Marca d'água invisível do Claude: o que muda na API e no Claude Code

Você pede um texto pro Claude, copia, cola no PR, no e-mail do cliente, no artigo do blog. Até semana passada aquilo era texto anônimo. Não é mais.

Desde 2 de agosto de 2026, todo modelo Claude novo sai de fábrica com uma marca d'água invisível embutida no próprio texto. Não é metadado, não é header, não é caractere estranho: é um sinal estatístico costurado na sequência de tokens, que viaja junto no copia-e-cola e, segundo a própria Anthropic, "pode persistir através de alguma edição".

O detalhe que quase ninguém comentou: isso não foi anunciado em post de blog. Saiu num artigo de central de ajuda, o How Claude marks AI-generated content. Neste post eu explico o que é de verdade, onde pega (spoiler: API e Claude Code também), o que a detecção prova e o que ela não prova, e o que realmente remove a marca.

TL;DR

O que é: marca d'água imperceptível embutida no texto gerado pelos modelos Claude, mais metadados de proveniência assinados (padrão C2PA) em arquivos suportados.
Desde quando: modelos lançados a partir de 02/08/2026 já saem marcados; modelos anteriores estão recebendo suporte num período de transição.
Onde pega: nível do modelo. Ou seja: Claude Platform (API), Claude, Claude Code, Claude Cowork e Claude Tag, além das nuvens parceiras (AWS, Google Cloud, Microsoft Foundry).
Só na UE? Não. A exigência é europeia, a aplicação é global.
Dá pra desligar? Não existe parâmetro de API, flag de enterprise ou config do Claude Code documentado pra isso.
Fonte oficial: support.claude.com.
Post vivo: atualizo aqui conforme a Anthropic publicar o detector e expandir a cobertura.

O contexto: por que agora, e por que num artigo de suporte

O gatilho tem nome e data. O Artigo 50(2) do EU AI Act obriga provedores de IA generativa a marcar conteúdo sintético em formato legível por máquina, e as regras de transparência do Artigo 50 passaram a valer em 2 de agosto de 2026. Em junho a Comissão Europeia fechou o Código de Conduta sobre Transparência de Conteúdo Gerado por IA, que traduz o artigo em prática: marca d'água, metadados, ícone padronizado e ferramenta de detecção gratuita. A Anthropic assinou.

Podia ter feito o mínimo: marcar só o que sai pra Europa, geolocalizar, criar um flag de região. Não fez. Aplicou no modelo, pra todo mundo, no mundo inteiro. Do ponto de vista de engenharia faz total sentido — segregar comportamento de sampling por jurisdição é um pesadelo de cache, de reprodutibilidade e de auditoria. Do ponto de vista de quem usa a API no Brasil, significa que uma regra europeia acabou de virar comportamento default do seu stack.

E o anúncio? Um artigo de central de ajuda. Sem post no blog, sem thread, sem keynote. Isso não é conspiração, é uma lição operacional: mudança que altera o output dos modelos que você tem em produção nem sempre chega no canal que você acompanha. Se o seu radar de fornecedor é só o blog oficial, seu radar tem buraco. Esse tipo de leitura de changelog e de mudança de contrato de plataforma é conversa de toda semana lá na Beer And Code, onde a galera que roda IA em produção divide o que quebrou antes de virar incidente.

Não é caractere invisível de largura zero

Primeiro, mata o mito. A reação inicial de metade da timeline foi "ah, é aquele espaço de largura zero, dá pra tirar com um regex". Não é.

Caractere invisível (U+200B, homoglifos cirílicos, non-breaking space criativo) morre em qualquer normalização Unicode. Seria uma marca d'água que não sobrevive a um .strip(). A Anthropic não diz publicamente qual esquema usa, mas a descrição bate com a linha de pesquisa consolidada dos últimos três anos: viés na amostragem de tokens.

Funciona assim. Em cada passo de geração o modelo tem dezenas de continuações plausíveis com probabilidades parecidas. "O sistema falhou", "o sistema quebrou", "o sistema caiu" — todas boas. O watermark usa uma chave secreta pra decidir, de forma pseudoaleatória, qual subconjunto do vocabulário é favorecido naquele passo. Você não percebe diferença de qualidade. Mas a sequência inteira passa a carregar um desvio estatístico que só quem tem a chave consegue medir.

É a ideia do A Watermark for Large Language Models (Kirchenbauer et al.), levada a escala pelo SynthID-Text do Google, que virou paper na Nature com o esquema de tournament sampling rodando no Gemini pra milhões de usuários.

Três consequências práticas que caem direto disso, e que explicam todo o resto do post:

Detecção é teste estatístico, não checagem de flag. O detector devolve confiança, não um booleano honesto.
Precisa de comprimento. Poucos tokens, pouco sinal. Frase curta é indetectável por construção.
Sobrevive a ruído pequeno, não a reescrita. Trocar duas palavras mexe pouco no acumulado. Parafrasear tudo joga o acumulado fora.

