Le poinçon frappé sur une pièce d’orfèvrerie dit très peu : ni la beauté de l’objet, ni le nom de l’artisan, seulement le titre de l’alliage et le bureau qui l’a contrôlé. Cette modestie fait sa force, car une marque qui promet peu se vérifie aisément, et sa fragilité, puisqu’elle disparaît à la refonte, opération non pas frauduleuse mais des plus ordinaires du métier.
Toutes les marques de provenance partagent cette économie. Le filigrane du papier, apparu à Fabriano au XIIIe siècle comme signature de moulin, fut imité par les concurrents dès les décennies suivantes. Aucune ne tient par ses seules propriétés physiques : elles durent parce qu’une chaîne d’acteurs accepte de les préserver et sanctionne qui les retire.
C’est ce dispositif que l’Europe transpose aux contenus de synthèse, en fixant le calendrier avant que l’industrie ne s’organise. Anthropic a fait savoir que ses prochains modèles Claude porteront d’emblée de quoi identifier ce qu’ils écrivent, pour satisfaire au code de bonnes pratiques sur la transparence des contenus générés par l’IA, adossé à l’article 50 de l’IA Act. Juridiquement, la case est cochée ; techniquement, plusieurs spécialistes doutent que la marque tienne. Le dispositif, l’obligation qu’il sert, sa mécanique et le risque qu’il déplace demandent à être séparés.
Un marquage annoncé sur tous les canaux
Le montage tient sur deux appuis. Le premier loge un filigrane à même le texte, invisible à la lecture, produit au niveau du modèle et censé survivre au copier-coller. « Étant donné que le filigrane fait partie du texte, il voyagera avec le texte lorsqu’il est copié et collé ailleurs, et peut persister après quelques retouches », indique l’éditeur. Le second dote les fichiers produits, en .svg, .png et .jpg, de métadonnées de provenance signées cryptographiquement, conformes au standard ouvert C2PA largement adopté par l’industrie.
La règle ignore les frontières et les canaux : elle couvre la plateforme maison, API, Claude Code et Cowork compris, autant que les distributions par AWS, Google Cloud et Microsoft Foundry. Elle vise les modèles lancés le 2 août 2026 ou après, les générations antérieures étant équipées pendant la transition légale, et englobe Claude Tag, l’agent Slack lancé le 23 juin 2026.
Reste ce que l’annonce ne dit pas. The Register relève l’absence de documentation technique détaillée sur la robustesse du filigrane textuel, et l’éditeur renvoie les modalités de vérification par des tiers à une documentation à venir. Or c’est la détection que le code européen encadre le plus étroitement.
Ce que l’article 50 exige, et ce qu’il n’exige pas
La clause qui intègre son propre échec
Le règlement (UE) 2024/1689 n’a jamais réclamé un marquage inviolable. Son article 50(2) impose des solutions « efficaces, interopérables, solides et fiables dans la mesure où cela est techniquement possible », compte tenu des coûts et de l’état de l’art, et exclut l’assistance à l’édition standard. La fragilité d’un filigrane n’établit donc pas la non-conformité. Le paragraphe 4 oblige les déployeurs à signaler qu’un texte d’intérêt public a été généré par IA, sauf contrôle éditorial assorti d’une responsabilité assumée.
Un escalier à trois marches
Le calendrier n’est pas une date mais une succession : le 2 août 2026 pour les obligations générales, confirmées par l’entrée en vigueur du règlement (UE) 2026/1744 le 27 juillet ; le 2 décembre 2026 pour le marquage des systèmes déjà commercialisés, ce qui explique le rattrapage des anciens modèles ; le 2 février 2027 pour l’interopérabilité des détecteurs. Sans elle, vérifier un contenu suppose d’interroger tour à tour le détecteur de chaque éditeur.
Le code, publié dans sa version finale le 10 juin 2026, se partage en deux sections, fournisseurs d’un côté, déployeurs de l’autre, et hiérarchise les supports : deux couches lisibles par machine pour l’audio, l’image et la vidéo, une seule pour le texte libre, avec des exigences allégées en deçà de deux cents tokens. Le régulateur traite ainsi le texte comme le maillon faible.
