AI Act e watermark: cosa prova davvero la filigrana sui testi AI

AI Act, watermark, e perché la domanda utile non è tecnica.

AI Act e agosto. Ammettetelo, è il binomio che mancava alle vostre vacanze. Lo so, siete tutti a implementarlo invece che al mare, avete preso alla lettera gli obblighi che impone. Qui, tra le varie tematiche, vorrei affrontare un dettaglio che merita una riflessione anche sotto l'ombrellone: il watermark. Avete letto bene, mark, come marchio. Nessun Park nei dintorni.

Parlando di intelligenze artificiali il watermark è una possibile soluzione al 'problema' di riconoscibilità di testi (o altri artefatti digitali) prodotti da una macchina.

Il motivo si capisce facilmente: una dichiarazione volontaria del tipo «l'ho scritto io, giuro» offre poche garanzie, quindi serve qualcosa di verificabile.

Cosa è un watermark?

È una firma invisibile nascosta tra le parole di un testo, che solo chi ha la chiave sa leggere.

Un watermark è anche un marchio nascosto dentro un oggetto (digitale o fisico), che dice da dove viene. Nella carta più pregiata è letteralmente così: guardi il foglio e vedi un foglio, lo alzi controluce e compare il logo della cartiera. Il foglio resta perfettamente normale e leggibile, e intanto porta scritto chi l'ha fatto.

Nel testo si può fare lo stesso, in modo rozzo:

"Dentro il messaggio abita X."

Le iniziali delle cinque parole dicono DI MAX. La frase si legge normalmente, ha senso, nessuno ci fa caso. È un marchio di paternità nascosto in piena vista.

Ma sono debolissimi. Basta toccare una parola qualsiasi e la firma si perde.

Oppure😈si😈possono😈usare😈espedienti😈di😈ogni😈tipo😈che😈non😈alterano😈in😈alcun😈modo😈il😈contenuto😈😀

Il watermark e gli LLM

Ad agosto ha fatto notizia l'annuncio di Anthropic che sta per mettere un watermark a tutti i contenuti generati dai propri modelli in risposta ai requisiti dell'AI Act. E ovviamente questo ha scatenato un mare di reazioni diverse. Proviamo a capire la loro proposta.

Ogni volta che deve scegliere una parola, un modello linguistico ha davanti a sé più alternative plausibili, ciascuna con una probabilità diversa.

Il watermark di Anthropic inclina appena questa scelta seguendo una chiave segreta: alcune parole vengono favorite di pochissimo e il significato resta identico. Una singola parola non dimostra nulla, mentre su un testo lungo le micro-scelte diventano centinaia, si accumulano e formano una firma statistica che può essere rilevata con la chiave giusta.

(Claude, che mi assiste alla scrittura, mi fa presente che il primo schema di questo tipo è di Kirchenbauer e colleghi, pubblicato nel 2023. Google DeepMind ne ha poi pubblicato una versione più recente, SynthID Text, su Nature nel 2024. È proprio lo schema scelto da Anthropic per marcare i testi generati da Claude.)

Il meccanismo, passo dopo passo, è nell'animazione qui sotto.

https://video.wixstatic.com/video/9d30e0_aced54fd220a4927b0d1a128ede7a0e6/720p/mp4/file.mp4

Quella firma prova che un modello è passato di lì. Tutto il lavoro umano che viene prima e dopo, dalle ore dedicate alla revisione fino alla verifica delle fonti, rimane fuori dall'inquadratura. E questo sistema, secondo Anthropic, funziona perché vengono fatte decine e centinaia di watermark, è sufficiente che se ne trovi qualcuno per dire che quel testo ha avuto a che fare con un language model. Ma non dice né quanto, ne dove.

Tanto che esistono, ovviamente, sistemi che già promettono di renderlo inefficace.