Onde pega: API, Claude Code e sem chave pra desligar

Esse é o ponto que interessa pra quem constrói produto. A marcação é no nível do modelo, não no produto. O artigo de suporte é explícito: cobre "output de modelos suportados em todo lugar onde você usa Claude", incluindo API, Claude, Claude Code, Claude Cowork e Claude Tag, e chega também via AWS, Google Cloud e Microsoft Foundry (com o suporte a metadados assinados variando por plataforma).

Traduzindo pra decisão de arquitetura:

Se você tem um SaaS que gera descrição de produto, resumo de ticket ou post de blog chamando a API da Anthropic, o texto que sai pro seu cliente sai marcado. Com a assinatura do seu fornecedor, não a sua.
Se você vende white label e o contrato promete "conteúdo original", vale reler o contrato antes que o jurídico do cliente releia por você.
Não há, até hoje, parâmetro de API, controle de enterprise ou config de Claude Code documentado pra desligar. Trate como comportamento fixo da plataforma.

E o código que o Claude Code escreve? A Anthropic não detalha. Mas a física do esquema dá a pista: watermark de amostragem depende de entropia. Um for loop, um getter, uma migration Laravel — são trechos com pouquíssimas continuações plausíveis. Onde o modelo quase não tem escolha, quase não dá pra esconder sinal. Até prova em contrário, não conte com marca d'água confiável em código curto ou muito idiomático. Prosa longa é o terreno onde isso funciona.

Arquivo é outra história: C2PA assinado

O segundo mecanismo é diferente e vale separar. Pra tipos de arquivo suportados (.png, .jpg, .svg), o Claude anexa metadados de proveniência assinados digitalmente, no padrão aberto C2PA. Assinatura permite detectar adulteração: se alguém mexeu na proveniência, dá pra saber.

A fragilidade também é diferente. Metadado não sobrevive a screenshot, conversão de formato, re-save em editor ou upload em rede social que limpa EXIF. Ou seja: o watermark de texto é frágil a reescrita e resistente a formato; o C2PA é resistente a reescrita e frágil a formato. São complementares de propósito.

Dá pra inspecionar hoje mesmo, com a ferramenta oficial da Content Authenticity Initiative:

c2patool imagem-gerada.png

▪ Clã Beer and Code

Não só acompanhe as novidades — domine. Engenharia de IA na prática, ao vivo, toda semana, na maior comunidade do Brasil.

Entrar no Clã

O que a detecção realmente prova (e o que não prova)

Aqui é onde eu quero que você preste atenção, porque é onde o discurso público já começou a errar.

A própria Anthropic estabelece o limite: a presença da marca indica que o conteúdo pode ter sido processado por Claude. Não confirma autoria — porque Claude frequentemente processa material humano. Você cola um texto que escreveu e pede "revise o tom": sai marcado. Traduz um documento de terceiros: sai marcado.

E a ausência da marca não prova nada também. O texto pode ter sido editado pesado, ser curto demais, ter passado por conversão de formato ou vir de um modelo anterior ao período de transição.

Junte as duas pontas e você chega na conclusão desconfortável: isso é um sinal de proveniência, não uma prova de autoria. Serve pra plataforma rotular conteúdo em escala, pra pipeline de dados evitar treinar em output sintético, pra time de compliance documentar origem. Não serve pra reprovar aluno, cortar freelancer ou eliminar candidato. Quem usar como prova vai errar, e vai errar contra pessoas que escreveram o texto à mão — o risco de falso positivo foi justamente o tema mais repetido na discussão no Hacker News.

O teste na prática: o que apaga a marca

Ainda não existe detector público da Anthropic — a empresa disse que vai publicar detalhes técnicos e ferramenta, sem prazo. Então nada aqui é medição minha com número; é o que a evidência pública sustenta hoje. Marquei a confiança de cada linha.

Ação	Efeito esperado na marca	Confiança
Copiar e colar	Mantém	Alta (afirmação oficial)
Salvar em `.txt` / `.md` / colar no Word	Mantém	Alta
Trocar 2 ou 3 palavras	Mantém	Média-alta
Reescrever alguns parágrafos à mão	Enfraquece	Média
Traduzir pt → en → pt	Degrada muito	Média-alta
Parafrasear tudo com outro LLM	Destrói na prática	Alta
Trecho curto (uma frase, um commit message)	Indetectável	Alta
Print / PDF rasterizado	Morre com o texto (OCR reconstrói aproximado)	Média
Arquivo: conversão, re-save, upload social	Metadado C2PA some	Alta

A base pra tradução e paráfrase não é chute: a documentação do SynthID do Google, que é o esquema comparável mais documentado, afirma que a confiança do detector cai muito quando o texto é reescrito a fundo ou traduzido para outro idioma. Faz sentido: tradutor reamostra o texto inteiro. Não sobra sequência original pra medir.

