Capire se un testo è scritto dall'AI non si fa guardando il file

Un rilevatore AI che cerca i segni nascosti dentro il file è un controllo che non regge, e adesso c'è un progetto pubblico che lo mostra nero su bianco. I marchi di provenienza AI sono i segni che gli strumenti di intelligenza artificiale lasciano dentro un testo o dentro un file per dichiarare che l'hanno prodotto loro, e capire se un testo è scritto dall'AI oggi vuol dire quasi sempre andarli a cercare. Si chiama watermarks-remover, sta su GitHub a nome di guillaumemeyer, è scritto in Python, è gratuito e riutilizzabile con licenza MIT e ha superato le diecimila stelle, il segnalibro con cui gli sviluppatori marcano i progetti che ritengono interessanti. La descrizione che il progetto dà di sé è esplicita: rimuove i marchi di provenienza AI di più fornitori, dall'igiene del testo Unicode ai metadati C2PA di PNG, JPEG, SVG, PDF, DOCX, HTML e Markdown.

Non è una notizia da informatici. È una notizia per chiunque, in azienda, riceva documenti dall'esterno e in questi mesi si sia fatto la domanda se dietro ci fosse una persona.

Cosa si toglie davvero, e cosa invece resta

Il progetto watermarks-remover distingue tre livelli, e la distinzione è la parte utile perché dice esattamente quanto vale ciascun controllo. Il primo livello, che il progetto chiama Layer A, riguarda i caratteri invisibili dentro il testo: spazi a larghezza zero, spazi esotici, caratteri bidirezionali, tag Unicode. Qui il progetto dichiara di lavorare con script Python deterministici, cioè con una procedura che dà sempre lo stesso risultato e non dipende da un modello. Il secondo livello sono i metadati dei file, cioè le informazioni che un documento si porta dietro senza mostrarle nel contenuto: C2PA, EXIF, XMP e proprietà del documento, tolti da PNG, JPEG, WebP, SVG, PDF, DOCX, ODT, HTML e Markdown.

Il terzo livello è quello che il progetto ammette di non risolvere in modo pulito, ed è la parte onesta della documentazione. I marchi statistici, quelli infilati nella scelta stessa delle parole, vengono indicati come best-effort per Claude, per Gemini e il suo SynthID e per i modelli open source, cioè con un risultato tentato e non garantito. La documentazione del progetto spiega perché, e vale la pena leggerla per intero: "Stripping a statistical mark requires rewriting a substantial fraction of the text, sentence by sentence, not section by section", e più avanti "Rewording degrades the copy". Tradotto, per togliere un marchio statistico bisogna riscrivere una parte consistente del testo frase per frase, e la riscrittura peggiora quello che avete scritto.

Il progetto elenca anche cosa resta fuori dalla sua portata: le marcature dentro i file audio e video, quelle che dopo la rimozione dei metadati vanno a ripescare le informazioni di provenienza su un server esterno, e i marchi statistici forti quando il testo è stato ritoccato solo in superficie. E aggiunge una riga che nessuno dei due schieramenti citerà volentieri: non garantisce che i rilevatori dei fornitori falliranno. Sul piano dell'uso, il disclaimer dice che il progetto è pensato per contenuti di cui si è proprietari o autorizzati a trattare, e non per frodi accademiche o false dichiarazioni di paternità umana.

I rilevatori AI funzionano davvero?

Un rilevatore AI vale quanto vale il segnale che va a cercare, e i tre livelli descritti dal progetto watermarks-remover hanno resistenze molto diverse fra loro. È la ragione per cui la domanda "funzionano" non ha una risposta sola.

La riga che conta è l'ultima, ed è anche quella che il progetto tratta con più onestà: togliere un marchio statistico obbliga a riscrivere una parte consistente del testo, e la riscrittura peggiora il risultato. Chi lo fa paga un prezzo sulla qualità di quello che consegna.

Resta il punto che vale per tutti e tre i livelli. Un rilevatore AI che non trova niente non ha dimostrato che dietro c'è una persona: ha dimostrato che non ha trovato niente. Sono due frasi diverse, e in azienda vengono confuse tutti i giorni.

