Marqueurs IA invisibles : peut-on vraiment les supprimer ?

Un "marqueur IA" peut désigner quatre choses très différentes

Avant de chercher à supprimer quoi que ce soit, il faut commencer par définir ce que l’on cherche. Sur un texte numérique, certains éléments invisibles peuvent être parfaitement légitimes. Unicode contient des caractères de largeur nulle, des contrôles de direction, des espaces particuliers et de nombreuses séquences nécessaires à certaines langues ou à certains usages typographiques. Les mêmes mécanismes peuvent aussi être utilisés accidentellement par un éditeur, introduits lors d’un copier-coller ou détournés pour transporter une information cachée. Leur présence n’est donc jamais, à elle seule, la preuve qu’un texte a été généré par une IA.

Une deuxième famille de traces se trouve dans les fichiers eux-mêmes. Une image peut transporter des métadonnées EXIF, XMP ou IPTC indiquant par exemple des informations techniques, un logiciel utilisé, des données descriptives ou parfois des éléments plus sensibles. Ces métadonnées ne sont pas nécessairement liées à l’intelligence artificielle, mais elles rappellent qu’un fichier contient souvent davantage d’informations que ses seuls pixels.

Une troisième famille concerne la provenance signée, notamment avec C2PA et les Content Credentials. Ici, l’objectif n’est plus de cacher discrètement une séquence, mais d’associer au contenu un ensemble d’informations signées décrivant son origine ou certaines transformations. C2PA ne constitue pas un "détecteur d’IA" universel. Le standard fournit un mécanisme permettant d’associer des assertions de provenance à un média et d’en vérifier l’intégrité lorsqu’une chaîne de confiance valide est disponible. Une provenance C2PA peut être très utile, mais son absence ne prouve pas qu’un contenu est humain, tout comme sa présence ne dit pas automatiquement que ce contenu est faux.

Enfin, il existe des watermarks intégrés au processus même de génération. Dans le cas du texte, ils peuvent modifier subtilement la distribution statistique des choix effectués par le modèle sans ajouter un caractère caché facilement repérable. Google DeepMind documente depuis plusieurs années ce principe avec SynthID Text, dont une implémentation de référence a été publiée pour la recherche. Le signal ne réside alors plus dans un espace invisible que l’on pourrait simplement supprimer, mais dans la manière dont certains tokens ou séquences ont été choisis pendant la génération.

Ces quatre familles ne doivent pas être confondues. Nettoyer un caractère Unicode ne retire pas une signature statistique. Supprimer des métadonnées EXIF ne retire pas nécessairement un watermark inscrit dans les pixels. Enlever une structure C2PA ne transforme pas automatiquement une image générée par IA en photographie humaine. Et réécrire un texte ne supprime pas pour autant toutes les possibilités d’en analyser ultérieurement le style.

Ce qu’AfterAlgorithm peut réellement inspecter et nettoyer aujourd’hui

AfterAlgorithm a été conçu avec cette distinction comme principe de départ. Pour les textes, l’outil inspecte les points de code Unicode et recherche notamment les caractères invisibles ou de largeur nulle, les contrôles bidirectionnels, les homoglyphes, certains mélanges de scripts, les espaces atypiques, les séquences inhabituelles et différentes structures pouvant servir de canal caché. Lorsqu’une correction est déterministe et explicable, l’utilisateur peut produire une version nettoyée du texte.

Cette fonction est utile parce qu’un simple copier-coller peut transporter des éléments que l’on ne voit pas à l’écran. Mais elle comporte une limite volontaire : AfterAlgorithm ne doit pas transformer une anomalie technique en accusation d’usage de l’IA. Un caractère invisible peut provenir d’un traitement de texte, d’une langue, d’une mise en forme, d’un éditeur web ou d’une multitude d’autres causes. Le service privilégie donc l’observation à l’attribution.