O resumo honesto é esse: a marca sobrevive à preguiça, não ao trabalho. Quem colar direto fica marcado. Quem reescrever de verdade, não. O que, pensando bem, é mais ou menos o incentivo certo.

Se você quiser se preparar pra medir isso direito quando o detector sair, comece guardando baseline agora — a resposta crua, antes de qualquer edição humana:

# baseline: salve o output original ANTES de qualquer edição
curl -s https://api.anthropic.com/v1/messages \
  -H "x-api-key: $ANTHROPIC_API_KEY" \
  -H "anthropic-version: 2023-06-01" \
  -H "content-type: application/json" \
  -d "{\"model\":\"$MODEL\",\"max_tokens\":2048,\"messages\":[{\"role\":\"user\",\"content\":\"$PROMPT\"}]}" \
  > "artifacts/$(date +%s)-raw.json"

Com o baseline salvo, o dia que o detector aparecer você testa variações contra o original em vez de tentar reconstruir o que aconteceu.

O que fazer se você põe output de LLM em produto

Checklist curto, na ordem que eu faria:

Mapeie onde output do Claude sai da sua fronteira e chega em cliente final, e-mail, documento ou API pública. É essa lista que importa.
Registre proveniência do seu lado. Não dependa do watermark do fornecedor pra saber o que a sua aplicação gerou.
Reveja contratos e termos que prometem conteúdo "original" ou "não gerado por IA".
Ajuste a política de disclosure do produto. O Artigo 50 também trata de rotulagem visível para o usuário final, não só de marcação por máquina.
Não construa punição em cima de detector de IA. Nem o de terceiros, nem o oficial quando sair.
Se você gera imagem ou SVG, decida conscientemente se preserva ou destrói o C2PA no seu pipeline de otimização. Hoje, provavelmente você destrói sem saber.

O item 2 é o mais barato e o mais ignorado. No Laravel dá pra resolver com uma tabela e três linhas no momento em que você persiste a geração:

AiOutput::create([
    'surface'     => 'produto.descricao',
    'model'       => $response->model,
    'response_id' => $response->id,
    'sha256'      => hash('sha256', $text),
    'chars'       => mb_strlen($text),
    'user_id'     => auth()->id(),
]);

Proveniência própria, versionada, auditável, sem depender de ninguém publicar detector nenhum. É conceito de compliance virando duas colunas no banco — que é como compliance deveria chegar pra dev. Se esse é o seu contexto, o checklist de 18 itens de EU AI Act + NIST RMF aprofunda o resto da conversa.

FAQ rápido

Se eu uso a API pelo Bedrock ou pelo Vertex, escapo? Não. A marcação é no modelo, e o artigo de suporte cita explicitamente AWS, Google Cloud e Microsoft Foundry. O que varia por plataforma é o suporte a metadados assinados em arquivos, não o watermark de texto.

Modelos antigos que já estão em produção estão marcados? Não necessariamente. A regra vale de cara para modelos lançados a partir de 02/08/2026; para os anteriores a Anthropic disse que está adicionando suporte durante um período de transição. Na dúvida, assuma que pode estar marcado.

Isso muda a qualidade da resposta? Segundo a Anthropic, não muda significado, qualidade nem legibilidade. Nos esquemas publicados desse tipo, o impacto em perplexidade é pequeno. Se você tem eval versionado, é uma boa hora pra rodar de novo e olhar com seus próprios olhos.

Existe algum jeito legítimo de sair? Nenhum documentado. Se a marca d'água é um bloqueio real pro seu caso de uso — e existem casos legítimos, como jornalismo com fonte protegida — o caminho é falar com a Anthropic ou avaliar modelo aberto self-hosted, não gambiarra de remoção.

Conclusão

Não é o fim da cola com IA. É o começo de uma infraestrutura de proveniência — imperfeita, assimétrica e cheia de arestas, mas rodando de verdade, no maior lab de IA focado em empresa.

O que muda pra você já mudou: se você chama Claude em produção, seu output carrega a assinatura do seu fornecedor, sem opção de desligar, por causa de uma lei que talvez não se aplique a você. E a Anthropic contou isso num artigo de central de ajuda.

A próxima etapa é o detector público. Quando sair, a pergunta deixa de ser "isso foi gerado por IA?" e passa a ser quem tem o direito de rodar essa checagem, sobre o texto de quem, com qual consequência. Essa conversa é bem mais difícil que a técnica. Enquanto isso, o trabalho de sempre: adotar IA com processo em vez de fé.

Atualizações

11/08/2026 — publicação inicial, com base no artigo de suporte da Anthropic (10/08/2026). Detector público ainda não anunciado. Atualizo esta seção conforme a Anthropic liberar a ferramenta de detecção e detalhar cobertura em código e em modelos anteriores.