Marca d'água do Claude: o que muda na peça do advogado

• A Anthropic passou a inserir uma marca d’água invisível em textos do Claude nos modelos lançados a partir de 2 de agosto de 2026.
• Não é caractere oculto nem metadado. A marca vive na escolha das palavras e viaja no copiar e colar.
• Um teste positivo não prova que a IA escreveu a peça. Prova que o Claude tocou no texto.
• Revisão de vírgula quase não deixa rastro. Tradução e reescrita pesada deixam a marca inteira, ou a apagam de vez.
• A União Europeia obrigou. A Anthropic aplicou no mundo todo, inclusive no seu escritório.

Semana passada um sócio me mandou uma petição de 18 páginas no WhatsApp com a pergunta clássica: “Vitor, posso só passar o Claude nisso para ficar mais limpo?”

Eu li o arquivo. A peça era dele. Fatos, teses, jurisprudência do STJ, tudo. Ele queria o que qualquer advogado cansado quer no fim do expediente: gramática, ritmo, corte de frase torta.

Respondi: pode. Mas agora essa revisão pode carregar um sinal de máquina.

Ele achou que eu estava exagerando.

Não estava.

Em 14 de agosto de 2026 a Anthropic publicou como a marca d’água do Claude funciona. Não é um selo no rodapé. Não é um espaço invisível escondido entre parágrafos. É um viés estatístico na hora de escolher a próxima palavra, e ele sobrevive quando você cola o texto no Word, no Projudi ou no e-mail do cliente.

Neste artigo eu explico o que essa marca faz de verdade, o que ela não prova, e o que muda na rotina de quem usa Claude para minuta, revisão e pesquisa. Sem pânico. Sem teatro de “IA detectada, carreira acabou”.

O que é a marca d’água do Claude (e o que ela não é)

A primeira coisa que precisa cair: marca d’água, aqui, não é a marca d’água que você conhece.

Não aparece no papel. Não aparece na tela. Não existe um caractere escondido que um “mostrar tudo” do Word vai denunciando. A Anthropic foi explícita: nada é acrescentado ao texto. A diferença entre um parágrafo com marca e um sem marca não é perceptível para quem lê.

O modelo gera uma palavra de cada vez. Em cada passo, monta uma lista de candidatas com probabilidade. “Nublado” e “encoberto” podem ser quase iguais. “Açucarado”, não. A marca d’água age nessas escolhas de baixo risco: troca a fonte do acaso. Em vez de um gerador aleatório qualquer, usa uma chave secreta misturada com as palavras anteriores.

O texto continua soando normal. O vocabulário não muda de jeito que o olho pegue. Mas, para quem tem a chave, a sequência de vitórias deixa um padrão acima do acaso.

A analogia que a própria Anthropic usa é um jogo de tabuleiro. Os dados continuam parecendo dados. Só que, se alguém souber que a sequência veio dos dígitos de pi, dá para testar se aquela partida provavelmente usou pi.

É isso. Um teste de probabilidade. Não um carimbo de autoria.

A técnica é uma versão do SynthID-Text, publicada pelo Google DeepMind na Nature em 2024. A família de ideias começa num trabalho de Scott Aaronson, de 2022. O Gemini já rodava uma variação disso. A Anthropic agora aplica a dela em todo produto Claude: claude.ai, API, Claude Code, Claude Cowork, Claude Tag, e o Claude que chega via AWS, Google Cloud e Microsoft Foundry.

Não tem botão de desligar. Não tem plano Pro isento. Não tem “só na Europa”. A empresa disse que ainda não tem um jeito durável de limitar por região, então lançou global.

💡 Leia também: Claude Code para advogados: IA que executa no escritório, se você usa o Claude além do chat, no computador.

Como a marca entra no texto: o torneio que você não vê

O melhor explicador visual que eu vi até agora está neste vídeo: Claude Now Watermarks Its Text. How Do You Even Do That?. Usei esse vídeo como referência para o artigo, e a capa acima segue a mesma linguagem visual da thumbnail.

A lógica, em português de escritório, é esta.

Imagine que o Claude está no meio de uma frase da sua preliminar e as próximas palavras plausíveis são quatro quase-sinônimos: grande, amplo, vasto, enorme. Sem marca d’água, ele sorteia pelas probabilidades. Com marca, o sistema promove um torneio relâmpago entre as candidatas. Quem vence cada confronto não é o sinônimo “melhor”. É o sinônimo que a chave secreta favorece naquele passo.

