Une photo, on la tamponne. Un billet de banque cache un dessin dans son papier. Mais un texte ? Il n’y a que des mots, et n’importe qui peut les recopier à la main. Pourtant, depuis ce mois-ci, la loi européenne demande de rendre les textes d’IA reconnaissables par une machine. La solution existe. Elle est bien plus maligne qu’un tampon.
D’abord : comment une IA écrit
Il faut évacuer une image fausse. Un modèle de langage ne réfléchit pas à sa phrase avant de l’écrire, et il ne va pas chercher une réponse toute faite dans une bibliothèque. Il fait une seule chose, des milliers de fois de suite : il devine le mot suivant.
C’est le clavier de votre téléphone qui propose « bien » après « très ». En incomparablement meilleur : le modèle a lu assez de texte pour savoir qu’après « le client a signé le », vient probablement « contrat », parfois « devis », presque jamais « camion ».
À chaque position, il note donc tous les mots qu’il connaît, chacun avec sa probabilité. Puis il en tire un au sort. Pas toujours le mieux placé : sinon le texte serait plat et se répéterait.
Ce tirage explique une chose que vous avez remarquée : posez deux fois la même question, vous obtenez deux réponses. Le modèle laisse une part au hasard. Et c’est cette part de hasard qui va servir de cachette.
Pour ceux que la mécanique intéresse
Ce tirage porte un nom, l’échantillonnage, et deux réglages le gouvernent. La température aplatit ou creuse les écarts entre candidats : au plus bas, le modèle prend toujours le mieux classé et devient déterministe. Le noyau, ou top-p, coupe la queue de la distribution pour écarter les mots absurdes. Un filigrane a besoin de ce hasard pour exister : à température nulle, il n’y a plus rien à orienter, et le marquage disparaît.
L’idée : truquer le tirage, très légèrement
Puisqu’il y a un tirage à chaque mot, autant le piper. La recette tient en trois phrases.
Juste avant d’écrire un mot, on coupe le dictionnaire en deux au hasard. Une moitié qu’on appelle la liste verte, une moitié qu’on laisse de côté. Puis on pousse un peu vers le vert.
On n’impose rien, on favorise. Si « contrat » est vert, il passe de 52 % à 60 % de chances d’être tiré. S’il ne l’est pas, il en perd autant. Le modèle garde le choix, la phrase reste naturelle, et personne ne voit rien.
16 mots sur 28 sont dans la liste verte. Changez la clé ou le mot précédent : le partage se refait entièrement.
Le point important est ailleurs : ce partage est refait à chaque mot, et il n’est pas tiré n’importe comment. Il se calcule à partir du mot précédent et d’une clé secrète que garde le fournisseur du modèle.
D’où les deux propriétés qui font tout fonctionner. Sans la clé, la liste est imprévisible : on ne peut ni la deviner, ni savoir si un texte est marqué. Le filigrane est donc réellement invisible. Avec la clé, on refait exactement le même calcul, mot après mot, et on retrouve les listes. Le marquage n’est écrit nulle part : il se recalcule.
Pour ceux que la mécanique intéresse
La coupure vient d’une fonction de hachage cryptographique alimentée par la clé et par une fenêtre de contexte, souvent le seul mot précédent. Fenêtre courte : le marquage résiste mieux aux retouches, mais devient plus facile à retrouver par recoupement. Fenêtre longue : l’inverse.
La méthode du Maryland ajoute une constante aux scores des mots verts avant le tirage, ce qui déforme légèrement la distribution. SynthID procède autrement : un tournoi entre candidats tirés selon la distribution d’origine, ce qui préserve celle-ci en moyenne. C’est ce qu’on appelle un marquage sans distorsion, et c’est ce qui a permis de le déployer sans dégrader les réponses.
Pourquoi ça se voit
Prenez un texte, et vérifiez chaque mot : tombe-t-il dans la liste verte de sa position ?
Une personne qui écrit ignore l’existence de ces listes. Ses mots tombent dedans par pur hasard, une fois sur deux, comme à pile ou face. Un texte produit par un modèle filigrané, lui, a été poussé vers le vert à chaque position. Il y tombe presque toujours.