Pour les images, l’approche est comparable. AfterAlgorithm examine la structure du fichier, ses métadonnées et la présence éventuelle d’informations de provenance C2PA. Il permet ensuite, lorsque l’utilisateur le choisit, de créer une copie débarrassée de certaines métadonnées ou de la structure de provenance ciblée. Dans les opérations compatibles, l’outil cherche à préserver le flux image sans réencodage inutile. Là encore, la formulation est volontairement prudente : détecter la présence structurelle de C2PA n’équivaut pas à affirmer qu’une signature a été cryptographiquement validée si cette validation n’a pas effectivement été effectuée.

Cette distinction est essentielle pour comprendre ce que signifie réellement "supprimer les marqueurs IA". AfterAlgorithm peut nettoyer des éléments observables et documentés. Il ne peut pas raisonnablement promettre de supprimer un watermark propriétaire secret dont le mécanisme de détection n’est pas disponible. Le site indique d’ailleurs explicitement qu’un résultat vide ne prouve pas l’absence d’un watermark propriétaire ou inconnu.

C’est moins spectaculaire qu’un bouton prétendant rendre n’importe quel contenu "indétectable", mais techniquement beaucoup plus honnête.

Avec Claude, le watermark n’est plus un simple caractère caché

L’annonce d’Anthropic change précisément la nature du problème. Il faut d’abord corriger une confusion possible : Claude n’ajoute pas simplement un "tag" visible ou une suite de caractères Unicode cachés que l’on pourrait repérer dans un éditeur hexadécimal. La documentation officielle d’Anthropic décrit deux mécanismes complémentaires.

Le premier est un watermark imperceptible intégré au texte généré par les modèles Claude compatibles. Anthropic indique que ce marquage est appliqué au niveau du modèle, qu’il accompagne le texte lorsqu’il est copié et collé et qu’il peut persister après certaines modifications. Les modèles lancés à partir du 2 août 2026 doivent supporter ce marquage dès leur lancement, tandis qu’Anthropic travaille à l’ajouter progressivement à des modèles antérieurs. Le dispositif concerne les différentes surfaces de Claude, notamment la plateforme API, Claude, Claude Code, Cowork ou encore les accès via certains fournisseurs cloud, et Anthropic indique vouloir l’appliquer partout où les modèles concernés sont proposés.

Le second mécanisme concerne les fichiers. Pour certains formats supportés comme SVG, PNG ou JPEG, Anthropic prévoit l’ajout de métadonnées de provenance signées suivant le standard C2PA. Contrairement au watermark textuel, il s’agit ici d’informations attachées au fichier et destinées à fournir un signal de provenance et d’intégrité.

Le détail technique complet du watermark textuel n’est toutefois pas encore publié par Anthropic. Sa documentation annonce également de futurs moyens permettant aux utilisateurs et aux tiers de détecter les marques de Claude. À ce stade, il serait donc prématuré d’affirmer qu’un outil tiers peut identifier ou supprimer de manière fiable ce watermark particulier.

La prudence est d’autant plus importante qu’Anthropic reconnaît lui-même les limites du dispositif. La présence d’un marqueur ne prouve pas que Claude est l’auteur original du contenu. Un utilisateur peut avoir soumis son propre texte à Claude uniquement pour le relire, le traduire, le résumer ou le convertir. Le résultat peut alors porter un signal indiquant qu’il a été traité par Claude sans que les idées ou même l’essentiel de la rédaction aient été produits par le modèle. À l’inverse, l’absence de marqueur ne permet pas de conclure qu’un texte est humain : un modèle ancien peut ne pas avoir été marqué, un passage peut être trop court, ou le signal peut devenir indétectable après des transformations importantes.

Autrement dit, un watermark est un signal de traitement ou de provenance, pas un certificat d’auteur.

Ce que l’AI Act impose réellement

Le contexte réglementaire explique une partie de cette évolution. L’article 50, paragraphe 2, du règlement européen sur l’intelligence artificielle impose aux fournisseurs de systèmes générant des contenus synthétiques audio, image, vidéo ou texte de veiller à ce que les sorties soient marquées dans un format lisible par machine et détectables comme artificiellement générées ou manipulées, dans la mesure où cela est techniquement possible. Le règlement demande également que les solutions soient efficaces, interopérables, robustes et fiables compte tenu de l’état de l’art.

