité, pile ou face choisit "rapide"
Tour 2 (finale) : "rapide" vs "rapide" -> "rapide" est émis
Les tournois réels comportent bien plus de tours et de candidats, mais la logique d'appariement et d'élimination est exactement celle-ci.
Parce que chaque candidat a d'abord été tiré de la vraie distribution du modèle, et que le départage des égalités ne favorise aucun mot en particulier, le procédé peut être réglé pour que, en moyenne, le token émis suive toujours la même distribution qu'un modèle sans watermark aurait utilisée. DeepMind appelle cela la configuration non distorsive. Il existe aussi une variante distorsive, qui accentue le biais pour une meilleure détectabilité au prix de cette garantie, et que le papier compare au watermark "Soft Red List" plus ancien de Kirchenbauer et al., dont il est question plus bas.
La détection applique la même recette à l'envers : recalculer, avec la clé, la graine et la valeur g pour chaque token réellement présent dans un texte candidat, puis en faire la moyenne. Un texte sans watermark se stabilise près de la ligne de base du pile ou face, 0,5 ; un texte tatoué se situe mesurablement plus haut. DeepMind rapporte cela sous forme de taux de vrais positifs à un taux de faux positifs fixé à 1 %. La propriété intéressante ici est que la détection ne nécessite que la clé et le texte, jamais le modèle lui-même, ce qui explique aussi qu'elle reste cohérente entre langues, contrairement aux classificateurs de texte IA entraînés (les outils du type GPTZero).
Est-ce que cela dégrade vraiment le résultat ?
C'est la partie sur laquelle DeepMind s'est appuyé sur la relecture par les pairs de Nature, et c'est la preuve la plus solide du papier.
Le trafic Gemini réel a été partagé à peu près en deux entre réponses tatouées et non tatouées, et le feedback intégré pouce levé/pouce baissé a été suivi sur près de 20 millions de réponses. Le taux de pouces levés pour les réponses tatouées était supérieur de 0,01 point de pourcentage ; le taux de pouces baissés était inférieur de 0,02 point. Les deux écarts étaient statistiquement non significatifs. Une étude contrôlée distincte a fait évaluer par des humains 3 000 questions de type ELI5 selon cinq dimensions (cohérence, pertinence, exactitude, utilité, qualité globale), sans trouver là non plus de préférence significative dans un sens ou l'autre.
Latence : sur un modèle Gemma 7B-IT, l'échantillonnage classique tournait à 15,527 ms par token ; la version à tournoi de 30 tours à 15,615 ms, soit une hausse de 0,57 %. Il vaut mieux être précis ici plutôt que de reprendre sans nuance le chiffre de DeepMind : c'est en réalité plus lent que les deux références comparées dans le même tableau, le Gumbel sampling (0,26 %) et le Soft Red List (0,28 %). Le compromis qualité/détectabilité que procure le tournament sampling n'est donc pas totalement gratuit côté latence. Le chiffre reste assez faible pour ne pas être une source d'inquiétude, mais ce n'est pas non plus tout à fait le "cadeau gratuit" que suggère un titre du type "0,57 % de surcoût".
Là où le signal s'amenuise : le texte à faible entropie
Le papier est étonnamment franc sur une limite structurelle : le watermarking fonctionne en orientant quel token est choisi parmi plusieurs options plausibles, il faut donc que le modèle soit réellement incertain entre les candidats. Demandez "Quelle est la capitale de la France ?" et il n'y a qu'un seul bon token suivant : rien à biaiser. Les auteurs l'écrivent sans détour : le tournament sampling "fonctionne mieux lorsqu'il y a davantage d'entropie dans la distribution du LLM, et devient moins efficace lorsqu'il y en a moins." Le code, le calcul et les réponses factuelles courtes sont précisément les catégories où cela pèse le plus, et c'est une limite partagée par tous les procédés de watermarking de ce domaine, pas une spécificité de SynthID-Text. Une nuance à garder en tête : l'avantage de SynthID-Text par rapport à l'ancienne référence Gumbel sampling est en réalité plus marqué à faible entropie, et les deux méthodes se rejoignent quand l'entropie augmente. Ce n'est donc pas une mauvaise nouvelle par rapport à l'état de l'art précédent, seulement en valeur absolue.
L'approche plus ancienne à laquelle il est comparé
SynthID-Text n'est pas le premier watermark pour LLM. Le procédé de Kirchenbauer, Geiping, Wen, Katz, Miers et Goldstein, publié en 2023, prend une voie plus directe : à chaque étape, une fonction pseudo-aléatoire dépendant des tokens précédents partage le vocabulaire entre une "liste verte" et une "liste rouge", et les logits des tokens de la liste verte reçoivent un bonus fixe avant l'échantillonnage. La détection compte simplement à quelle fréquence le token choisi se trouvait sur la liste verte.