Uno di questi si chiama Declaude e propone una riscrittura completa del testo, pensata per far collassare la rilevazione quasi al livello del caso. Secondo Declaude, una parafrasi leggera diluisce la firma senza cancellarla e la lascia rilevabile per centinaia di token. Chissà. La logica sottostante resta comunque istruttiva, perché la differenza fra le due tecniche mostra con grande chiarezza che cosa misura davvero un watermark: quanto il testo è rimasto intatto dopo una 'passata di AI'. (Fonte di parte)

Cosa chiede davvero l'AI Act (e a chi)

Anthropic sembra averlo fatto con il pretesto dell'entrata in vigore dell'AI Act che, all'articolo 50 richiede la consapevolezza delle persone di aver a che fare con artefatti AI.

Deployers of an AI system [...] shall disclose that the content has been artificially generated or manipulated.

Distinguendo due aree

Chi costruisce il modello deve marcare gli output in un formato leggibile da una macchina, per audio, immagini, video e testo. L'eccezione racconta già molto del principio seguito: l'obbligo cade quando il sistema non altera in modo sostanziale i dati forniti o la loro semantica. Farsi correggere i refusi, per esempio, non fa scattare la marchiatura. Il regolamento chiede anche che la soluzione sia robusta per quanto tecnicamente possibile, segno che il legislatore sapeva già cosa aspettarsi dalle riscritture.

Chi pubblica ha un obbligo diverso e molto più circoscritto di quanto si racconti in giro. Riguarda «il testo pubblicato allo scopo di informare il pubblico su questioni di interesse pubblico». In altre parole, l'obbligo non si estende automaticamente a ogni email, post, relazione interna, offerta commerciale o verbale di riunione.

Poi, nello stesso identico comma, arriva la frase che quasi nessuno cita:

This obligation shall not apply where [...] a natural or legal person holds editorial responsibility for the publication of the content.

ovvero, L'obbligo non si applica quando il contenuto generato dall'AI è stato sottoposto a un processo di revisione umana o di controllo editoriale e quando una persona fisica o giuridica detiene la responsabilità editoriale della pubblicazione.

Rileggetela con calma. Il regolamento che viene spesso citato come una caccia al testo artificiale, mette nero su bianco un principio molto umano: quando qualcuno ci mette la faccia, la responsabilità editoriale prende il posto della caccia alle streghe.

Tracce ovunque, come le cellule morte

Il rischio si concentra nel modo in cui interpreteremo tutto questo. Con i watermark e i sistemi machine-readable entriamo in una fase piuttosto curiosa, nella quale andremo a cercare le tracce dell'AI dentro i contenuti con lo zelo della scientifica su una scena del crimine.

Questa parola è sospetta. Questa sequenza di token presenta anomalie. Almeno il 37,335% di questo testo è stato scritto dall'AI (Al singolare, ESSA). Qui Claude potrebbe essere passato intorno alle 14:37. Transennate il paragrafo.

Di tracce, con ogni probabilità, ne troveremo ovunque. Lavoriamo con l'AI per scrivere un contenuto, certo, e anche per accorciarlo, tradurlo, trovare tre titoli, correggere un passaggio, riassumere quaranta pagine, trasformare un articolo in un post LinkedIn o controllare che quello che abbiamo scritto abbia senso. Ogni intervento lascia una storia diversa dietro alle parole.

La sorpresa arriva proprio da chi la filigrana la sta costruendo. Nella pagina in cui spiega come funziona il marchio di Claude, Anthropic chiarisce che Claude potrebbe non essere l'autore originale, perché le persone lavorano con il modello anche per correggere, tradurre, riassumere o convertire file. Di conseguenza, il testo può portare il marchio perfino quando le idee, il testo o i dati di partenza arrivano da un'altra fonte. (Fonte)

Immaginate di affidargli un vostro testo e di chiedere una traduzione, un riassunto o una conversione di formato. Le idee restano vostre (speriamo per sempre), mentre quasi tutte le parole vengono scelte dal modello, ed è proprio lì che si applica il marchio, anche se il pensiero dentro è interamente vostro. Una semplice correzione di refusi, invece, lascia poco a cui il marchio possa attaccarsi, come spiega la stessa pagina Anthropic. La differenza dipende da quante parole, alla fine, ha scelto la macchina.

