Un AI watermark è un segnale associato a un contenuto digitale per indicare che un sistema di intelligenza artificiale ha partecipato alla sua generazione o modifica. Può essere visibile, come un logo; può vivere nei metadati del file; oppure può essere incorporato in modo impercettibile nei pixel o nell’audio. Queste soluzioni vengono spesso riunite sotto la parola “filigrana”, ma non sono equivalenti e non producono le stesse conseguenze.
La distinzione più importante è anche la più semplice: una marcatura può descrivere correttamente una fase del processo, oppure può trasformare un processo creativo complesso in un’etichetta: “Fatto dall’IA”. Quando questo accade, la tecnologia non aggiunge soltanto informazione: modifica il modo in cui il pubblico, una piattaforma e persino un committente interpretano l’opera.
Tre famiglie di segnali
Filigrane visibili
Sono loghi, testi o simboli sovrapposti all’immagine. L’osservatore sa che esistono e può valutarli. Non vanno confusi con le filigrane commerciali applicate alle anteprime di opere altrui, che proteggono una licenza o una vendita.
Metadati e Content Credentials
C2PA, spesso presentato al pubblico come Content Credentials, registra dichiarazioni di provenienza in metadati firmati. Può documentare il programma utilizzato e alcune trasformazioni subite dal file. La firma consente di verificare se quelle dichiarazioni sono integre; non certifica che ogni affermazione rappresenti l’intera storia creativa.
I metadati sono relativamente fragili. Esportazioni, screenshot, conversioni e piattaforme che riscrivono i file possono rimuoverli. Le versioni “durature” delle Content Credentials cercano di collegare il contenuto anche a registri o segnali recuperabili, ma la presenza concreta dipende dalla filiera tecnica.
Filigrane invisibili nei pixel
SynthID appartiene a questa famiglia. Non è un campo EXIF che si cancella con un editor di metadati: è un segnale impercettibile distribuito nel contenuto visivo o sonoro, progettato per poter essere riconosciuto da un rilevatore anche dopo trasformazioni comuni. Nell’esperienza dell’utente è invisibile; per il verificatore diventa un indizio di provenienza.
OpenAI documenta oggi controlli su due tipi di segnale: C2PA nelle immagini e SynthID nelle immagini e nell’audio. Tuttavia un watermark non rilevato non dimostra che il contenuto non provenga dall’IA. Il metadato può essere stato eliminato, la filigrana può essersi degradata, il file può essere precedente all’introduzione del sistema oppure il verificatore può non supportarne l’origine.
Un rilevatore non è una macchina della verità
Occorre separare un rilevatore di filigrana da un classificatore. Il primo cerca un segnale che un sistema ha deliberatamente inserito. Il secondo stima statisticamente, a partire da caratteristiche del contenuto, se possa essere stato generato da un determinato modello. Un classificatore può produrre falsi positivi e falsi negativi; una filigrana può andare perduta o essere letta fuori contesto. Nessuno dei due ricostruisce automaticamente la quantità, la qualità o l’importanza del contributo umano, né tantomeno il flusso esperienziale del processo creativo e il valore emotivo, intrapsichico, relazionale o sociale di un'opera.
La filigrana, inoltre, dice al massimo qualcosa sull’impiego di uno strumento. Non sa se l’autore abbia ideato il soggetto, composto la scena, dipinto una base, fornito fotografie proprie, diretto iterazioni successive, corretto localmente il risultato, riscritto testi, combinato più tecniche e completato l’opera a mano. È proprio questa perdita di contesto a rendere ingannevole l’etichetta quando viene interpretata come “interamente creato dall’IA”.
Che cosa accade nei motori di ricerca
Non esiste una regola generale pubblica secondo cui la sola presenza di SynthID o C2PA penalizzi automaticamente una pagina nei risultati. Google Search dichiara di concentrarsi su accuratezza, qualità, originalità, utilità e rilevanza del contenuto, indipendentemente dal modo in cui è stato prodotto. L’uso dell’automazione diventa contrario alle regole quando serve soprattutto a pubblicare contenuti su larga scala senza valore o a manipolare il posizionamento.
Per questo togliere una filigrana non è una strategia SEO e non promette alcun vantaggio nel ranking. Viceversa, una dichiarazione accurata del processo (?!) può offrire contesto ai lettori per chiarire il ruolo avuto dall'IA. Tuttavia, quando mai, nella storia dell'umanità, un artista ha dovuto documentare e spiegare il proprio processo creativo, di cui, tra l'altro, probabilmente non ha neanche una piena consapevolezza? Il processo è importantissimo per chi lo vive, ma è strettamente personale, non è qualcosa che normalmente si comunica. L'arte deriva da un flusso di esperienze di vita e suggestioni interiori che non possono essere comunicate nemmeno volendolo.
