Il costo delle violazioni dei dati nel 2026 secondo IBM: record a 4,99 milioni di dollari, l'AI diventa il motore principale

Costi da record e il 'premio' dell'IA

Le organizzazioni statunitensi hanno subito un costo medio di 11,5 milioni di dollari per violazione, più del doppio della media globale e in aumento dell'11% rispetto al 2025 . Ogni ora di violazione non risolta è costata circa 1.100 dollari .

Gli attacchi basati sull'IA si sono rivelati il principale moltiplicatore di costi. Una violazione dolosa su quattro ora coinvolge l'IA, con un aumento del 56% rispetto all'anno precedente, e queste violazioni costano in media 6 milioni di dollari, circa 1 milione in più rispetto alla media globale . Tra le tipologie specifiche di attacco AI figurano l'uso di deepfake, malware potenziati dall'IA, attacchi di 'model inversion' (6,07 milioni di dollari di costo medio) e 'prompt injection' (5,89 milioni di dollari) .

Tempi di rilevamento e risposta in peggioramento per la prima volta in cinque anni

Dopo cinque anni di miglioramenti costanti, il tempo medio per identificare e contenere una violazione è aumentato a 247 giorni (183 giorni per l'identificazione, 64 per il contenimento) . Questa inversione di tendenza segnala che gli aggressori si muovono più velocemente dei difensori, comprimendo la finestra di risposta . Le violazioni che si sono protratte per più di 200 giorni sono costate in media 5,65 milioni di dollari, contro i 4,32 milioni di quelle contenute entro i 200 giorni .

Shadow AI e fallimenti di governance: livelli di crisi

Forse il dato più allarmante: gli incidenti di 'shadow AI' (IA 'ombra' o non autorizzata) sono più che raddoppiati, passando dal 20% al 43% delle organizzazioni violate . Strumenti di IA non autorizzati, utilizzati senza alcuna revisione di sicurezza, sono ora alla base di quasi la metà degli incidenti .

Tra le organizzazioni che hanno subito un incidente di sicurezza legato all'IA, il 92% non disponeva di controlli di accesso adeguati al momento della violazione . Il 68% delle organizzazioni violate non aveva alcuna politica di governance per l'IA . Gli incidenti che coinvolgono modelli e applicazioni basate sull'IA sono passati dal 13% al 21% . Il rapporto documenta attacchi mirati all'infrastruttura IA tramite prompt injection, model inversion e data poisoning . Le organizzazioni che hanno subito una violazione legata all'IA senza avere i controlli di accesso necessari hanno registrato costi medi di 5,33 milioni di dollari, rispetto ai 4,70 milioni di quelle che non hanno coinvolto l'IA .

Reazione della spesa: l'85% prevede di aumentare gli investimenti nella sicurezza

In una ricerca successiva, l'85% delle organizzazioni violate ha dichiarato di voler aumentare la spesa in strumenti e governance specificamente in risposta alle minacce avanzate dell'IA . Nel sondaggio principale, il 64% ha affermato che una violazione di per sé spingerebbe a un aumento della spesa . Questa impennata degli investimenti è in linea con le tendenze più ampie del settore: Cisco, ad esempio, ha registrato una crescita del 14% su base annua dei ricavi della sicurezza nello stesso periodo, riflettendo un'accelerazione degli investimenti aziendali in difese basate sull'IA .

Altri risultati critici

• La compromissione della supply chain è stato il principale amplificatore dei costi, aggiungendo in media 227.250 dollari per violazione, ed è stato il secondo vettore di attacco più comune, richiedendo 258 giorni per essere identificato e contenuto .
• Il settore sanitario rimane il più costoso, con una media di 6,64 milioni di dollari per violazione, sebbene in calo rispetto agli anni precedenti .
• L'India ha registrato il costo medio di violazione più alto di sempre, pari a 25,5 crore di rupie (circa 3,05 milioni di dollari), con un aumento del 15,9% su base annua .
• Le organizzazioni che fanno ampio uso di IA e automazione per la sicurezza hanno registrato in media 1,93 milioni di dollari di risparmio rispetto a quelle che non le utilizzano .
• Solo il 42% delle organizzazioni ha dichiarato di essersi completamente ripresa dopo una violazione, in aumento rispetto al 35% dell'anno scorso, ma lasciando la maggior parte in una fase di recupero che dura mesi o anni dopo l'evento .

Il rapporto 2026 si basa sullo studio di 602 organizzazioni violate in 17 paesi e 17 settori, con dati raccolti tra marzo 2025 e febbraio 2026 .