Une nuance juridique importante mérite toutefois d’être rappelée : le texte prévoit une exception lorsque le système remplit une fonction d’assistance pour une édition standard ou ne modifie pas substantiellement les données fournies ni leur sémantique. Le Code de bonnes pratiques sur la transparence des contenus générés par IA, publié dans le cadre du Bureau européen de l’IA, vise à aider les fournisseurs et les déployeurs à se conformer à ces obligations. L’adhésion au code est volontaire, mais les obligations prévues par l’article 50 ne le sont pas.

La logique européenne n’est donc pas, en elle-même, de suivre individuellement un utilisateur. Elle vise à rendre les contenus synthétiques ou manipulés détectables comme tels afin de réduire les risques de tromperie et de manipulation. Il serait excessif de transformer automatiquement cette obligation en dispositif de surveillance personnelle.

Mais l’implémentation concrète mérite malgré tout un débat. Lorsque le marquage est invisible, persiste après un copier-coller et ne peut être interprété qu’à l’aide d’un mécanisme de détection contrôlé par le fournisseur ou par certains tiers, une asymétrie apparaît. L’utilisateur produit ou transforme un contenu, mais il ne voit pas nécessairement la trace ajoutée, ne sait pas toujours comment elle fonctionne et peut dépendre d’un tiers pour la faire interpréter.

La question devient alors moins "faut-il de la transparence ?" que "la transparence doit-elle être symétrique ?"

Peut-on vraiment supprimer un marqueur IA ?

La réponse dépend entièrement du type de marqueur. Pour les caractères Unicode invisibles, les contrôles de direction ou certaines anomalies structurelles, un nettoyage déterministe est possible lorsque l’on sait précisément ce que l’on retire et pourquoi. Il faut néanmoins éviter le nettoyage aveugle, car certains de ces caractères ont des usages légitimes dans différentes langues ou mises en forme.

Pour les métadonnées classiques, il est généralement possible de produire une copie qui n’embarque plus certaines informations EXIF, XMP ou IPTC. C’est une opération courante de protection de la vie privée, par exemple avant la publication d’une photographie. Pour C2PA, retirer la structure de provenance est techniquement possible dans certains formats, mais cette opération a une conséquence claire : la copie ne conserve plus la chaîne de provenance signée de l’original. Elle ne doit donc pas être présentée comme si cette provenance avait été préservée.

Pour les watermarks statistiques intégrés à la génération du texte, la situation est très différente. Il n’existe pas nécessairement un caractère à retirer ou une métadonnée à effacer. Anthropic indique lui-même que son signal peut devenir indétectable lorsque le texte a été fortement édité, paraphrasé, traduit ou mélangé à d’autres contenus, mais cette observation décrit une limite du système, pas une méthode universelle de suppression. Tant que le mécanisme précis et les outils de détection ne sont pas publiquement documentés, toute affirmation de "suppression garantie" relève davantage du marketing que de la démonstration.

Il faut également distinguer les watermarks des techniques inscrites directement dans le contenu visuel ou sonore. Google SynthID, par exemple, peut intégrer un signal dans une image, une vidéo ou un son de manière conçue pour résister à certaines transformations. Supprimer les métadonnées d’un fichier ne signifie donc pas nécessairement supprimer ce type de watermark.

En pratique, il n’existe pas un marqueur IA unique et il n’existe donc pas un bouton universel pour les supprimer tous.

Le prochain marqueur pourrait être notre manière d’écrire

C’est ici que le sujet devient plus troublant, parce qu’un texte peut être analysé même si personne n’y a ajouté de watermark.