Che cosa accade nei social network
Un social può leggere gli indicatori presenti in un'immagine e applicare una propria etichetta. Può anche affidarsi all’autodichiarazione o ad altri sistemi di rilevamento. Rimuovere un metadato non garantisce quindi che una piattaforma non classifichi il contenuto come "generato dall'IA".
Meta usa indicatori condivisi dal settore e dichiarazioni dell’utente per mostrare “AI info” su Facebook, Instagram e Threads. L’azienda ha riconosciuto pubblicamente che una precedente etichetta “Made with AI” non rappresentava bene casi in cui l’IA aveva prodotto modifiche minori, e ha cambiato formulazione e collocazione dell’avviso. È un esempio concreto del problema: un segnale tecnico può essere autentico e, nello stesso tempo, comunicare al pubblico una conclusione sproporzionata.
TikTok richiede un’etichetta per contenuti realistici generati o modificati in misura significativa con l’IA e può aggiungerla automaticamente.
Nei testi esiste una filigrana nascosta?
Sì, il testo può contenere un pattern statistico impercettibile, prodotto alterando leggermente le probabilità di scelta delle parole; può resistere a modifiche limitate, ma non è indelebile e una riscrittura completa può distruggerlo.
Per chi vuole approfondire, rimando all'articolo: Anthropic spiega come funziona il watermark nei testi generati dalla IA.
Gli AI watermark sono un requisito dell’Unione europea?
Dal 2 agosto 2026 l’articolo 50 dell’AI Act prevede effettivamente obblighi di trasparenza per determinati sistemi e contenuti, ma non impone SynthID in particolare e non ordina di usare necessariamente una filigrana invisibile.
Per i fornitori di sistemi che generano contenuti sintetici audio, immagini, video o testo, la regola richiede che gli output siano marcati in un formato leggibile dalla macchina e rilevabili come generati o manipolati artificialmente. La soluzione deve essere efficace, interoperabile, robusta e affidabile per quanto tecnicamente fattibile. La legge lascia quindi aperta la tecnologia concreta e non trasforma un prodotto proprietario in standard obbligatorio.
Lo stesso articolo stabilisce un’eccezione importante e coerente con la distinzione creativa discussa qui: l’obbligo non si applica nella misura in cui il sistema svolge una funzione assistiva per una modifica standard, oppure non altera sostanzialmente i dati forniti dall’utilizzatore o il loro significato. La norma riconosce dunque che “uso dell’IA” e “contenuto interamente sintetico” non sono sinonimi. Tuttavia, i margini di interpretazione sono ampi.
Un secondo gruppo di obblighi riguarda i deployer, cioè chi utilizza l'IA al di fuori dell'uso puramente personale e non professionale. I deepfake devono essere dichiarati; per opere evidentemente artistiche, creative, satiriche o narrative, la comunicazione può essere effettuata in modo appropriato senza ostacolare la fruizione dell’opera. Esiste inoltre un obbligo specifico per alcuni testi destinati a informare il pubblico su questioni d’interesse generale, con eccezioni legate alla revisione umana e alla responsabilità editoriale.
Il testo non formula un obbligo generale per ogni privato di conservare per sempre una specifica implementazione tecnica nel proprio file. Rimuovere un segnale, tuttavia, non cancella gli eventuali obblighi separati di dichiarazione che dipendono dal modo e dal contesto in cui il contenuto viene pubblicato.
Per i sistemi già immessi sul mercato prima del 2 agosto 2026 è previsto un periodo transitorio: i fornitori devono adottare le misure necessarie per conformarsi all'articolo 50(2) entro il 2 dicembre 2026.
La filigrana non decide il copyright
Un watermark di provenienza non è un certificato di pubblico dominio e non annulla il diritto d’autore. Nel quadro europeo la domanda decisiva riguarda il contributo creativo umano originale. Il Parlamento Europeo ha espressamente distinto le creazioni assistite dall’IA dagli output prodotti autonomamente e ha ricordato che, quando l’IA è usata come strumento dell’autore, continua ad applicarsi l’attuale quadro della proprietà intellettuale.
Se una persona concepisce l’opera, prende le decisioni espressive, seleziona e trasforma i materiali, dirige le iterazioni e compie l’elaborazione finale, la presenza di un passaggio assistito dall’IA non cancella il suo apporto. Il fornitore del servizio non diventa autore per il solo fatto di aver messo a disposizione il software. Una filigrana tecnica non può trasferirgli diritti, né può dimostrare che l’utente abbia rinunciato ai propri.