L’engagement le plus lourd n’est pas de marquer mais de laisser vérifier. Les signataires doivent fournir une solution de détection, spécification implémentable, logiciel ou API, gratuite par défaut et garantie telle pour les régulateurs, la police, les médias, les vérificateurs de faits, les chercheurs et la société civile. Environ 190 organisations avaient signé fin juillet 2026, dont 82 comme fournisseurs ; le manquement expose à quinze millions d’euros ou 3 % du chiffre d’affaires mondial.
Pourquoi le marquage arrive maintenant
Ce n’est pas la technologie qui a changé. Des documents internes révélés en août 2024 ont montré qu’OpenAI disposait depuis un an d’un filigrane textuel efficace à 99,9 %, jamais déployé. Un sondage interne d’avril 2023 en donnait la raison : près de 30 % des utilisateurs de ChatGPT s’en serviraient moins si l’entreprise marquait ses sorties et non un concurrent, et 69 % redoutaient de fausses accusations.
Le blocage était commercial, et sa structure est celle d’un dilemme : personne ne marque seul. En imposant à tous le même coût au même moment, la réglementation résout un problème de coordination plus qu’un problème technique. Le mouvement déborde le texte, Suno ayant annoncé le 6 août 2026 un filigrane audio embarqué dans la forme d’onde.
La mécanique du filigrane et ses limites démontrées
Listes vertes, listes rouges et p-value
L’éditeur loge la marque dans le texte lui-même, tissée au niveau du modèle, sans effet annoncé sur le sens ni la lisibilité. La description écarte les métadonnées et pointe vers une modulation du vocabulaire à la génération plutôt que vers des caractères invisibles. La technique de référence, décrite par Kirchenbauer et ses coauteurs à ICML en 2023, partitionne pseudo-aléatoirement le vocabulaire en liste verte et liste rouge à partir du token précédent, puis relève la probabilité des verts. La détection se réduit à un test statistique produisant une p-value.
Cette architecture éclaire l’objection tirée de la reconnaissance optique de caractères : si la marque vit dans le choix des mots, ce qui la menace n’est pas le changement de support mais la réécriture, ou des modifications assez profondes pour redistribuer le vocabulaire. Après une paraphrase humaine forte, ont chiffré les mêmes auteurs, elle reste détectable à condition d’observer environ 800 tokens : la persistance s’achète en longueur de texte.
Un précédent déjà déployé
Anthropic n’ouvre pas la voie. Google DeepMind a annoncé SynthID for Text le 14 mai 2024, publié la méthode dans Nature puis ouvert le code. Le procédé y est moins efficace sur les réponses factuelles à faible variabilité, dégradé par une réécriture complète et détruit par la traduction, l’un des usages qui inquiètent les professionnels.
L’impossibilité du filigrane fort
Le scepticisme des spécialistes n’est pas une intuition. Zhang, Edelman, Francati, Venturi, Ateniese et Barak ont démontré à ICML en 2024 qu’un filigrane fort, impossible à effacer sans dégrader la qualité, est théoriquement inatteignable : leur attaque combine un oracle de qualité et un oracle de perturbation, sans connaissance du schéma ni possession de la clé. Le résultat n’est pas un argument de non-conformité : il justifie la clause d’état de l’art, par laquelle le droit européen a intégré cette faiblesse à l’avance.
Le risque symétrique est rarement évoqué. Jovanović, Staab et Vechev ont montré la même année qu’en interrogeant l’API publique d’un modèle filigrané pour moins de cinquante dollars, on approxime la règle secrète : le spoofing, qui fait passer un texte humain pour du contenu filigrané, réussit dans plus de 80 % des cas, et l’effacement passe de 1 % à plus de 80 %.
Les métadonnées C2PA et l’effacement ordinaire
Le second pilier repose sur une norme précise, en version 2.3 depuis le 5 janvier 2026 : manifestes, assertions, signatures de revendication, distinction entre liaisons dures, fondées sur une empreinte du fichier, et liaisons souples, externes. D’où la fragilité constatée : des utilitaires libres suffisent à retirer ces informations, et un changement de format ou une capture d’écran emportent la signature sans intention particulière.
