Les watermarks de texte IA s'effacent au paraphrasage — et ne tiennent pas devant un tribunal

De quoi s’agit-il ?

Le 20 juillet 2026, un article intitulé AI Watermark Evidence Fails Forensic Readiness: An Empirical Evaluation (arXiv:2607.16010) met à l’épreuve une hypothèse réglementaire souvent répétée. Les États exigent de plus en plus que les textes générés par IA portent un watermark : l’AI Act européen réclame des marquages « suffisamment fiables et robustes », et la loi californienne SB 942 impose une divulgation « permanente ou extrêmement difficile à retirer ». Les deux textes reposent sur le même postulat, jamais vérifié : que la détection d’un watermark produit une preuve assez fiable pour un tribunal ou pour un audit de conformité.

L’étude confronte directement ce postulat à trois schémas de watermarking de texte bien connus — KGW, Unigram et SynthID de Google DeepMind — et montre qu’il ne tient pas. Un watermark qu’une personne motivée peut retirer en reformulant un paragraphe n’est pas un indicateur fiable de provenance, et un détecteur qui se déclenche sur un texte humain n’est pas apte à servir de preuve.

Comment ça marche

Un watermark de texte biaise le choix des tokens du modèle selon un motif statistiquement détectable : un détecteur peut ensuite estimer si un passage provient d’un modèle marqué. Le procédé ne fonctionne que si ce motif survit à une manipulation ordinaire du texte et si le détecteur ne se déclenche presque jamais sur du contenu réellement rédigé par un humain.

L’article insiste sur ces deux exigences. Côté robustesse, les auteurs ont mené 846 essais de paraphrase valides sur 15 prompts variés par méthode. Tous les passages KGW et Unigram initialement détectés ont perdu leur watermark après un seul tour de paraphrase — soit un taux de retrait conditionnel de 100 % — et SynthID fait à peine mieux, à 98,3 %. Aucun code d’attaque n’est nécessaire : reformuler est une opération d’édition banale, à la portée de tous. Côté fiabilité, les taux de faux négatifs étaient déjà élevés avant toute manipulation : environ 70 % pour KGW, 83 % pour Unigram et 80 % pour SynthID. La configuration SynthID a par ailleurs signalé comme « générés par IA » 5,4 % de textes témoins humains paraphrasés, et présente un taux de « paradoxe » de 18,6 % où même 80 % de ses propres sorties marquées intactes tombent dans une zone d’incertitude plutôt que dans un verdict clair.

Pour traduire cela en termes juridiques, les auteurs évaluent chaque méthode au regard des cinq facteurs Daubert que les tribunaux américains utilisent pour apprécier une preuve scientifique. Aucun des trois schémas n’en satisfait plus de deux sur cinq. Une analyse information-théorique connexe, Watermark Forensics for Generative Models (arXiv:2607.13003, 14 juillet 2026), aboutit à la même conclusion par la théorie : les bornes de détection ne sont tout simplement pas assez serrées pour la certitude qu’attend un prétoire.

Pourquoi c’est important

Le watermarking est inscrit dans la loi comme s’il s’agissait d’un mécanisme de provenance établi, ce qu’il n’est pas. Si un détecteur renvoie un faux négatif la plupart du temps, l’absence de watermark n’apprend presque rien : un vrai document généré par IA peut être présenté comme humain moyennant une simple paraphrase. Si un détecteur se déclenche sur du texte réellement humain plusieurs pour cent du temps, la présence d’un « watermark » peut accuser à tort une personne qui a écrit elle-même son texte. Chacun de ces modes de défaillance devient grave lorsque la sortie sert à trancher une plainte pour contrefaçon, un dossier d’intégrité académique, une enquête sur la désinformation électorale ou un audit de persistance au titre de l’AI Act.

Cela a des conséquences pour quiconque conçoit ou achète un outillage de provenance. Un fournisseur qui affirme « les contenus générés par IA sont marqués et détectables » fait une promesse bien plus faible qu’il n’y paraît, et une organisation qui traite la vérification d’un watermark comme un contrôle de conformité peut s’appuyer sur un signal qu’une attaque de retrait élémentaire fait tomber. Le sujet rejoint des travaux réglementaires plus larges comme la classification des systèmes agentiques à haut risque dans l’AI Act européen : une règle ne vaut que ce que vaut le mécanisme technique censé l’appliquer.

Défenses

Ne considérez jamais un watermark de texte isolé comme une preuve d’origine, dans un sens comme dans l’autre. Un résultat négatif ne doit pas disculper un document, et un résultat positif ne doit pas condamner une personne ; les deux sont probabilistes et se dégradent au fil d’une édition normale. Là où la provenance compte vraiment, préférez une provenance signée et liée cryptographiquement, capturée au moment de la génération (content credentials et manifestes), plutôt qu’une détection statistique a posteriori, et combinez plusieurs signaux indépendants au lieu de vous fier à un seul détecteur — le cadre probatoire Verifiable Provenance and Watermarking (arXiv:2605.21002, mai 2026) montre que seule une combinaison calibrée de méthodes approche le seuil de suffisance, et uniquement face à des adversaires plus faibles. Communiquez les sorties du détecteur avec leurs taux de faux positifs et de faux négatifs mesurés et une bande d’incertitude explicite, afin que le décideur voie le taux d’erreur plutôt qu’une étiquette brute « IA / non-IA ». Partez du principe qu’un adversaire motivé paraphrasera, traduira ou fera transiter le texte par un autre modèle, et testez votre propre chaîne contre exactement ces transformations avant d’en dépendre. Pour les équipes conformité, exigez que toute obligation de watermarking soit assortie d’un seuil de robustesse et de taux d’erreur documenté et mesuré de façon indépendante, et lisez l’état réel du domaine — le Survey on LLM Watermarking de juillet 2026 (arXiv:2607.10103) en offre une bonne cartographie — plutôt que de supposer que la technologie répond déjà au texte juridique écrit autour d’elle.

Statut

Élément	Détail
Divulgation	AI Watermark Evidence Fails Forensic Readiness, préprint arXiv annoncé le 20 juillet 2026
Nature	Évaluation empirique de la robustesse et de la fiabilité des watermarks de texte, rapportée à l’admissibilité juridique
Schémas testés	KGW, Unigram, SynthID
Robustesse	Retrait conditionnel après une paraphrase : KGW et Unigram 100 %, SynthID 98,3 % (846 essais valides)
Fiabilité	Faux négatifs de base ~70 % (KGW), ~83 % (Unigram), ~80 % (SynthID) ; SynthID signale 5,4 % des témoins humains, taux de paradoxe 18,6 %
Test juridique	Aucune des trois méthodes ne satisfait plus de deux des cinq facteurs Daubert
Contexte réglementaire	Éprouve les exigences « fiable et robuste » (AI Act) et « permanent ou extrêmement difficile à retirer » (SB 942 de Californie)

Les chiffres proviennent d’un seul préprint mesurant des configurations précises de trois schémas et ne se généralisent pas à tout déploiement de watermarking. À lire comme un signal fort que les watermarks de texte ne sont pas encore de qualité judiciaire, non comme un verdict définitif sur un produit donné.