Riferimento: Parlamento europeo, proprietà intellettuale e tecnologie di IA, risoluzione del 20 ottobre 2020.
Tuttavia, vorrei aggiungere una riflessione più ampia: siamo sicuri che la questione giuridica debba proprio essere su quali scelte creative umane siano espresse nel risultato finale? La mia obiezione è più radicale: perché il criterio decisivo dovrebbe essere quanto direttamente le scelte creative umane risultino riconoscibili nell'output? L'IA non ha idee né iniziative, ma è sempre l'essere umano ad avere un intento. Anche inserire prompt a caso o poco significativi per "sperimentare cosa viene fuori" è un intento.
Semplificando, siccome tutta la questione è sul reale contributo dell'autore rispetto a un output prodotto dal modello a partire da un intervento umano minimo, potremmo immaginare una proposta di questo tipo: se una persona ci ha lavorato due minuti su un'immagine, allora è pubblico dominio; se ci ha lavorato due ore, allora c'è il copyright. E' solo un esempio ipotetico, tuttavia, in un caso del genere, ritorneremmo alle problematiche di giustificazione e documentazione di un processo creativo che è strettamente personale.
Provo a spiegare le mie perplessità sul giudicare il contributo umano con un esempio più semplice: per scattare una fotografia ci mettiamo un secondo, ma quella fotografia può anche essere riconosciuta e venduta come opera d'arte. Inoltre il fotografo non ha "creato" il soggetto fotografato, nel senso che l'opera creatrice della realtà può essere completamente esterna a lui. Se fotografiamo un gabbiano sul mare, chi ha creato il gabbiano e chi il mare? Di fronte a un esempio così evidente, stare a discutere se il contributo umano è nullo, poco o tanto non ha alcun significato, almeno secondo la mia modesta opinione. Un'eccellente fotografia può anche essere dovuta semplicemente al caso o persino a un errore involontario, e risultare tanto inaspettata e sorprendente quanto l'esito di un prompt inserito per errore. Anche le scoperte scientifiche a volte funzionano così, grazie al caso e all'errore, ma non per questo vanno disprezzate o sminuite.
Il "prompt" è un contributo umano che richiede un tempo e una difficoltà paragonabili a quelli per scattare una foto (nel senso di estremamente variabile, da molto semplice e rapido a difficile e lento), e in entrambi i casi il soggetto della foto e dell'immagine generata dall'IA non è stato creato direttamente dall'autore. Sto quindi asserendo che bisogna sempre assumere che ci sia un contributo umano e rispettarlo.
Perché considero "non etiche" le filigrane nascoste imposte
La trasparenza autentica dovrebbe essere rivolta prima di tutto all’utente che crea. Un’informazione che il software inserisce in modo invisibile, che l’utente non può ispezionare pienamente e che non può rifiutare non realizza questa idea di trasparenza: la sostituisce con il controllo del fornitore sul file dell’autore.
Negano consenso e controllo sul proprio file
Un programma dovrebbe eseguire solo ciò che l’utente gli chiede e dichiarare ogni dato aggiunto. La scelta corretta è un controllo comprensibile: se e quali informazioni inserire, dove e con quale livello di dettaglio. Un segnale obbligatorio e nascosto introduce nel file dell’autore un contenuto non desiderato e lo costringe a un’elaborazione potenzialmente alterante per riottenere un file neutro.
Per watermark robusti incorporati nei pixel, infatti, una delle tecniche più efficaci consiste nella rigenerazione dell'immagine attraverso un altro modello; in questo caso il risultato non è più pixel-per-pixel identico e può subire alterazioni visibili: in questo senso, è un'elaborazione potenzialmente alterante.
In molti casi è un servizio a pagamento.
Creano un costo che ricade sull’autore
Molti servizi online hanno un costo non banale, soprattutto per chi produce molte immagini. C'è anche l'alternativa di fare tutto offline nel proprio computer, a condizione di avere una GPU adeguata.
Su GitHub ci sono progetti interessanti e funzionanti, come remove-ai-watermarks, ma anch'essi comunque hanno un costo, seppur indiretto. Sebbene il software sia gratuito, infatti, rimuovere una filigrana incorporata nei pixel richiede molti gigabyte di download dei modelli IA necessari, energia, tempo, una rigenerazione che altera i dettagli... e soprattutto: un computer adeguato, spazio libero, connettività Internet robusta per i download pesanti, e ottime competenze tecniche. Giusto per fare un esempio della "pesantezza", nei miei test il set completo dei modelli IA richiesti per usare remove-ai-watermarks pesa circa 40 GB. Se non c'è bisogno o interesse a preservare la fedeltà dei volti, la stima può scendere a 15 GB. Questi valori sono riferiti alla mia configurazione, li ho specificati solo per dare un ordine di grandezza.
