↓ Version .md brute (pour NotebookLM)

Qui a imposé le filigrane ? La science, le règlement, et ceux qui n'ont rien signé

Le point de départ : un article dans Nature

Le 23 octobre 2024, la revue *Nature* publie un article intitulé « Scalable watermarking for identifying large language model outputs », au volume 634, pages 818 à 823. Vingt-trois auteurs, tous rattachés à Google DeepMind : Sumanth Dathathri et Abigail See en tête de signature, Demis Hassabis et Pushmeet Kohli en dernière position — la place traditionnellement occupée par les responsables scientifiques d'une équipe. L'objet du papier s'appelle SynthID-Text, et sa particularité n'est pas d'inventer le filigrane de texte, qui existait déjà dans la littérature, mais de démontrer qu'on peut le faire tourner en production, à l'échelle d'un service grand public, sans dégrader l'expérience.

Le problème résolu est le suivant. Un modèle de langage produit du texte en choisissant, à chaque étape, le jeton suivant parmi une distribution de probabilités ; rien, dans le résultat, ne trahit son origine machine — c'est l'objectif même du modèle. Le filigrane consiste à introduire dans ce choix un biais statistique imperceptible à la lecture mais reconnaissable par qui sait quoi chercher : le texte reste fluide, sa signature statistique s'écarte discrètement de ce qu'un texte humain produirait.

Comment SynthID-Text fonctionne

Trois décisions techniques structurent le système et méritent d'être comprises, parce que chacune conditionne ce que le droit pourra ensuite exiger.

Premièrement, le filigrane n'affecte pas l'entraînement. Il n'y a pas de modèle spécial à réentraîner, pas de coût de calcul supplémentaire côté apprentissage : le mécanisme ne modifie que la procédure d'échantillonnage au moment de la génération. Concrètement, plusieurs fonctions pseudo-aléatoires attribuent des valeurs aux jetons candidats, à partir d'une graine dérivée du contexte récent et d'une clé de filigrane. Un tournoi entre candidats sélectionne alors le jeton gagnant. Sur un texte long, l'accumulation de ces micro-décisions produit une empreinte détectable.

Deuxièmement, la détection ne nécessite pas le modèle. C'est le point qui rend l'ensemble industrialisable : vérifier qu'un texte est filigrané ne suppose pas de faire tourner un grand modèle de langage, opération coûteuse et lente, mais seulement de recalculer les fonctions à partir de la clé. Un service de détection peut donc traiter de gros volumes à faible coût.

Troisièmement, le schéma est compatible avec le sampling spéculatif, une technique d'accélération où un petit modèle propose plusieurs jetons d'avance qu'un grand modèle valide en bloc. Sans cette compatibilité, filigraner reviendrait à renoncer aux optimisations de latence qui rendent un assistant utilisable. Les auteurs décrivent deux variantes : l'une non distordante, qui laisse la distribution de sortie inchangée en moyenne et préserve donc la qualité du texte, l'autre distordante, qui détecte mieux mais altère légèrement les sorties.

La démonstration empirique est ce qui distingue ce papier. Le filigrane a été activé dans Gemini, et la neutralité de la variante non distordante sur la qualité perçue a été mesurée sur près de vingt millions de réponses issues d'interactions réelles avec des utilisateurs — une échelle que les travaux académiques atteignent rarement.

Ce que Nature a immédiatement ajouté

Dans le même moment, *Nature* publiait un éditorial dont le titre disait l'essentiel : un filigrane doit être étanche pour être efficace. L'avertissement porte. Un filigrane par échantillonnage est un signal statistique, donc fragile aux transformations qui redistribuent les jetons : la paraphrase dilue le signal, la traduction le détruit presque entièrement, et un texte court n'en contient pas assez pour dépasser le seuil de détection. Il suppose aussi une gestion de clé : qui la détient, qui peut donc détecter, et que se passe-t-il si elle fuit. Enfin, une asymétrie fondamentale demeure : l'absence de filigrane ne prouve rien. Un texte non marqué peut provenir d'un modèle en poids ouverts exécuté localement, sans aucun filigrane — ce qui interdit d'utiliser la détection comme preuve d'origine humaine.

Le droit arrive ensuite — et c'est tout l'enjeu

On raconte volontiers que Bruxelles aurait arraché le filigrane à une industrie réticente. La chronologie contredit ce récit. SynthID tournait en production et l'article était publié dans *Nature* en octobre 2024, avant que le code de bonnes pratiques européen n'existe et près de deux ans avant que l'obligation ne devienne exigible.