E immaginate un testo, come questo del resto, che passa in revisione una volta scritto sia da Claude che da GPT. Come la mettiamo?

Anthropic aggiunge anche che l'assenza del marchio non dimostra che un testo non sia passato da Claude ed elenca diversi motivi per cui la firma può risultare invisibile, anche quando il modello è stato davvero coinvolto. La presenza è ambigua e lo è anche l'assenza. Bello no? (Fonte)

Finiremo così per trovare tracce di AI nei contenuti più o meno come troviamo cellule morte su qualunque superficie. La traccia ci dice che qualcosa è successo, ma lascia avvolto nel mistero che cosa sia accaduto davvero: se l'idea e il ragionamento siano umani, se l'autore abbia lavorato venti ore, se abbia controllato ogni fonte o respinto le conclusioni proposte dalla macchina.

Anche se voi non avete lavorato con l'AI su quel testo, potete essere sicuri di chi vi ha passato le fonti? E di chi lo tradurrà, o lo riassumerà per il capo che non ha tempo di leggerlo? Prima e dopo di voi, quel contenuto attraversa mani che sfuggono al vostro controllo.

Setacciare ogni frase per scoprire se Tizio ha lavorato con l'AI significa partire da una domanda mal posta, ancora prima di affrontarne la difficoltà.

Ed è qui che rischia di nascere una nuova professione che spero di non vedere mai decollare: il cacciatore di «quanta AI c'è».

La percentuale impossibile

Lo scenario che temo di più ha un aspetto rassicurante, ordinato e terribilmente preciso:

Questo testo è 37,4% AI · 62,6% umano

Una misura di qualità accurata più o meno quanto contare i mazzi di fiori per stimare quanto amore c'è in un rapporto.

Due contenuti possono risultare entrambi «generati con AI» e, dietro la stessa etichetta, essere oggetti completamente diversi. Nel primo caso il processo è: «scrivimi duemila parole sull'AI Act», copia, incolla, pubblica. Nel secondo ci possono essere settimane di ricerca, un'idea originale, una struttura costruita dall'autore, fonti selezionate a mano, una prima stesura con l'AI, venti ore di editing, frasi riscritte, conclusioni cambiate assieme all AI e un'approvazione finale. E poi può esserci un terzo contenuto, fatto 100% a mano. Cosa cambia? Che ogni produzione diventa sospettata di un crimine a prescindere dal risultato? Il testo generato solo da umani ha più valore? Perchè?

Trovate ovunque racconti di persone che hanno sottoposto un proprio testo di dieci anni fa a tre fra gli «AI detector» più noti. I verdetti sono cose tipo 90%, 75% e 85% scritto dall'AI. Raccontano che la caccia alle streghe sul 'contenuto AI' rimane attiva, per quanto pensiamo non sia così.

Anyway, quei detector sono strumenti diversi dal watermark, perché tirano a indovinare e a sottolineare lo stigma dell'AI anziché verificare una chiave. La storia circola e anticipa bene il punto contro cui rischiamo di andare a sbattere: qualcuno userà lo strumento sbagliato per emettere una sentenza.

Il danno, intanto, è già in circolo. Chi riceve un documento scritto con l'AI tende a immaginare che l'essere umano abbia fatto soltanto da passacarte e che, dietro quelle pagine, si nasconda un raggiro. La filigrana trova quel sospetto già pronto e gli mette un timbro. Rischia cioè di svalutare contenuti buoni solo perché hanno sapore di AI.

La domanda utile non è tecnica

A me piace valutare il valore di un contenuto con mio gusto e giudizio. Poi, più il contenuto è importante (mi informa di fatti importanti o mi sta solo divertendo?) più diventa rilevante quella che credo possa essere una domanda utile:

Chi si assume la responsabilità di quello che sto leggendo? Chi ha verificato, chi ha deciso e chi è disposto a metterci il proprio nome, la propria reputazione e la propria faccia?