La stylométrie cherche depuis longtemps à caractériser ou attribuer l’auteur d’un texte à partir de régularités de style : fréquence de certains mots, ponctuation, syntaxe, longueur des phrases, structures lexicales ou autres caractéristiques statistiques. Ces travaux sont anciens et ne sont pas nés avec les grands modèles de langage. Plusieurs publications ont déjà souligné les risques qu’ils peuvent faire peser sur l’anonymat, notamment lorsqu’un pseudonyme est comparé à un corpus de textes dont l’auteur est connu.

Ce point est fondamental : un watermark est ajouté au contenu, alors qu’une empreinte stylométrique peut être inférée à partir du contenu lui-même. Le premier dépend d’un mécanisme d’insertion. La seconde peut exister simplement parce que nous avons des habitudes d’écriture.

La recherche récente explore naturellement l’utilisation des grands modèles de langage pour renforcer ces techniques. Un préprint publié en février 2026 propose par exemple une approche combinant caractéristiques stylométriques et raisonnement de LLM pour évaluer des risques de désanonymisation d’auteurs. Comme il s’agit d’un préprint et non d’un résultat qui permettrait de généraliser à tous les contextes, il faut rester prudent sur sa portée. Il montre néanmoins une direction crédible : les mêmes modèles capables de produire du texte deviennent aussi capables d’aider à analyser les régularités de ceux qui l’écrivent.

À ce stade, il serait faux de dire que Claude "trace notre manière d’écrire" simplement parce qu’il ajoute un watermark. Les deux mécanismes sont différents et aucune source examinée ici ne démontre que le watermark de Claude encode l’identité personnelle ou le style propre d’un utilisateur. En revanche, la convergence de plusieurs technologies mérite d’être observée : provenance signée, watermarking, stylométrie, métadonnées, télémétrie des plateformes et capacité croissante des modèles à comparer de grands corpus peuvent, ensemble, réduire progressivement l’espace dans lequel un texte reste réellement détaché de son histoire ou de son auteur.

Le risque ne vient donc peut-être pas d’un marqueur unique, mais de l’addition de tous les signaux.

Transparence utile ou nouvelle infrastructure de contrôle ?

Il serait trop simple de considérer tous les mécanismes de provenance comme une forme d’asservissement. Dans un monde saturé de contenus synthétiques, pouvoir vérifier qu’une image a été générée ou transformée, comprendre l’origine d’un document ou différencier une photographie authentifiée d’un montage peut devenir extrêmement utile. Les standards ouverts comme C2PA cherchent précisément à fournir des signaux de provenance vérifiables sans prétendre décider si un contenu est "bon" ou "mauvais". De même, Google présente SynthID comme un moyen d’apporter davantage de contexte face à la circulation de contenus générés par IA.

Le problème apparaît lorsque le signal devient une conclusion. Un employeur, un enseignant, un média ou une plateforme pourrait être tenté de traiter la détection d’un watermark comme la preuve que l’humain n’a pas écrit son texte. Or Anthropic prévient explicitement que ce raisonnement serait incorrect : un texte simplement relu ou traduit par Claude peut porter une marque. À l’inverse, un contenu généré par IA peut ne présenter aucun signal détectable.

Le risque est donc moins celui du watermark lui-même que de l’usage social qui sera fait de la détection. Un indicateur probabiliste ou un signal de provenance peut rapidement devenir un score, puis un critère de classement, puis une accusation automatique. Nous avons déjà vu ce mécanisme avec de nombreux systèmes de détection d’IA qui présentent parfois une probabilité comme un verdict.

La bonne réponse n’est probablement pas de supprimer toute provenance. Elle consiste plutôt à exiger que les mécanismes soient auditables, documentés et contestables. Si une plateforme ajoute une marque invisible, l’utilisateur devrait pouvoir savoir qu’elle existe, comprendre ce qu’elle signifie, connaître ses limites et disposer d’un moyen indépendant de la vérifier. Si une détection peut avoir une conséquence sur une personne, elle ne devrait jamais être utilisée comme preuve unique sans contexte ni possibilité de recours.

La transparence n’a de sens que si elle fonctionne dans les deux sens.

