Anthropic tatoue Claude pour l’IA Act, mais un paramètre d’échantillonnage suffit à l’effacer

31 octobre 2026. Anthropic annonce à ses clients API l’extension de son tatouage de texte à quatre modèles : Claude Mythos 5, Claude Opus 4.7, Claude Opus 4.6 et Claude Sonnet 4.6. Décembre 2026. L’échéance de l’IA Act européen approche. Un détail change tout : sur deux de ces modèles, modifier un seul paramètre d’échantillonnage efface la marque.

Un tatouage qui tient dans le choix des mots

Le tatouage d’Anthropic ne ressemble pas à un filigrane d’image. L’entreprise le décrit comme un « motif imperceptible dans le choix des mots » : le modèle biaise subtilement la sélection des synonymes selon une clé statistique, sans ajouter de caractères ni de jetons, sans modifier les prix ni le format des réponses, et en ralentissant à peine la génération.

C’est une variante de la méthode SynthID de Google DeepMind, qui altère la distribution de probabilité derrière la génération pour produire un motif détectable. Le tatouage est intégré au niveau du modèle, pas de l’interface : il fonctionne donc sur toutes les plateformes qui hébergent ces modèles — Amazon Web Services, Google Cloud, Microsoft Foundry — et le client ne peut pas le désactiver.

La motivation est réglementaire. L’IA Act européen impose une échéance en décembre 2026 pour l’étiquetage des contenus générés. Tout modèle sorti après le 2 août 2026 porte déjà la marque depuis le premier jour ; les modèles plus anciens la reçoivent par étapes. Opus 5.5, plus récent, est déjà tatoué, et le déploiement sur Amazon Bedrock peut prendre quelques jours de plus.

La faille : trois curseurs qui annulent tout

C’est ici que l’annonce devient intéressante pour un responsable de conformité. Sur Claude Opus 4.6 et Claude Sonnet 4.6, le tatouage ne s’active que si les trois paramètres d’échantillonnage restent à leurs valeurs par défaut. Ces paramètres — temperature, top_p et top_k — contrôlent l’aléa du choix des mots. Une modification mineure de l’un d’entre eux suffit à contourner la marque.

Le courriel d’Anthropic le dit noir sur blanc : « Si vous comptez sur le tatouage pour votre propre conformité, gardez ces réglages à leurs valeurs par défaut. » La faille n’est pas une vulnérabilité cachée : c’est une conséquence assumée de la conception, documentée par le fournisseur lui-même.

La nuance a une portée réelle, car Opus 4.6 reste — selon plusieurs observateurs — le meilleur modèle d’écriture d’Anthropic, devant même Opus 5.5. C’est précisément le modèle que l’on emploie pour produire du texte long et soigné, celui où la détection d’un contenu généré a le plus de valeur. Le courriel ne mentionne pas cette limite pour Mythos 5 ni Opus 4.7, ce qui suggère que la marque s’y applique indépendamment des réglages d’échantillonnage.

Pourquoi le contournement par temperature n’est pas un détail

Pour comprendre l’enjeu, il faut regarder ce que font ces trois curseurs. temperature étale ou resserre la distribution des probabilités ; top_p restreint le choix aux jetons dont la probabilité cumulée atteint un seuil ; top_k borne le choix aux k jetons les plus probables. Le tatouage SynthID encode sa clé dans les décisions de bas niveau du décodeur. Quand un développeur touche à l’un de ces paramètres, il perturbe le signal au point de le rendre statistiquement indétectable.

Or, toucher à temperature est exactement ce que fait tout développeur qui veut un style plus créatif ou plus déterministe. La valeur par défaut est un réglage, pas un usage universel. Un assistant qui rédige du marketing utilise une temperature élevée ; un pipeline d’extraction utilise une temperature proche de zéro. Dans les deux cas, le tatouage disparaît — et avec lui, la garantie de traçabilité que l’IA Act est censé offrir.

La conséquence réglementaire est directe : une organisation qui documente sa conformité en invoquant le tatouage d’Anthropic doit aussi prouver qu’elle n’a pas touché aux paramètres. C’est une obligation de preuve fragile, car rien n’empêche un employé ou un sous-traitant de modifier un paramètre sans le signaler.