C'est plus simple à mettre en œuvre qu'un tournoi à plusieurs tours, et cette simplicité est aussi son point faible. Le bonus distord directement la distribution de sortie, de façon la plus visible sur du texte à entropie moyenne, ce qui explique pourquoi plusieurs travaux ultérieurs ont spécifiquement cherché à corriger cette distorsion. Comme le signal sous-jacent est "le token choisi était-il sur une liste" plutôt qu'une structure statistique à plusieurs niveaux, c'est aussi la cible la plus étudiée par les attaques ci-dessous.
Quelle robustesse a réellement tout cela ?
C'est ici que le discours marketing et la littérature contradictoire commencent à diverger, et le sujet mérite d'être pris au sérieux plutôt que de traiter le watermarking comme un problème résolu.
Le paraphrasage le casse, de façon fiable. Plusieurs études de 2024-2025, indépendantes de DeepMind, ont montré qu'un seul passage dans un paraphraseur basé sur un LLM peut faire chuter le taux de détection de plusieurs procédés de watermarking sous les 30 %. Le SRI Lab de l'ETH Zurich a testé cela spécifiquement contre SynthID-Text et a constaté que des paraphraseurs naïfs, disponibles sur étagère, obtenaient plus de 90 % de réussite pour effacer le watermark selon les configurations testées.
Il existe une preuve, pas seulement des anecdotes, que cela ne peut pas être totalement corrigé. Le papier de Zhang, Edelman, Francati, Venturi, Ateniese et Barak, intitulé "Watermarks in the Sand" (ICML 2024), montre, sous des hypothèses assez générales, qu'un watermarking "fort", c'est-à-dire qu'aucun attaquant aux ressources bornées ne peut retirer sans dégrader visiblement la qualité, est prouvablement impossible, même si l'attaquant n'apprend jamais la clé secrète. Cela ne rend pas le watermarking inutile : cela signifie qu'aucun futur procédé de cette famille ne sera inviolable face à quelqu'un prêt à dépenser du calcul pour réécrire le texte, tout en restant réellement utile contre le cas, bien plus fréquent, du copier-coller négligent.
Les watermarks peuvent être volés puis appliqués frauduleusement à du texte qui n'en a jamais porté. Jovanović, Staab et Vechev, également à l'ICML 2024, ont montré qu'interroger l'API publique d'un modèle tatoué suffit à reconstituer une approximation de son motif liste verte/liste rouge, suffisamment précise pour à la fois effacer plus vite le vrai watermark et le falsifier (spoofing) : générer du texte frais, sans watermark, qui déclenche à tort une détection "provient de notre modèle". Ils rapportent des taux de réussite supérieurs à 80 % pour moins de 50 dollars de requêtes API, contre des procédés "jusqu'alors considérés comme sûrs". Les tests spécifiques du SRI Lab sur SynthID-Text ont montré qu'il était nettement plus difficile à falsifier que les procédés comparés, mais pas invulnérable : le spoofing réussissait quand même dans 4 à 15 % des cas selon la quantité de texte tatoué que l'attaquant pouvait rassembler, et la présence même du watermark pouvait être déduite de simples requêtes en boîte noire, alors que ce n'était pas la propriété recherchée.
À la décharge de DeepMind, rien de tout cela n'est dissimulé dans le papier : il mentionne lui-même la limite liée à la faible entropie et cite le vol et l'effacement du watermark comme des problèmes ouverts, ce qui est plus de transparence que ce qu'offrent la plupart des papiers de recherche issus de l'industrie. Le résumé honnête est le suivant : SynthID-Text est réel, déployé à l'échelle de Gemini, ne semble pas coûter de qualité, et ne survit malgré tout généralement pas à un attaquant déterminé prêt à réécrire le texte.
Pas la seule façon de prouver une provenance
Le watermarking de texte n'est qu'une branche d'un arbre plus vaste. Pour l'image, la vidéo et l'audio, le secteur s'est largement rallié à une autre approche : C2PA / Content Credentials, un manifeste de métadonnées signé cryptographiquement qui enregistre l'origine d'un contenu et son historique de modification, porté par une coalition, Adobe, Microsoft, Google, Intel, Sony, Amazon, OpenAI et des milliers d'autres membres, qui couvre aujourd'hui la plupart des grands fabricants d'appareils photo et éditeurs de logiciels créatifs. C'est une étiquette attachée à côté du contenu plutôt qu'un signal tissé dans celui-ci, ce qui explique précisément pourquoi cela convient mal au texte brut : retaper, ré-enregistrer ou faire une capture d'écran retire trivialement des métadonnées annexes, alors qu'un watermark statistique est conçu pour survivre précisément à ce type de copie.
OpenAI est l'exemple le plus clair d'un laboratoire ayant délibérément choisi une autre voie. L'entreprise a construit un watermark de texte fonctionnel, réputé efficace contre le copier-coller naïf, mais a choisi de ne pas le déployer dans ChatGPT. Un sondage interne aurait révélé que près de 30 % des utilisateurs utiliseraient moins le produit si cette fonctionnalité était ajoutée ; l'entreprise s'inquiétait que les faux positifs pénalisent de façon disproportionnée les rédacteurs non anglophones natifs ; et l'évaluation d'OpenAI elle-même était que ce watermark était, selon ses propres termes, facile à contourner par paraphrasage ou traduction. L'entreprise a en revanche adopté SynthID pour l'audio qu'elle génère et a rejoint le comité de pilotage C2PA pour la provenance des images, sans jamais déployer de watermark de texte pour ChatGPT lui-même, d'après les informations publiques disponibles jusqu'en 2026.