L’objection manque la principale cause de disparition, non la malveillance mais la routine : la plupart des plateformes recompressent les images à l’envoi, Instagram, X ou LinkedIn retirant les manifestes en quelques secondes. Elle manque aussi la réponse : l’IPTC, organisme de normalisation de la presse, lit le code comme désignant de fait le C2PA, et les signataires doivent conserver les marquages et interdire contractuellement leur retrait.
Le faux positif change de nature
Ce que Bruxelles n’exigeait pas
Anthropic reconnaît deux limites. Un marqueur signale que Claude est passé sur le contenu, éventuellement pour une traduction ou une simple correction, et non qu’il l’a écrit ; son absence ne prouve aucune origine humaine : texte trop court, modèle ancien pas encore équipé, retrait délibéré. En entreprise, où l’assistant condense des dossiers et met en forme des notes, la suite attendue est le faux positif : une page écrite par une personne se retrouve créditée à la machine pour l’avoir relue, et la méfiance s’installe.
Ce scénario n’est pas imposé par la loi. Les lignes directrices du 20 juillet 2026 excluent du marquage obligatoire l’assistance à l’édition, les sorties très courtes, le code source, les communications machine à machine et jusqu’aux traductions, et écartent tout marquage rétroactif avant le 2 août 2026. Une zone d’ombre demeure : Claude Code entre dans le champ quand le code source en est exclu, et rien ne dit comment une marque qui biaise le choix des tokens cohabite avec l’exactitude d’un programme.
L’exposition par le détecteur public
Le risque de second ordre est l’inverse de celui que l’on redoute. Un détecteur public et gratuit, plus une marque qui voyage avec le copier-coller, permet à n’importe quel tiers, concurrent, journaliste ou partie adverse, de tester un communiqué, un mémo interne ou une réponse à appel d’offres et d’apprendre qu’il est sorti d’un modèle. La tranquillité du fournisseur transfère à ses clients un risque de divulgation.
Les poids ouverts ne libèrent de rien
La parade qui vient à l’esprit des praticiens attentifs à la confidentialité consiste à installer chez eux un modèle à poids ouverts, aujourd’hui sans filigrane faute d’une plateforme pour l’y déposer. Le raisonnement bute sur un détail décisif : l’exemption logiciel libre inscrite à l’article 2(12) de l’IA Act laisse entières les obligations de l’article 50. Qui publie un texte d’intérêt public devient déployeur et hérite de la mention à afficher, sans service juridique ni code signé pour l’y aider.
Deux théories de la confiance et une gouvernance éclatée
La Chine a un an d’avance et le choix inverse. Ses mesures d’étiquetage, en vigueur depuis le 1er septembre 2025, imposent une étiquette explicite et une étiquette implicite en métadonnées, selon la norme obligatoire GB 45438-2025, les plateformes triant les contenus en trois catégories, IA confirmée, possible ou suspectée. Bruxelles a parié sur le marquage invisible et réservé l’étiquette visible aux hypertrucages : l’un mise sur l’avertissement du lecteur, l’autre sur l’outillage des vérificateurs.
Encore faut-il des vérificateurs identifiables. En France, le schéma présenté le 9 septembre 2025 répartit la compétence entre une quinzaine d’autorités, la DGCCRF coordonnant la surveillance du marché, l’ARCOM traitant les contenus et les hypertrucages, la CNIL la biométrie. Gouvernance éclatée, face à des fournisseurs qui ont signé un code unique.
Le poinçon dit que le métal est passé par le bureau de garantie, pas qui a façonné l’objet. La marque de Claude dit qu’un modèle a touché un texte, pas qu’il l’a écrit, et cette différence portera l’essentiel des malentendus. Ce que le fournisseur gagne là, c’est le droit de rester vendable en Europe ; administrer ces marques au quotidien retombera en revanche sur des équipes informatiques qui n’ont rien demandé.
Le dispositif arrive du reste tard. Selon l’analyse de Graphite sur les archives de CommonCrawl, la part des articles web nouvellement publiés majoritairement générés par IA a dépassé celle des articles humains fin 2024 et s’établit à 49,9 % au premier trimestre 2026. Rien de cela ne sera marqué rétroactivement : ce qui se dessine n’est pas un nettoyage mais une ligne de partage temporelle.