Le détecteur ne lit donc pas le texte. Il ne juge pas le style, ne cherche pas de tournure suspecte. Il compte. Et il pose une seule question : quelle chance a-t-on d’obtenir 88 fois pile sur 100 lancers ? Aucune. C’est un calcul, pas une intuition, et il ne demande ni de connaître le modèle, ni d’accéder à ses réglages. Seulement la clé.
La longueur, en revanche, décide de tout. Sur une phrase de dix mots, sept verts ne prouvent rien : à pile ou face aussi, ça arrive. Il faut un paragraphe pour que l’écart cesse d’être une coïncidence acceptable. Un SMS ne peut pas être filigrané utilement. Un rapport, oui.
Pour ceux que la mécanique intéresse
Formellement, le détecteur teste l’hypothèse « ce texte a été écrit sans connaître la liste verte ». Il compte les mots verts, calcule un score z, et en tire la probabilité d’obtenir un tel écart par hasard. Cette probabilité est le taux de faux positifs : on choisit un seuil, par exemple une chance sur un milliard, et on accuse au-delà.
La vraie limite n’est pas la longueur mais l’entropie, c’est-à-dire la liberté réelle dont disposait le modèle. Cent mots de texte administratif contraint portent moins de marquage que vingt mots libres. C’est pourquoi une réponse factuelle courte, une formule juridique consacrée ou du code source se filigranent mal.
Qui a inventé ça
Il n’y a pas un inventeur, il y a une chaîne. Elle est instructive : on y voit une idée rester quatre ans dans un tiroir avant que le droit ne l’en sorte.
- Novembre 2022OpenAI
L’idée est présentée en public
Scott Aaronson
En congé de l’université du Texas et détaché chez OpenAI, ce théoricien de l’informatique décrit un marquage statistique qui ne dégrade pas le texte. OpenAI ne l’a jamais mis en service : l’entreprise craignait de faire fuir ses utilisateurs vers un concurrent moins regardant.
- Janvier 2023Université du Maryland
La méthode est publiée, avec son détecteur
John Kirchenbauer, Jonas Geiping, Yuxin Wen, Jonathan Katz, Ian Miers et Tom Goldstein
A Watermark for Large Language Models pose la liste verte, le détecteur, et le code pour les reproduire. Le jury d’ICML 2023 en fait l’un de ses six articles remarquables sur 1 865 retenus. C’est le texte que tout le domaine cite depuis.
- Octobre 2024Google DeepMind
Le premier déploiement à grande échelle
Sumanth Dathathri et ses coauteurs
SynthID-Text paraît dans Nature. Sa méthode de tirage par tournoi marque les réponses de Gemini pour des millions de personnes, sans dégradation mesurée sur une vingtaine de millions d’échanges. Le code est publié.
- 2 août 2026Union européenne
Le marquage devient une obligation
Article 50 du règlement sur l’IA
Les fournisseurs d’IA générative doivent rendre leurs sorties identifiables par une machine. Les systèmes déjà sur le marché avant cette date ont jusqu’à décembre 2026 pour s’y conformer.
- 11 août 2026Anthropic
Claude marque à son tour, partout
Neuf jours après l’entrée en vigueur
Tout modèle Claude lancé à partir du 2 août 2026 marque son texte, selon la même approche que SynthID. La mesure ne s’arrête pas à l’Europe : elle s’applique dans le monde entier, parce que le marquage vit dans le modèle et non dans une version régionale.
Le détail qui mérite qu’on s’y arrête : la raison invoquée pour ne pas déployer le filigrane chez OpenAI n’était pas technique. Elle était commerciale. Marquer ses textes quand le concurrent ne le fait pas revient à offrir à ses clients une raison de partir. C’est exactement le genre de blocage qu’une loi débloque, et c’est pour cela que l’article 50 existe.
Neuf jours après l’entrée en vigueur, Anthropic a fait ce qu’OpenAI n’avait pas fait : marquer, et partout. Voici donc où en sont les trois assistants que vos équipes ont ouverts ce matin.
Gemini
Google DeepMind
SynthID-Text, premier marquage déployé à grande échelle. La méthode est parue dans Nature et le code est public.
Claude
Anthropic
Même approche que SynthID, appliquée partout dans le monde et non pas seulement en Europe. Une interface de détection est annoncée.
