Le notifiche di violazione dei dati hanno già superato, a metà anno, il totale dell'intero 2025. Nel primo semestre 2026 si contano 1.803 compromissioni segnalate.
Un solo incidente vale più di tutti gli altri messi insieme
La violazione della piattaforma Canvas di Instructure, usata nel settore dell'istruzione, ha prodotto da sola circa 275 milioni di avvisi agli interessati: il 58% del totale del semestre.
È il dato che un DPO dovrebbe tenere presente quando legge le statistiche sulle violazioni. Il numero di persone coinvolte non misura la frequenza del rischio: misura la concentrazione. Poche piattaforme molto usate spostano l'intero aggregato, e la maggior parte delle organizzazioni non somiglia affatto alla media.
L'IA compare in una violazione su quattro
Fra marzo 2025 e febbraio 2026 una violazione su quattro è risultata coinvolgere l'intelligenza artificiale, in aumento del 56% rispetto all'anno precedente.
Qui va usata cautela: «coinvolgere l'IA» copre cose molto diverse fra loro — phishing scritto meglio, automazione della ricognizione, uso di strumenti generativi da parte di chi attacca. Non è una categoria giuridica, è un'osservazione sulle tecniche.
Cosa ne ricava chi deve valutare il rischio
L'art. 32 chiede misure adeguate «tenendo conto dello stato dell'arte». Se lo stato dell'arte dell'attaccante cambia, cambia anche il metro con cui si giudica l'adeguatezza delle difese. Una valutazione del rischio scritta due anni fa e mai rivista è, oggi, un documento che descrive un mondo diverso.
E il caso Canvas ricorda una cosa che si tende a dimenticare: la violazione più grande che il tuo cliente subirà non avverrà quasi mai nei suoi sistemi, ma in quelli di un fornitore. È il motivo per cui il registro dei responsabili e le garanzie dell'art. 28 non sono adempimenti formali.
Vale la pena verificare, sui propri clienti, due cose sole: quali piattaforme di terzi trattano i loro dati, e se esiste una procedura per accorgersi di una violazione avvenuta da un'altra parte. Nella maggior parte dei casi la risposta alla seconda domanda è che la notizia arriva dai giornali.
Stai cercando un gestionale per il tuo lavoro di DPO?
DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.
Inizia gratis