La réglementation qui vient de faire de ce sujet le problème de tout le monde
L'article 50 de l'AI Act européen impose aux fournisseurs de systèmes d'IA qui génèrent des contenus audio, image, vidéo ou texte synthétiques de marquer cette sortie dans un format lisible par machine et détectable comme généré par IA. Ses obligations sont entrées en vigueur le 2 août 2026, avec une période de grâce jusqu'au 2 décembre 2026 pour les systèmes déjà sur le marché avant cette date. Il vaut la peine d'être précis sur ce que le texte ne dit pas : il ne désigne pas le watermarking comme la technique obligatoire. Les lignes directrices de conformité traitent l'étiquetage par métadonnées, la provenance cryptographique, les journaux d'audit lisibles par machine et le watermarking comme des options équivalentes ; un fournisseur peut choisir celle qui convient à son type de contenu.
L'annonce d'Anthropic, quelques jours après cette échéance, a retenu la voie du watermark statistique pour le texte et des métadonnées signées de type C2PA pour les fichiers image générés, en appliquant les deux à l'échelle mondiale plutôt que là où la loi s'applique techniquement. Les articles couvrant l'annonce n'ont pas confirmé le mécanisme sous-jacent : ce serait donc une erreur de supposer qu'il s'agit de SynthID. Il s'agit d'une implémentation distincte, dont les détails ne sont pour l'instant pas divulgués, visant la même cible réglementaire.
Pourquoi un laboratoire pourrait vouloir cela, pas seulement le tolérer
Le récit ci-dessus se lit comme une réaction : l'article 50 est entré en vigueur, Anthropic a annoncé sa mesure quelques jours plus tard. Le calendrier soutient cette lecture. Mais il n'explique pas complètement un détail : Anthropic a annoncé vouloir tatouer partout dans le monde, pas seulement le trafic que la loi couvre réellement. Une simple démarche de conformité s'arrêterait à la frontière que trace la loi.
Il existe une raison intéressée d'aller plus loin, qui n'a rien à voir avec une quelconque réglementation : protéger les données sur lesquelles le prochain modèle sera entraîné. Un papier Nature de Shumailov et al. (2024) décrit le "model collapse" : entraîner un modèle de façon répétée sur des données elles-mêmes de plus en plus générées par IA dégrade la qualité au fil des générations. Les motifs rares et les longues traînes de la distribution s'érodent en premier, la sortie dérive vers une moyenne plus étroite et plus générique. Le web que chaque laboratoire explore pour son prochain entraînement se remplit précisément de ce type de texte, plus vite qu'aucun effort de curation humaine ne pourrait le filtrer.
Un watermark qui survit à un simple copier-coller, même s'il ne résiste pas à une attaque de paraphrasage déterminée, donne à un laboratoire un moyen bon marché et propre à lui-même de marquer "nous avons généré ceci" dans son propre pipeline de crawl, puis de sous-pondérer ou d'exclure ce contenu avant le prochain entraînement, sans dépendre du classificateur de quelqu'un d'autre. Vu sous cet angle, le watermarking n'est plus seulement un coût de conformité. Il sert aussi de contrôle qualité pour la prochaine génération de modèle, et satisfaire l'article 50 devient un effet secondaire bienvenu plutôt que le motif entier.
Pour être clair sur ce que c'est : rien de tout cela n'est dit explicitement dans les sources citées ci-dessus, c'est une motivation plausible, pas confirmée. Mais elle expliquerait précisément ce que le récit purement réglementaire laisse de côté : pourquoi aller au-delà de ce que la loi exige.
Ce que cela signifie si vous construisez avec des LLM
Si votre produit génère du texte, des résumés ou des traductions pour des utilisateurs dans l'UE, l'article 50 est un sujet à anticiper dès maintenant, pas une préoccupation future. Déterminez laquelle des options conformes, watermark, métadonnées ou journal de provenance, correspond à la façon dont votre contenu est réellement consommé et retravaillé en aval, car "détectable comme généré par IA" doit survivre à l'usage réel qu'en font vos utilisateurs.
Et si vous évaluez des outils de "détection de contenu IA", que ce soit pour repérer des travaux étudiants écrits par IA, de faux avis ou du spam, gardez cette recherche à l'esprit. Les classificateurs entraînés sont peu fiables entre langues et se laissent facilement tromper par un seul passage de paraphrasage. Même un watermark natif au modèle et statistiquement fondé comme SynthID-Text nécessite la coopération du fournisseur du modèle et sa clé secrète pour détecter quoi que ce soit, et ne survit malgré tout, la plupart du temps, pas à une attaque par paraphrasage. Le watermarking est de l'ingénierie réelle et utile, pas une case de conformité qui, incidemment, attraperait aussi les mauvais acteurs. Planifiez en fonction de ce qu'il est réellement.