Ce que le droit européen a fait est autre chose, et sans doute plus intéressant : il a changé le statut de la technique. L'article 50, paragraphe 2, du règlement (UE) 2024/1689 — l'AI Act — impose aux fournisseurs de systèmes générant des contenus de synthèse, qu'il s'agisse d'audio, d'image, de vidéo ou de texte, de marquer les sorties dans un format lisible par machine et de les rendre détectables comme artificielles. Le texte ne prescrit aucune technologie : il exige des solutions « efficaces, interopérables, robustes et fiables », dans la mesure où c'est « techniquement réalisable » au regard de l'état de l'art. Le paragraphe 4 ajoute une obligation distincte, pesant cette fois sur le déployeur : révéler qu'un contenu est un hypertrucage, et signaler les textes publiés pour informer le public sur des questions d'intérêt général.

La conséquence est singulière. Le règlement renvoie à l'état de l'art, et l'état de l'art est fixé par les publications des laboratoires que le règlement encadre. Un fournisseur qui publie dans *Nature* une méthode déployée à l'échelle de millions d'utilisateurs relève lui-même le niveau que le droit pourra ensuite réclamer à tous. Ce n'est pas le régulateur contre l'ingénieur : c'est une norme juridique qui délègue son contenu technique à la littérature scientifique.

Le calendrier est le suivant : l'article 50 est applicable depuis le 2 août 2026. Pour la seule obligation de marquage du paragraphe 2, les systèmes mis sur le marché avant cette date disposent d'un délai de grâce jusqu'au 2 décembre 2026, tandis que les systèmes nouveaux doivent s'y conformer dès leur mise sur le marché. La Commission a publié des lignes directrices en projet le 8 mai 2026 et prépare un code de bonnes pratiques spécifiquement consacré à la transparence des contenus générés par IA. Le manquement relève de l'article 99 et peut coûter jusqu'à quinze millions d'euros ou 3 % du chiffre d'affaires annuel mondial.

Qui a signé quoi, exactement

Le code de bonnes pratiques pour l'IA à usage général a été publié le 10 juillet 2025, et la liste de ses signataires rendue publique le 1er août 2025, la veille de l'entrée en application des obligations relatives aux modèles à usage général. Il comporte trois chapitres : transparence, droit d'auteur, sûreté et sécurité — les deux premiers s'appliquant à tous les fournisseurs de modèles à usage général, le troisième aux seuls modèles présentant un risque systémique.

Google a signé. OpenAI, Anthropic, Microsoft, Amazon, IBM, Mistral AI, Aleph Alpha, Cohere, Black Forest Labs et ServiceNow également. Meta a refusé, estimant que le code introduisait des incertitudes juridiques et allait au-delà du champ du règlement. xAI a signé le seul chapitre « sûreté et sécurité » : ni le chapitre transparence — celui qui porte précisément sur la documentation et l'information —, ni le chapitre droit d'auteur, qu'elle juge profondément préjudiciables à l'innovation. Aucun laboratoire chinois ne figure parmi les signataires.

Deux précisions évitent le contresens. D'abord, un code de bonnes pratiques est un instrument volontaire : le signer procure une présomption de conformité et allège la charge de la preuve, mais ne pas le signer n'exonère de rien. Un fournisseur non signataire qui place un modèle sur le marché de l'Union reste soumis au règlement ; il doit simplement démontrer sa conformité par d'autres moyens, et s'expose au même régime de sanction.

Ensuite, l'absence chinoise ne signifie pas absence de règle. Le 14 mars 2025, l'administration du cyberespace de Chine publiait les *Mesures d'étiquetage des contenus générés ou synthétisés par intelligence artificielle*, accompagnées d'une norme nationale obligatoire, GB 45438-2025, toutes deux entrées en vigueur le 1er septembre 2025. Elles imposent un double dispositif : un étiquetage explicite, visible ou audible pour l'utilisateur, et un étiquetage implicite, inscrit dans les métadonnées ou sous forme de filigrane numérique dans le fichier. Les obligations pèsent sur les fournisseurs de service, sur les utilisateurs qui publient des contenus générés, et jusque sur les magasins d'applications, tenus de vérifier au moment de la mise en ligne. Autrement dit, sur le marquage lisible par machine, la Chine imposait déjà, un an avant l'Union, ce que l'Europe rend exigible aujourd'hui.