La détection, l’autre moitié du problème

Un tatouage ne vaut que si l’on peut le vérifier. Anthropic propose une API de détection en aperçu privé, mais elle n’est pas ouverte à tous. OpenAI a lancé son propre système, textGrain, en octobre 2026, activé par défaut pour ChatGPT et Codex dans l’Union européenne, mais laissé désactivé par défaut pour les clients API du reste du monde, qui peuvent l’activer ou non. Google DeepMind, de son côté, a ouvert le code de SynthID pour le texte et l’a intégré aux modèles Gemini.

Le paysage qui se dessine est celui d’un tatouage à plusieurs vitesses : obligatoire pour certains acteurs dans l’Union européenne, optionnel pour les API, contournable pour qui touche aux paramètres. Un vérificateur qui reçoit un texte sans marque ne peut pas conclure s’il a été écrit par un humain, généré par un modèle non tatoué, ou généré par Claude avec une temperature modifiée. La détection binaire « tatoué ou non » ne répond pas à la question « généré ou non ».

Les critiques techniques vont plus loin. Le blogueur John Gruber relève qu’aucun synonyme n’est parfaitement équivalent : choisir un mot selon une clé statistique plutôt que selon la justesse sémantique dégrade, par construction, la précision du texte. Le média juridique Artificial Lawyer ajoute une préoccupation propre aux cabinets d’avocats : un client qui a interdit l’usage de l’IA pourrait découvrir la marque, et plusieurs tatouages superposés dans un même document compliquent l’attribution.

Avec du recul, la faille ressemble moins à un bogue qu’à un choix de conception qui révèle la vraie fonction du tatouage. Le tatouage statistique excelle à l’échelle d’une population — compter la quantité de texte synthétique en circulation, repérer des campagnes d’influence coordonnées — et non à l’échelle d’un document unique. Pour une production isolée, il suffit de changer un réglage d’échantillonnage pour effacer la marque, et aucune API de détection ne distinguera une marque contournée d’un texte qui n’a jamais été tatoué. C’est l’écart que les règles d’étiquetage de l’IA Act devront combler, et ce n’est pas un écart qu’Anthropic peut refermer seul.

Ce que l’on doit en faire, concrètement

Le tatouage d’Anthropic est un progrès réel pour la traçabilité, mais il faut le lire pour ce qu’il est : une couche de détection, pas une garantie de conformité. Trois règles pratiques en découlent.

Ne jamais fonder une conformité réglementaire sur le tatouage seul. L’IA Act exige un étiquetage ; le tatouage en est un moyen, pas le seul, et certainement pas un moyen étanche. Documenter les paramètres d’échantillonnage de chaque intégration si l’on prétend s’appuyer sur la marque — et interdire leur modification non tracée. Ne pas déduire l’absence de génération d’une absence de marque : un texte non tatoué n’est pas un texte humain.

Le signal le plus important est peut-être ailleurs. Quand un fournisseur documente lui-même qu’un paramètre annule son mécanisme de conformité, il révèle que le tatouage est pensé pour la détection massive et statistique, pas pour l’attribution individuelle. C’est la différence entre compter combien de textes sont générés et savoir si ce texte l’a été.

Verdict

Si vous utilisez l’API Claude et que votre conformité à l’IA Act repose sur le tatouage, gardez temperature, top_p et top_k à leurs valeurs par défaut sur Opus 4.6 et Sonnet 4.6, et figez-les par la configuration : un changement non tracé vous fait perdre la marque sans que rien ne l’indique. Si vous avez besoin d’un style ajusté, assumez la perte du tatouage et compensez par un étiquetage explicite en aval. Et si vous êtes un vérificateur ou un cabinet, traitez la marque comme un indice parmi d’autres — jamais comme une preuve d’authenticité, dans un sens ni dans l’autre. Le tatouage de Claude résiste à la rétro-ingénierie, mais pas à un simple temperature=0.8.

Références

• The Decoder — Anthropic’s watermark rollout leaves a loophole on two older Claude models (31 octobre 2026)
• The Decoder — Anthropic announces watermark detection API
• The Decoder — Google DeepMind open sources AI text watermarking for Gemini
• The Decoder — OpenAI will watermark ChatGPT text in the EU, optional for API users worldwide