Anthropic ha imposto 30 giorni di conservazione per individuare i cyberattacchi
Dal giugno 2026, Anthropic richiede 30 giorni di conservazione per alcuni dati di utenti e aziende generati sui suoi modelli più capaci, un cambiamento rispetto al periodo più breve a cui la maggior parte dei clienti era abituata. Lo scopo dichiarato è circoscritto: individuare i cyberattacchi che usano Claude, non una raccolta dati generica. Anthropic e altri laboratori di IA all'avanguardia hanno documentato casi in cui i loro modelli sono stati usati all'interno di campagne d'attacco autonome o semiautonome, dalla ricognizione alla generazione di codice per exploit, fino a passaggi di coordinamento che un tempo richiedevano un operatore umano a ogni fase. Una finestra mobile di 30 giorni dà ai team di sicurezza di Anthropic abbastanza cronologia per individuare uno schema tra più sessioni che una singola interazione non rivelerebbe mai, e per intervenire prima che una campagna d'attacco si completi. Questo è il compromesso al centro della vicenda: una rilevazione migliore degli attacchi, in cambio di una finestra più lunga in cui i dati aziendali restano fuori dal controllo diretto del cliente.
Oltre 100 clienti aziendali hanno protestato, Salesforce tra loro
La finestra di conservazione obbligatoria non è piaciuta ai maggiori clienti di Anthropic, e oltre 100 account aziendali hanno sollevato obiezioni, con Salesforce citata specificamente tra loro. La loro preoccupazione non erano i 30 giorni come misura di sicurezza, ma la perdita di controllo su dove risiedessero fisicamente quei dati una volta usciti dai propri sistemi e finiti sull'infrastruttura di Anthropic per il periodo previsto. Per un'azienda con sede nell'UE, o qualsiasi società che tratti dati personali europei ai sensi del GDPR, non si tratta di una preoccupazione astratta. I team di protezione dati devono poter dire, concretamente, in quale giurisdizione si trova un determinato insieme di dati, chi può accedervi e su quale base giuridica, e una finestra di conservazione di 30 giorni in mano al fornitore, su server esterni al cloud proprio del cliente, complica ognuna di queste risposte. I team acquisti e legale delle aziende hanno insistito su questo punto con una forza e una costanza tali da trasformarlo in un problema di progettazione che Anthropic ha dovuto risolvere, invece di un reclamo da gestire.
Anthropic sta costruendo un modo per tenere quei dati sul cloud proprio del cliente
Bloomberg ha riferito il 20 agosto 2026 che Anthropic sta ora costruendo un sistema che permetterebbe ai clienti aziendali di conservare i propri dati trattenuti per obbligo di 30 giorni sulla propria infrastruttura cloud, anziché su server gestiti da Anthropic. PYMNTS, MarketScreener e itnews.com.au hanno da allora ripreso o confermato il resoconto di Bloomberg, e Anthropic starebbe coordinando direttamente con gli oltre 100 clienti coinvolti, Salesforce compresa, su come dovrebbe funzionare il sistema. Al momento di questo articolo, la sala stampa di Anthropic non ha pubblicato nulla sul cambiamento; l'ultimo post su anthropic.com/news, datato 14 agosto 2026, riguarda un argomento diverso, la filigrana testuale di Claude. Per ora è terreno di resoconti giornalistici, non un annuncio del fornitore, e il lancio è previsto per la parte finale del 2026.
| Data | Evento | Dettaglio |
|---|---|---|
| Giugno 2026 | Inizia l'obbligo di conservazione | 30 giorni di conservazione richiesti sui modelli più capaci di Anthropic, per il rilevamento dei cyberattacchi |
| Fino a metà 2026 | Proteste aziendali | Oltre 100 clienti, Salesforce compresa, contestano la perdita di controllo sulla posizione dei dati |
| 20 agosto 2026 | Resoconto di Bloomberg | Anthropic costruisce il trasferimento della custodia verso infrastrutture cloud del cliente; lancio nella parte finale del 2026 |
La distinzione in quella tabella conta più di quanto sembri: l'obbligo in sé non è cambiato, solo il luogo in cui i dati risultanti possono restare, e la sezione successiva spiega perché quella differenza sia il vero punto della questione.
Spostare la custodia non equivale a uscire dalla regola
Sarebbe facile leggere questo come un silenzioso passo indietro di Anthropic sulla conservazione, ma non è quello che si sta costruendo. L'obbligo di conservazione di 30 giorni esiste perché la funzione di sicurezza ha bisogno di una finestra di cronologia per individuare schemi d'attacco, e nulla nel progetto riportato elimina quella finestra o quella funzione. Ciò che cambia è la custodia: i dati continuano a essere conservati per lo stesso scopo, secondo lo stesso calendario, ma su un'infrastruttura controllata dal cliente aziendale invece che sui server propri di Anthropic. Anthropic continua ad aver bisogno di sufficiente visibilità su quei dati conservati per eseguire il proprio rilevamento dei cyberattacchi, il che avvicina tutto questo a un modello di responsabilità condivisa, simile nello spirito al modo in cui i fornitori cloud dividono i compiti di sicurezza con i propri clienti, più che a una vera uscita. Per un'azienda dell'UE che valuti la questione, l'inquadramento onesto è: i dati restano comunque sotto l'obbligo di conservazione, e ciò che si guadagna è la giurisdizione e la custodia fisica, non un'esenzione dalla politica di sicurezza in sé.
Cosa dovrebbe fare ora un'azienda europea ancora indecisa su Anthropic
Per un imprenditore dell'UE o del Regno Unito che oggi valuta se adottare i modelli più avanzati di Anthropic, la risposta pratica non è passare per default a un fornitore esclusivamente europeo solo per questo problema. La residenza dei dati conta, ma una decisione di abbandono presa oggi, prima che l'opzione di custodia sul cloud del cliente sia disponibile, esclude un'opzione che risponde direttamente all'obiezione che la maggior parte degli imprenditori ha davvero. Il passo successivo più utile è chiedere al proprio referente Anthropic la tempistica concreta di lancio per la propria regione e il proprio livello di contratto, e ottenere per iscritto quali infrastrutture e certificazioni saranno considerate un cloud cliente idoneo una volta disponibile la funzione. Se un'azienda oggi non può davvero tollerare alcuna conservazione in mano al fornitore, su nessuna infrastruttura, si tratta di un vincolo reale su cui agire subito; ma se l'obiezione riguarda specificamente il non sapere dove si trovino fisicamente i dati, i maggiori clienti di Anthropic hanno appena ottenuto che Anthropic costruisca una risposta diretta a questo, e vale la pena aspettare qualche mese per usarla invece di cambiare fornitore per un problema che si sta già risolvendo.
Da leggere ora: Cinque Agenti di Coding IA Competono Ora nel Tuo Slack | Il manager IA che ha licenziato un essere umano