AfterAlgorithm n’a pas vocation à rendre l’IA invisible

C’est probablement le positionnement le plus important à clarifier. AfterAlgorithm ne devrait pas devenir un outil dont la promesse serait : "donnez-moi un contenu IA et je le rendrai humain". Une telle promesse serait techniquement fragile, intellectuellement discutable et contradictoire avec l’objectif initial du projet.

Son rôle est plus simple : montrer ce qui peut être montré et redonner la décision à celui qui possède le contenu. Si un texte contient des caractères invisibles, l’utilisateur doit pouvoir les voir. Si une image transporte des métadonnées qu’il ne souhaite pas publier, il doit pouvoir les identifier et produire une copie adaptée. Si une structure de provenance est présente, il doit comprendre ce qu’elle signifie avant de décider de la conserver ou non. Et si un watermark n’est pas techniquement vérifiable, l’outil doit avoir le droit de répondre : "je ne peux pas le prouver".

Cette dernière réponse est peut-être la plus importante dans une industrie qui cherche constamment à transformer des probabilités en certitudes commerciales.

AfterAlgorithm repose donc sur une idée volontairement modeste : inspecter avant d’affirmer, expliquer avant de nettoyer et ne jamais transformer l’absence de preuve en preuve d’absence. L’arrivée des watermarks de Claude ne rend pas cette approche obsolète. Elle la rend au contraire plus nécessaire, parce qu’elle rappelle que les traces laissées dans un contenu vont devenir plus nombreuses, plus sophistiquées et parfois impossibles à observer sans les outils du fournisseur qui les a créées.

Jusqu’où voulons-nous être traçables ?

Nous entrons peut-être dans une nouvelle période de l’histoire du numérique. Pendant longtemps, nous avons appris à supprimer nos cookies, désactiver certaines télémétries, effacer les métadonnées d’une photographie ou choisir un pseudonyme. Demain, nous devrons probablement comprendre des mécanismes de provenance intégrés au texte, des signatures attachées aux fichiers, des watermarks statistiques et des systèmes capables d’analyser notre manière d’écrire.

Il serait caricatural d’y voir uniquement une volonté de contrôle. Ces technologies peuvent aussi protéger, authentifier, attribuer correctement une création et limiter certaines formes de manipulation. Mais leur légitimité dépendra de la place laissée à l’utilisateur. Une technologie nous libère lorsqu’elle nous aide à comprendre, choisir et vérifier. Elle commence à nous enfermer lorsqu’elle ajoute des signaux invisibles que nous ne pouvons ni inspecter ni contester, puis utilise ces mêmes signaux pour décider à notre place de l’origine, de la valeur ou de la crédibilité de ce que nous publions.

La vraie ligne de fracture ne sera donc peut-être pas entre contenus marqués et contenus non marqués. Elle se situera entre les systèmes où la provenance reste au service de l’utilisateur et ceux où l’utilisateur devient lui-même un objet de provenance.

C’est précisément pour cette raison que je continuerai à défendre des outils capables de regarder sous le capot. Non pour organiser une course permanente entre ceux qui ajoutent des marqueurs et ceux qui les retirent, mais pour conserver une chose qui devient étonnamment précieuse : la possibilité de savoir ce que contient réellement un fichier ou un texte avant de le publier.

La question paraît technique. Elle ne l’est déjà plus.

À mesure que l’intelligence artificielle s’installe dans notre manière d’écrire, de créer et de travailler, il faudra décider si ces technologies sont là pour documenter l’origine de nos contenus ou, progressivement, pour documenter chacun de nos gestes numériques. Entre transparence, sécurité, authenticité et surveillance, la frontière restera probablement mouvante.

Et c’est peut-être justement pour cela qu’il faut continuer à pouvoir l’inspecter.

Lectures complémentaires

• The Verge, "Anthropic explains how Claude's invisible text watermarks will work", août 2026
• Wired, "Coders Say They Already Found Workarounds to Claude's Invisible Watermarks", août 2026