Mi sembra, leggendo giudizi su AI-Act, Watermarking, uso di AI, che stiamo impastando tre livelli diversi come se fossero uno solo.

Sapere che cosa sto guardando è trasparenza; sapere da dove viene è provenienza; sapere chi risponde degli effetti è responsabilità. Il watermark lavora sui primi due, mentre il terzo resta interamente nelle nostre mani, dai tempi dei caratteri cuneiformi.

Un contenuto (di valore o meno) privo di qualcuno che se ne assuma la responsabilità ha un peso basso, che sia stato prodotto da GPT-37 o battuto a macchina su una Olivetti Lettera 32.

È la mia prima regola quando lavoro con l'AI: se me ne assumo la responsabilità, la scelta materiale quali strumenti ho usato per produrlo passa in secondo piano.

E immagino non siate tutti d'accordo. Ma c'è un ultimo punto... questo è il dito che punta alla luna.

Gli agenti non scrivono. Agiscono

Queste discussioni sono sacrosante e non troveranno mai una risposta definitiva. Ma ci stanno distraendo.

La domanda «chi si assume la responsabilità» sta per diventare ancora più urgente. Mentre discutiamo di filigrane nei testi, infatti, la parte seria del problema si è già spostata altrove.

Un agente moderno non si limita a produrre un testo. Compie azioni: apre un ticket, aggiorna un record sul CRM, manda una mail a un cliente e decide in autonomia cosa rispondere, oppure se rispondere. Sceglie quale sistema interrogare e con quali credenziali entrarci.

Lo vedo ogni giorno nel traffico del mio blog, dove bot e agenti arrivano con un obiettivo diverso dalla lettura: sondano moduli ed endpoint alla ricerca di una porta lasciata aperta, commentano articoli, inseriscono link malevoli fingendo di essere umani. In pratica: da qualche parte un agente basato su AI Generative decide come agire e reagire mentre 'dialoga' con siti web o altri agenti, alle tre di notte, senza chiedere niente a nessuno.

Le azioni restano fuori dalla portata della filigrana. Una mail partita, un ordine inoltrato, un dato salvato nel posto sbagliato o una risposta arrivata al cliente sbagliato sono privi di watermark e di firma statistica.

Quelle sono decisioni, con conseguenze immediate e spesso irreversibili. E nessuna di loro lascia dietro di sé un token da analizzare.

Stiamo concentrandoci a mettere il sigillo sulla busta mentre fuori imperversano rivoluzioni?

Quindi, torniamo alle vecchie responsabilità

La buona notizia è che la risposta esiste da molto prima dell'AI. I legislatori dell'AI Act l'ha perfino ricopiata nel comma: revisione umana, controllo editoriale e una persona che risponde della pubblicazione.

Sono le vecchie responsabilità che conosciamo bene. Il direttore firma il giornale, il perito firma la perizia, l'amministratore risponde del bilancio. Ognuno di loro si assume la responsabilità di un lavoro costruito insieme ad altre persone, a prescindere da chi ha premuto i singoli tasti.

Per gli agenti vale lo stesso principio, con una differenza decisiva: la responsabilità resta, per ora, tutta dalla parte degli esseri umani che li attivano. Le persone fisiche (e giuridiche) sono le uniche ad avere una reputazione da difendere e conseguenze da affrontare.

Ad un agente AI questo è indifferente, è -appunto- come una pecora. Ed è esattamente per questo che esiste un pastore. Il pastore si occupa del gregge: sa dove si trova, conosce i confini entro cui deve muoversi e, quando una pecora finisce nel campo del vicino, è lui che va a bussare.

Ecco perché il mestiere che ci aspetta è il pastore di agenti (ne avevo già parlato, anche in inglese), altro che il cacciatore di contenuti fatti con l'AI (Con o senza watermark).

Enjoy Artificial Intelligence Responsibly! Massimiliano