Reste la question qui décidera de sa portée, et elle tient à la détection plus qu’à la marque. Si l’outil promis paraît complet et gratuit avant l’échéance du 2 décembre 2026, le filigrane servira aux rédactions et aux chercheurs ; s’il tarde ou s’avère bridé, la conformité restera de papier. Les orfèvres ont mis des siècles à bâtir autour du poinçon un droit de la contrefaçon ; le texte généré, lui, n’a pas de bureau de garantie.
Aller plus loin
La clause d’état de l’art et les exclusions pour fonction d’assistance figurent noir sur blanc dans l’article 50 du règlement (UE) 2024/1689, dont les paragraphes 2 et 4 séparent ce que doit le fournisseur de ce que doit le déployeur, distinction que le débat confond presque toujours et qui décide pourtant de qui sera sanctionné.
Le document auquel les signataires se conforment est public : la page officielle du code de bonnes pratiques sur la transparence des contenus générés par IA en expose les deux sections indépendantes et les quatre engagements de chacune, avec le texte téléchargeable et le renvoi vers les icônes européennes d’étiquetage.
L’analyse la plus complète des lignes directrices du 20 juillet tient dans la note EU Finalises Transparency Rules for AI-Generated Content, qui déroule la liste des exclusions, la définition du lisible par machine, les niveaux d’accès à l’outil de détection et les trois échéances de l’escalier réglementaire.
Le mécanisme que les communiqués évoquent sans jamais l’expliquer est décrit dans A Watermark for Large Language Models, où la partition verte et rouge du vocabulaire, le biais appliqué à l’échantillonnage et le test statistique de détection tiennent en quelques pages limpides.
Le scepticisme des experts a un fondement démontré, exposé dans Watermarks in the Sand: Impossibility of Strong Watermarking for Generative Models, où l’attaque ne suppose ni la connaissance du schéma ni la possession de la clé et se contente d’un oracle de qualité couplé à un oracle de perturbation.
Le risque inverse, celui dont personne ne parle, est documenté par Watermark Stealing in Large Language Models, qui montre comment quelques dizaines de dollars d’appels à une API suffisent à approximer la règle secrète, puis à fabriquer du texte humain portant la signature d’un modèle qui ne l’a jamais produit.
Le précédent industriel se lit chez son auteur, dans l’annonce de SynthID for Text par Google DeepMind, qui décrit un procédé ensuite validé dans Nature puis ouvert en logiciel libre et énumère ses faiblesses, réponses factuelles courtes, réécriture intégrale et traduction, avec plus de franchise qu’aucun communiqué concurrent.
Le second pilier a une norme, et elle est lisible : la spécification technique C2PA 2.3 définit les manifestes, les assertions, les signatures de revendication et la différence entre liaison dure et liaison souple, d’où l’on déduit pourquoi une recompression d’image efface la preuve.
L’industrie de l’information a publié sa propre lecture du texte, European AI Office releases Code of Practice on Transparency of AI-Generated Content, où l’IPTC estime que le C2PA est la seule technologie satisfaisant les critères retenus et insiste sur l’obligation nouvelle de conserver les métadonnées existantes.
L’idée que le poids ouvert exonère de tout est corrigée par l’explication What Open Source Developers Need to Know about the EU AI Act, qui établit que l’exemption logiciel libre laisse entières les obligations de transparence et rappelle que le déployeur d’un modèle installé chez lui répond des textes qu’il publie.
Lus ensemble, ces documents dessinent un dispositif dont la faiblesse technique était connue avant d’être imposée, et assumée par le législateur. Le droit européen ne demande pas l’invulnérabilité : il demande l’état de l’art, un outil de détection ouvert et une chaîne de distribution qui cesse d’effacer ce qu’elle transporte. La recherche montre que la marque sera contournée et falsifiée ; le code parie que l’obligation de vérifier, partagée par tous au même moment, vaudra mieux qu’une preuve parfaite que personne n’aurait déployée seul.