Perché per un'azienda cambia il modo di controllare i documenti

La conseguenza pratica è una sola e conviene dirla senza ammorbidirla: l'assenza di un marchio non prova niente. Se in azienda qualcuno oggi apre un file, non trova segni di intelligenza artificiale e ne conclude che l'ha scritto una persona, sta facendo un controllo che dà un risultato rassicurante indipendentemente dalla realtà. È il tipo di verifica peggiore che esista, perché produce un timbro senza produrre informazione.

C'è un secondo motivo, più banale e più diffuso del primo, per cui quel controllo non funziona. I metadati di un file spariscono da soli, tutti i giorni, senza che nessuno voglia nascondere niente. Un documento riesportato in PDF, un'immagine passata da una chat, una schermata catturata al volo: in tutti questi casi le informazioni di provenienza non arrivano dall'altra parte. Quindi un file senza metadati C2PA o EXIF è la condizione normale della maggior parte dei documenti che ricevete, e trattarla come un indizio significa sospettare di tutti e non accorgersi di nessuno.

Su questo blog ho già preso posizione una volta, scrivendo degli obblighi di trasparenza dell'AI Act per i contenuti pubblicati: la strada più economica per un'azienda non è appiccicare etichette, è assegnare a ogni contenuto una persona che se ne assume la responsabilità prima che esca. Quello che il progetto watermarks-remover aggiunge è che quella non era solo la strada più economica. Era anche l'unica che regge, perché è l'unica che non dipende da un segno dentro un file.

E vale la pena essere precisi su una cosa, perché il tema si presta all'allarme facile. La marcatura automatica dei contenuti non diventa inutile: continua a servire ai fornitori di modelli, alle piattaforme e a chi deve tracciare i propri contenuti a valle. Diventa inutile come prova in mano a chi riceve un documento e non sa chi glielo ha mandato. Sono due usi diversi, e il secondo non ha mai avuto le gambe per stare in piedi.

Cosa controllare al posto del file

La sostituzione da fare è netta: si smette di controllare l'oggetto e si comincia a controllare il processo che lo ha prodotto. Tre cose concrete, nessuna delle quali richiede competenze informatiche interne.

1. Chiedete il file nel formato originale, non il PDF. Un documento Word con le revisioni attive o un Google Docs con la cronologia delle versioni raccontano come è nato quel testo, e sono informazioni che vivono fuori dal file finale. Chi consegna una prova scritta, un capitolato o una relazione può mandarvi il documento vivo invece dell'esportazione: se non vuole, quella è già una risposta.
2. Mettete quindici minuti di conversazione dove oggi c'è un controllo automatico. Vale per un candidato, per un consulente e per un fornitore. La domanda non è "l'hai scritto tu", che è inutile perché la risposta è sempre sì. La domanda è perché ha scelto una strada e non un'altra, e cosa succederebbe cambiando un vincolo. Chi ha lavorato davvero su un documento risponde in trenta secondi.
3. Nel contratto scrivete chi risponde, non cosa è vietato. Una clausola che vieta l'uso dell'AI non è verificabile e quindi non protegge nessuno. Una riga che indica il nome e cognome della persona che si assume la responsabilità del contenuto consegnato, quali che siano gli strumenti usati per produrlo, è invece accertabile e sposta il rischio dove deve stare. È la stessa logica delle domande da mettere per iscritto ai fornitori di software: non si controlla il prodotto, si controlla chi lo consegna.

Un caso a parte sono le fotografie usate come prova, dalle perizie ai sinistri agli stati di avanzamento dei lavori. Lì il file da solo non basta più, perché EXIF e C2PA si tolgono con un comando e spesso spariscono anche da soli. Serve un riscontro che non stia dentro l'immagine: una data e un luogo dichiarati da chi la manda, un secondo scatto, la corrispondenza con un documento indipendente. Se state costruendo procedure interne su questo tipo di verifiche, è esattamente il genere di cosa che guardo quando faccio consulenza sull'AI dentro i processi aziendali, perché è una regola organizzativa e non un acquisto di software.

Chi vende oggi la certezza di riconoscere un contenuto generato dall'AI sta vendendo qualcosa che un progetto con licenza MIT e diecimila stelle smonta in un pomeriggio. La fiducia in un documento non è mai stata dentro il documento, e adesso abbiamo la prova pubblica che non ci tornerà.