Akademický výzkum potvrdil, že přibližně pětina softwarových balíčků navrhovaných AI modely při generování kódu vůbec neexistuje. Útočníci tuto slabinu systematicky zneužívají: halucinované názvy registrují v balíčkových registrech a plní je škodlivým kódem čekajícím na vývojáře, kteří AI návrhy přijímají bez ověření.

Rada Evropské unie zveřejnila 22. května 2026 kompromisní text nařízení o evropských obchodních peněženkách (dokument ST 7659 2026 INIT). Nařízení rozšiřuje logiku digitální identity zakotvenou v eIDAS 2 – dosud zaměřenou primárně na fyzické osoby – na podnikatelské subjekty, zejména malé a střední podniky a mikropodniky. Formální přijetí textu Radou se očekává na zasedání Rady pro dopravu, telekomunikace a energetiku (TTE) 9. června 2026, po němž dokument vstoupí do trialogu s Evropským parlamentem.

Belgický úřad na ochranu osobních údajů (APD/GBA) uložil provozovateli digitální autentizační a identifikační služby pokutu 120 000 eur za to, že se sám nesprávně označil za zpracovatele namísto správce. Tato zásadní chyba v právní kvalifikaci vedla k celé kaskádě porušení GDPR.

Úřad pro ochranu osobních údajů zveřejnil konzultační stanovisko k nasazení kamerových systémů zpracovávajících biometrické charakteristiky na fotbalových stadionech. Závěr je jednoznačný: běžný kamerový záznam zákon dovoluje, ale biometrická identifikace v reálném čase je přísně regulovaná záležitost, na kterou dosud chybí dostatečný zákonný základ.

Navrhované nařízení CSA2 by umožnilo Evropské komisi zakázat rizikové technologické dodavatele ve všech 18 kritických sektorech napříč EU – a přesunout část rozhodování o národní bezpečnosti z členských států do Bruselu. Česká republika návrhu vystavila žlutou kartu.

Třetí člen rodiny Dirty Frag zranitelností linuxového jádra – nazvaný Fragnesia – přináší spolehlivý lokální privilege escalation na root. Na rozdíl od předchozích příbuzných chyb nevyžaduje timing ani race condition a funkční exploit je veřejně dostupný.

Na konferenci OffensiveCon v Berlíně se uskutečnil třetí ročník Pwn2Own zaměřený na enterprise technologie a bezpečnost nástrojů umělé inteligence. Výzkumníci za tři dny soupeření odhalili 47 dosud nezveřejněných zranitelností a odnesli si v odměnách celkem 1 298 250 dolarů.

Bezpečnostní výzkumník Nightmare-Eclipse zveřejnil exploit nazvaný YellowKey, který umožňuje útočníkovi s fyzickým přístupem k zařízení obejít šifrování BitLocker na Windows 11 a Windows Server 2022 a 2025. Stačí USB flash disk, restart do prostředí Windows Recovery Environment a podržení klávesy Ctrl.

Místopředseda Úřadu pro ochranu osobních údajů Josef Mička vystoupil ve středu 13. května v rozhlasovém pořadu Dvacet minut Radiožurnálu k debatě, která v Česku rezonuje v souvislosti s návrhy fotbalových klubů využívat kamery s rozpoznáváním obličejů proti výtržníkům. Postoj ÚOOÚ je jednoznačný: za stávajícího právního rámce na to kluby nemají žádný použitelný titul.

Nizozemský úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) uložil provozovateli taxi aplikace pokutu sto milionů eur za to, že přenášel osobní údaje subjektů z Finska a Norska příjemcům v Ruské federaci, aniž by prokázal zavedení odpovídajících záruk podle kapitoly V obecného nařízení o ochraně osobních údajů. Rozhodnutí publikoval GDPRhub ve čtvrtek 14. května v týdenním přehledu dozorových úřadů.

Spolkový správní soud (Bundesverwaltungsgericht, BVwG) potvrdil rozhodnutí rakouského dozorového úřadu, kterým úřad nařídil veřejnoprávní vysílací společnosti přepracovat svůj cookie banner. Soud souhlasil s názorem úřadu, že vizuální zvýraznění tlačítka „Přijmout všechny cookies" oproti ostatním volbám představuje protiprávní popostrkování uživatelů k souhlasu, a tím podkopává platnost samotného souhlasu jako právního titulu pro zpracování osobních údajů. Případ vedený pod spisovou značkou BVwG W171 2303402-1/7E publikoval GDPRhub v týdenním přehledu rozhodnutí 14. května.

Národní úřad pro kybernetickou a informační bezpečnost zveřejnil přehled kybernetických bezpečnostních incidentů za duben 2026. Oproti březnu počet evidovaných incidentů klesl na osmnáct, polovina z nich patřila do kategorie Průnik – tedy úspěšné kompromitace účtů, firewallů nebo doménových řadičů.