A chave muda a cada palavra, porque ela se mistura com o que acabou de ser escrito. Nenhuma palavra fica privilegiada para sempre. Ao longo de milhares de escolhas, “grande” aparece com a mesma frequência de sempre. O texto não fica esquisito. O que fica enviesado é a sequência das vitórias, e só a chave enxerga isso.

A detecção faz o caminho inverso. Você cola o texto suspeito. O verificador, com a chave, percorre palavra por palavra, refaz a conta do amostrador e pergunta: essa palavra que está aqui teria ganhado o torneio daquela etapa? Em prosa humana, o placar fica perto de cara ou coroa. Em texto que saiu do amostrador marcado, o placar sobe.

Não tem banco de dados. Não tem “consulta ao servidor da Anthropic com o seu CPF”. São as palavras mais a chave.

O DeepMind testou isso no Gemini com cerca de 20 milhões de respostas: metade com marca, metade sem. A taxa de joinha mudou 0,01 ponto percentual. O atraso ficou na casa de 0,5%. Quem lia não distinguia. A Anthropic afirma o mesmo nos testes internos: qualidade, criatividade e legibilidade iguais. Sem token extra. Sem custo extra.

Tem limite, e o limite importa para quem advoga.

A marca precisa de liberdade linguística. Se a próxima palavra só pode ser uma, não há torneio. “A capital da França é” só aceita Paris. “2 + 2 =” só aceita 4. Código quebra se o sinônimo for o errado, então software leva pouca marca. Comentários dentro do código, mais. A lógica em si, quase nenhuma.

Trecho curto também falha. Poucas escolhas, pouca estatística. Quanto mais longo o texto, mais confiança.

O que a marca prova. E o que ela não prova

Aqui está a frase que eu gostaria de tatuar no grupo do escritório.

Um positivo diz que o Claude provavelmente processou aquele trecho. Não diz quem escreveu.

A Anthropic é clara nisso. A marca não distingue “o Claude redigiu do zero” de “o Claude reescreveu pesado” de “o Claude traduziu”. Os três carregam o mesmo tipo de sinal, em graus diferentes. Também não identifica usuário, organização ou conversa. Não muda titularidade. Não altera os termos de uso sobre quem é dono do output.

Um negativo também não é inocência. Pode ser texto humano. Pode ser ChatGPT, Gemini, um modelo aberto. Pode ser Claude antigo, ainda no período de transição. Pode ser Claude com marca que alguém lavou na reescrita. A chave da Anthropic só responde a uma pergunta: quão provável é que este Claude, com esta chave, tenha participado.

Isso corta dois pânicos inúteis.

O primeiro: “o juiz vai saber que eu não escrevi”. Não. O juiz, se um dia tiver um detector da Anthropic, vai saber que o Claude passou por ali. A responsabilidade pela peça continua sendo sua. Sempre foi. O Código de Ética da OAB não criou uma exceção para “a IA que eu usei deixou um rastro”.

O segundo: “então posso negar que usei”. Também não. Se você usou, você usou. Mentir sobre a ferramenta não apaga o dever de conferir fato, citação e tese.

A Anthropic prometeu uma API de detecção. Ainda não está no ar no momento em que escrevo. Quando chegar, o público inicial deve ser restrito: o código de práticas da União Europeia permite, no começo, limitar o verificador de texto a especialistas autenticados, justamente porque marca em prosa é o tipo menos confiável.

Arquivos são outra história. PNG, JPG, SVG gerados ou processados pelo Claude podem ganhar uma credencial C2PA no metadado: uma nota criptografada dizendo que o Claude participou. Isso não é marca d’água. É rótulo no arquivo, do mesmo padrão que câmera e Photoshop já usam. Dá para tirar salvando de outro jeito. O texto, não.

📌 Relacionado: Ética e conformidade com a OAB no atendimento automatizado, o recorte de transparência e supervisão que vale também para peça.

O cenário que importa: você pediu para “só revisar”

Volto para as 18 páginas do sócio.

A Anthropic diz que, se você entrega um texto seu e pede para o Claude corrigir só gramática e pontuação, a marca quase não tem onde morar. As palavras continuam sendo as suas. As poucas correções podem ser insuficientes para o detector acender.

Tradução é o oposto. Cada palavra do texto final é escolha do modelo. A marca vai inteira.

Reescrita de verdade fica no meio, puxando para o lado pesado. “Deixa isso mais claro”, “corta 20%”, “reescreve o tópico 3 no meu tom”. Isso é o Claude escolhendo frase. A marca cresce com o volume de decisão.