Ce que cela veut dire pour un praticien

Trois conséquences pratiques. D'abord, l'obligation porte sur un résultat vérifiable : un contenu doit être détectable comme artificiel. Cela crée une classe d'artefacts auditables — marquage effectivement présent sur les sorties, robustesse annoncée, procédure de détection accessible, gestion et rotation des clés.

Ensuite, les limites du procédé deviennent des limites juridiques. Si la paraphrase efface le filigrane, l'exigence de « robustesse » de l'article 50, paragraphe 2, devient un point de litige technique et non un principe abstrait : les publications documentant le retrait des filigranes alimentent désormais l'appréciation de ce qui est « techniquement réalisable ».

Enfin, l'asymétrie de preuve mérite d'être répétée : un filigrane détecté indique fortement une origine machine ; un filigrane absent n'indique rien. Toute politique de modération ou procédure probatoire qui inverserait ce raisonnement produirait des faux positifs sur des textes humains — et ne détecterait aucun modèle ouvert exécuté hors d'une chaîne filigranée.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Voici cinq angles de traitement possibles de ce dossier. Choisissez celui qui correspond à ce que vous voulez entendre et collez-le tel quel dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Le filigrane vu comme une surface d'attaque. Traite le sujet en chercheur offensif. Détaille les vecteurs qui dégradent ou effacent un filigrane par échantillonnage : paraphrase automatique, traduction aller-retour, troncature en fragments courts, substitutions lexicales ciblées, mélange de sources filigranées et non filigranées. Discute aussi les attaques sur la clé et sur le service de détection lui-même — oracle de détection interrogeable, inférence de la clé par requêtes répétées, empoisonnement des seuils — et conclus sur ce qu'un attaquant réaliste peut obtenir aujourd'hui.

Angle 2 — Architecture et intégration en production. Concentre-toi sur la mécanique d'ingénierie : où s'insère le filigrane dans une chaîne d'inférence, comment il coexiste avec le sampling spéculatif, quel surcoût de latence, comment concevoir un service de détection à grande échelle sans exposer la clé, comment gérer la rotation et la révocation, et comment tracer les sorties d'un modèle à travers une architecture d'agents où plusieurs modèles se relaient. Explique ce que « interopérable » de l'article 50 implique concrètement entre fournisseurs concurrents.

Angle 3 — Comparaison des régimes de transparence déjà traités dans le dépôt. Mets en regard l'obligation de marquage de l'article 50 de l'AI Act avec les autres régimes couverts par Droit Vivant : l'information des personnes des articles 12 à 14 du RGPD dans les fiches CNIL sur les outils scolaires, l'obligation de signalement à 24 heures du Cyber Resilience Act, l'intervention humaine significative de l'article 22 sanctionnée chez Uber. Montre que chacun impose une forme différente de « rendre visible » — visible à la personne, visible à l'autorité, visible à la machine — et compare les plafonds de sanction correspondants.

Angle 4 — Veille réglementaire automatisée sur la transparence des contenus générés. Propose une méthode pour suivre ce dossier en continu : sources à surveiller (lignes directrices et FAQ de la Commission sur l'article 50, travaux du code de bonnes pratiques sur la transparence des contenus générés, liste des signataires du code GPAI et ses mises à jour, normes du CEN-CENELEC, publications de la CAC chinoise et normes GB, littérature arXiv sur le retrait de filigranes). Précise les déclencheurs d'alerte utiles : adoption définitive des lignes directrices, première mise en demeure fondée sur l'article 50, publication d'une attaque générique contre SynthID.

Angle 5 — Prospective : quand la norme technique devient la norme juridique. Prends de la hauteur sur le mécanisme mis au jour par ce dossier — un règlement qui renvoie à l'« état de l'art » fixé par les publications des acteurs régulés. Discute les effets pervers possibles : capture normative par le premier qui publie, incitation à ne pas publier ses limites, avantage aux modèles fermés sur les modèles ouverts qui ne peuvent pas garantir un filigrane côté serveur. Et interroge la suite : que devient l'obligation de marquage face aux modèles en poids ouverts exécutés localement, que ni l'Union ni la Chine ne peuvent atteindre par le fournisseur ?