ChatGPT
OpenAI
Le code de conduite européen est signé et les images comme les sons portent déjà une provenance. Pour le texte, rien n’est en service.
Anthropic a publié un schéma qui résume sa méthode en quatre temps. Il vaut la peine d’être regardé, parce qu’il dit la même chose que les figures précédentes, en plus court.
Ce que le filigrane ne fait pas
C’est la partie que les articles enthousiastes oublient. Elle est pourtant la plus utile, parce qu’elle vous évitera d’acheter la mauvaise chose.
- Une reformulation l’efface. Faites réécrire le texte par un autre modèle : les mots changent, les listes vertes ne sont plus respectées, la détection s’effondre. Un seul passage suffit. Un traducteur automatique produit le même effet.
- Il ne marche pas sur les textes contraints. Le filigrane a besoin de liberté. S’il n’existe qu’une bonne façon d’écrire quelque chose, il n’y a rien à orienter. Une réponse factuelle courte, une formule juridique, du code : le marquage y est faible, voire absent.
- Il n’est pas universel. Chaque fournisseur garde sa clé, donc son détecteur. Gemini et Claude emploient la même famille de méthode, mais pas le même secret : savoir lire l’un n’apprend rien sur l’autre. Il n’existe pas de bouton « ce texte vient-il d’une IA ». Il existe des réponses à « ce texte vient-il de ce modèle-là ».
- Il peut être imité. Qui parvient à retrouver le comportement de la liste verte peut fabriquer un texte qui déclenche le détecteur. On peut donc faire accuser un modèle d’avoir écrit un texte qu’il n’a jamais produit.
- Son absence ne prouve rien. Un texte sans filigrane peut venir d’un modèle qui ne marque pas, d’un modèle installé en interne, ou d’une simple reformulation.
Le piège commercial à connaître
Les « détecteurs d’IA » vendus aux écoles et aux entreprises ne sont pas ce que je viens de décrire. Ils n’ont aucune clé : ils devinent, à partir du style et de la régularité du texte. Leur taux d’erreur est élevé, et il est particulièrement injuste envers ceux qui écrivent dans une langue qui n’est pas la leur, parce qu’une écriture appliquée ressemble statistiquement à une écriture de machine. Ne fondez jamais une sanction, un licenciement ou une note sur leur verdict.
Ce que ça change pour votre entreprise
Trois choses concrètes, si vous dirigez une organisation qui utilise ou fournit de l’IA générative.
Un filigrane est un indice, jamais une preuve. Utilisez-le comme tel. Il répond à « ce texte sort-il de notre modèle », ce qui sert à tracer une fuite ou vérifier une production interne. Il ne répond pas à « mon collaborateur a-t-il triché ».
Si vous fournissez de l’IA générative en Europe, l’obligation vous concerne. Demandez à votre prestataire si ses sorties sont marquées et comment le vérifier. Et si vous faites tourner un modèle sur vos propres serveurs, ce qui est le cœur de mon métier, alors le fournisseur c’est vous : l’obligation de marquage vous revient, sans intermédiaire à qui la renvoyer.
Le vrai risque est en amont, pas en aval. Savoir reconnaître un texte sorti d’une IA protège beaucoup moins que savoir ce que vos équipes y font entrer. Vos contrats, vos dossiers clients, vos chiffres partent aujourd’hui dans des outils publics, tous les jours, sans mauvaise intention et sans règle écrite. C’est là que se joue l’essentiel.
Le playbook, et la charte IA à faire signer
Sept pages sur le risque réel, un auto-audit en dix questions, et la charte prête à adapter pour vos équipes. Offert.
Pour aller plus loin
Les travaux cités sont publics et lisibles. L’article du Maryland, A Watermark for Large Language Models, est le plus pédagogique et contient les schémas d’origine. Celui de DeepMind, paru dans Nature en octobre 2024, raconte le passage à l’échelle et publie son code. Le texte de l’article 50 du règlement européen tient en une page, et il vaut la peine d’être lu par toute personne qui déploie de l’IA générative auprès du public.
Une question sur ce que cela implique chez vous ? Écrivez-moi, je réponds moi-même.