Nos meus testes, a diferença prática é essa. Pedi para o Claude só pontuar um contrato de 8 páginas que eu mesmo tinha redigido. Voltou quase igual: duas vírgulas, um “a fim de” no lugar de um “para que”. Se existe marca ali, é residual.

Na sequência, pedi para “deixar a linguagem mais objetiva, sem perder o conteúdo”. Voltou outro texto. Mesma tese, outra pele. Aí, se a API de detecção um dia rodar, eu esperaria um positivo. Não porque eu tenha “colado uma peça de IA”. Porque eu pedi para a IA escrever de novo.

Essa distinção deveria acalmar quem usa o Claude como revisor de vírgula. E deveria preocupar quem manda “faz uma inicial com esses fatos” e protocola o que voltou.

O protocolo, no Brasil, ainda é o mesmo de sempre: você assina. O Código de Ética da OAB não pergunta se a frase nasceu num teclado ou num amostrador. Pergunta se a conduta é compatível com a advocacia. Fato inventado, jurisprudência alucinada, trecho copiado sem leitura, isso já era problema antes da marca. Continua sendo.

A novidade é outra. Pela primeira vez, uma das ferramentas que o mercado jurídico brasileiro mais usa no dia a dia deixa um rastro técnico no próprio texto, não no estilo.

Detectores de estilo são outro animal. E eles já erraram feio

Enquanto a marca d’água ainda não tem API pública, o que o mercado encontra é detector de estilo. Pangram, Turnitin, GPTZero. Não têm a chave da Anthropic. Chutam pela “cara” do texto: ritmo regular demais, certas construções, certas palavras.

Isso não é número de série de fábrica. É perícia grafotécnica de palpite.

O histórico não ajuda. A OpenAI fez um detector em 2023, acertou cerca de um quarto do texto de IA, marcou 9% de texto humano como máquina, e desligou em meses. Um estudo de Stanford, no mesmo ano, passou redações de falantes não nativos de inglês por sete detectores populares: 61% voltaram como IA. Inglês formal de segunda língua é exatamente o que esses sistemas leem como “robô”.

O vídeo que usei de referência lembra o caso recente da NeurIPS, uma das grandes conferências de IA do mundo. A trilha de ensaios de opinião deste ano aceitava IA só para copy edit. Eles passaram as 969 submissões no Pangram e rejeitaram 178 antes da revisão por pares. 18% da trilha, sem recurso. Um autor rejeitado rodou artigos publicados do próprio chair da trilha no mesmo detector. Deu entre 24% e 69%. Abaixo do corte deles, mas longe de zero.

Traduzindo para o seu escritório: se um tribunal, um cliente ou um colega colar a sua peça num detector de estilo, o resultado pode acender por causa do português técnico, da repetição de “consoante o art.”, da simetria de tópicos. Não porque o Claude tenha escrito.

Eu não recomendo usar detector de estilo como prova de nada. Nem para acusar o adversário, nem para “limpar” a sua peça.

A marca d’água, quando a API existir, pelo menos responde a uma pergunta estreita com método. Detector de estilo responde a uma pergunta larga com semelhança. São coisas diferentes, e misturar as duas é como confundir DNA com “ele tem cara de culpado”.

💡 Leia também: Advogado que usa prompt injection não entendeu nada de IA. Esconder comando na petição é o outro extremo do mesmo erro: achar que o texto jurídico é um playground de truque.

Dá para tirar a marca? Dá. Essa é a pergunta errada

O vídeo é honesto neste ponto, e a Anthropic também. Edição leve provavelmente não apaga. Reescrita completa, em que cada palavra é trocada, apaga. Traduzir para outro idioma e voltar apaga, porque as palavras mudam e os placares da chave deixam de alinhar.

Pesquisadores testaram um clone aberto do SynthID, não o sistema de produção do Google, e viram a marca sumir em 58 de 59 casos depois de uma parafrase. Trate o número como primeiro resultado, não como garantia contra o Claude de verdade. O ataque em si, porém, é óbvio: mude as palavras, some o padrão.

Existe uma indústria inteira de “humanizador” nascida só para enganar detector. Undetectable.ai, StealthGPT, o QuillBot no modo parafrase. O detector retreina. O humanizador se ajusta. Os dois mercados crescem um do outro.

Vale a pena lavar a marca para parecer que a peça nasceu só das suas mãos?