Dettagli tecnici a parte, è il creatore, non il fornitore, a sostenere il costo economico e qualitativo necessario per annullare una scelta che non ha potuto rifiutare.
Concentrano il potere interpretativo
Quando codificatore e verificatore sono proprietari, il fornitore decide che cosa viene scritto e chi può leggerlo. L’autore non può controllare autonomamente il significato completo del segnale né contestare con strumenti equivalenti un risultato sbagliato. Questa asimmetria è incompatibile con la piena disponibilità dell’opera da parte di chi l’ha creata.
Espongono l’opera a usi futuri non scelti
Una marcatura progettata oggi per una verifica, può domani alimentare filtri, classificazioni commerciali, moderazione automatica o decisioni reputazionali. Anche quando il segnale non contiene l’identità dell’utente, la sua opacità impedisce di valutarne con certezza ogni uso successivo. Il consenso non può essere informato se finalità e lettori futuri restano fuori dal controllo dell’autore.
Confondono trasparenza con sorveglianza del processo creativo
La provenienza dovrebbe essere una narrazione verificabile e proporzionata in casi molto specifici, non un marchio indelebile e onnipresente. Nella stragrande maggioranza dei casi, ovvero quando un'immagine è un prodotto artistico e non un documento con implicazioni legali "sensate" (giornalismo, prove per condannare o dichiarare l'innocenza di una persona in sede giudiziaria, documentazione storica, ecc.), l’autore dovrebbe poter dichiarare pubblicamente quali strumenti ha usato solo se lo vuole e con parole sue adeguate al caso.
Una marcatura applicata automaticamente a ogni output non può distinguere l'uso successivo del contenuto né l'intenzione dell'autore. Al tempo stesso, però, l'intenzione dell'autore non è nota a prescindere. Ma anche qualora l'intenzione fosse nota, il watermark può comunque essere tolto successivamente. Ne seguono due conseguenze:
- nessun contenuto dovrebbe essere considerato autentico soltanto perché appare realistico o perché non contiene indicatori di generazione artificiale;
- non marcare nulla per i motivi complessivi già esposti, in particolare per proteggere la riservatezza del processo creativo, per non svalutare l'opera o la reputazione dell'autore, per rispettare la libertà e dignità dell'autore.
Il valore probatorio di una foto in sede legale, ad esempio, dovrebbe essere negato di default, e riconosciuto solo in casi particolari in cui ci siano prove più solide che confermino la foto stessa. Sarebbe un modo per adeguare la legislazione all'attuale facilità di accesso e uso degli strumenti IA avanzati.
Da notare che, se l'assenza di un watermark non prova nulla, di contro anche la sua presenza può avere un significato limitato sul piano probatorio: può documentare l'intervento di un determinato sistema, ma non stabilisce da sola quanto tale intervento sia stato sostanziale, quale fosse l'intenzione dell'autore né se il contenuto sia stato utilizzato in modo ingannevole.
Tutta questa discussione, inoltre, andrebbe inserita all'interno di un'analisi di realtà onesta: giornali, tv e social sono strapieni di informazioni parzialmente o totalmente false da sempre, ben prima dell'avvento dell'IA generativa, quindi smettiamola di prenderci in giro. Le foto sono sempre state oggetto di alterazioni con programmi di fotoritocco, giusto per fare un esempio.
La soluzione più pulita è il controllo locale
Tornando al punto etico, la strada migliore è risolvere il problema alla radice: usare localmente modelli e programmi di cui l’autore controlla input, output, metadati e archiviazione. Ollama rappresenta bene l’idea generale di inferenza locale; per la generazione di immagini su computer personali servono però strumenti e modelli adeguati all’hardware disponibile, e questo è il principale limite rispetto ai servizi online comunemente usati.
Per approfondire
- OpenAI, Content provenance;
- Regolamento europeo sull’intelligenza artificiale, articolo 50;
- Commissione europea, linee guida sugli obblighi di trasparenza;
- Commissione europea, sintesi delle regole di trasparenza e periodo transitorio;
- Google Search Central, contenuti creati con IA generativa;
- Meta, etichette per contenuti generati e modificati con IA;
- TikTok, contenuti generati con IA;
- C2PA, Content Credentials Explainer;
- Parlamento europeo, proprietà intellettuale e IA;
- Risoluzione del Parlamento europeo del 10 marzo 2026 su copyright e IA generativa.
(18 agosto 2026)