Para advogado, essa corrida é perda de tempo com cheiro ruim.

Se a sua preocupação é “não quero que a peça carregue marca”, o caminho ético não é lavar o texto. É escrever você, usar o Claude no que ele é bom (estrutura, contra-argumento, checklist, pesquisa), e reescrever o que for entrar no protocolo com a sua mão. A marca some de fato quando o texto deixa de ser o texto do modelo. A Anthropic admite isso: depois de uma reescrita total, já é discutível se ainda dá para chamar o resultado de gerado por IA.

Se a sua preocupação é “não quero ser acusado de ter usado IA”, lavar a marca piora o quadro. Parece que havia o que esconder. E, se um dia o juízo pedir transparência sobre uso de IA, você vai ter que contar a verdade de qualquer jeito.

A pergunta certa é outra: você defende cada parágrafo dessa peça de olhos abertos?

Se sim, a marca é um detalhe técnico. Se não, o problema nunca foi a Anthropic.

O que eu recomendo no escritório

Eu uso Claude todo dia. Não vou parar porque Bruxelas pediu transparência. A marca não deixa o modelo pior, não encarece o token e não entrega o seu cliente para ninguém. O que muda é o protocolo interno.

Três regras que eu já estou aplicando, e que eu recomendo para qualquer banca que leve isso a sério.

1. Separe revisão de redação. Prompt de “corrija só gramática e pontuação, sem reescrever” é uma coisa. Prompt de “escreve a inicial” é outra. A primeira quase não marca. A segunda marca, e exige que você reescreva o que for protocolar. Não misture os dois no mesmo chat e finja que foi só uma revisão.

2. Não protocole o que você não reescreveu. Minuta de IA entra no Word como rascunho, nunca como versão final. Eu passo o olho em fato, citação, nome de parte, número de processo, pedido. Se a frase não soa como eu, eu troco a frase. Não por medo do detector. Por dever de ofício.

3. Tenha uma política curta, por escrito. Quem pode colar o quê no Claude. O que não cola nunca (documento de cliente com dado sensível em conta pessoal, por exemplo). Se o escritório usa Claude no atendimento, a conversa do cliente não deveria estar num chat genérico. Para isso existe ferramenta de advocacia, com LGPD e fluxo. O Chat Jurídico nasceu exatamente nesse recorte: atendimento, não redação de peça.

Sobre divulgação ao juízo: o Brasil ainda não tem uma regra única, do tipo “toda petição com IA precisa de nota de rodapé”. Alguns tribunais americanos já pedem declaração. Aqui, o que já vimos na prática é o Judiciário usando IA (o caso Galileu no TRT-8 é o exemplo mais duro) e punindo quem tenta manipular a ferramenta. Transparência interna do escritório vem primeiro. Transparência externa, quando o juízo pedir ou quando a peça for substancialmente gerada, não “revisada”.

E sobre trocar de modelo para fugir da marca: Google, OpenAI, Meta, Microsoft e Mistral assinaram o mesmo Código de Práticas da União Europeia, com cerca de 190 signatários, em julho de 2026. A obrigação de marcar conteúdo gerado vale desde 2 de agosto. Se o seu plano era “vou para o ChatGPT que lá não tem”, a lista de presença já está preenchida. Todo mundo assinou. A implementação de cada um vai variar. A direção, não.

Modelos Claude anteriores a 2 de agosto de 2026 entram num período de transição. A Anthropic disse que vai estender a marcação a eles nos próximos meses. Tratar o modelo antigo como automaticamente limpo é apostar num calendário que a própria empresa já avisou que vai fechar.

👉 Comparar ferramentas de IA para advogados, com o recorte de peça, pesquisa e WhatsApp

Conclusão

A marca d’água do Claude não é um ataque ao advogado. É uma resposta regulatória europeia que vazou para o mundo porque a Anthropic não conseguiu recortar geografia. Ela responde a uma pergunta útil (este texto passou pelo Claude?) e recusa todas as outras (quem é o autor, o texto é verdadeiro, a tese é boa).

O risco real no escritório brasileiro continua sendo o de sempre: protocolar o que você não leu, citar o que a IA inventou, tratar detector de estilo como prova. A marca só torna visível, para quem tiver a chave, um uso que muita gente já fazia no silêncio.

Eu vou continuar usando. Com rascunho, com reescrita, com o meu nome embaixo. A marca pode viajar com o texto. A responsabilidade, de qualquer jeito, já viajava.

---