Data Act e prodotti connessi: dal 12 settembre 2026 l’accesso ai dati entra nella progettazione

Il Data Act si applica già dal 12 settembre 2025. Un anno dopo, però, diventa operativa una disposizione con un impatto diverso: non riguarda soltanto contratti e procedure di risposta alle richieste, ma il modo in cui un prodotto connesso viene progettato.

Per i prodotti connessi e i servizi correlati immessi sul mercato dopo il 12 settembre 2026, l’articolo 3, paragrafo 1, del Regolamento (UE) 2023/2854 richiede che i dati del prodotto e del servizio, insieme ai metadati necessari per interpretarli e utilizzarli, siano accessibili all’utente per impostazione predefinita in modo facile, sicuro e gratuito, in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. L’accesso deve essere diretto quando ciò è pertinente e tecnicamente possibile.

La distinzione conta. Il diritto dell’utente di ottenere e condividere determinati dati esiste già; la nuova soglia temporale riguarda lo specifico obbligo di incorporare l’accessibilità nell’architettura dei prodotti e dei servizi immessi sul mercato dopo quella data.

Che cosa cambia davvero il 12 settembre 2026

L’articolo 50 del Data Act separa il calendario generale del regolamento da quello dell’articolo 3, paragrafo 1. La disciplina è applicabile, nel suo complesso, dal 12 settembre 2025. L’obbligo di progettazione si applica invece ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026.

Non nasce quindi un diritto nuovo a ogni dato prodotto da un dispositivo. Cambia la conformità richiesta ai nuovi prodotti: l’accesso non può dipendere soltanto da un intervento manuale del fabbricante, da una trattativa successiva o da un’esportazione preparata caso per caso. Deve essere previsto già nella progettazione, entro i limiti stabiliti dal regolamento.

Per le imprese questo sposta il baricentro della compliance. Una procedura legale può essere aggiornata in tempi relativamente brevi; un’interfaccia, una funzione di esportazione, un’API, un sistema di autenticazione o una diversa architettura del firmware richiedono decisioni anticipate, test e coordinamento con i fornitori della catena tecnica.

Quali prodotti, servizi e dati rientrano nel perimetro

Il concetto di prodotto connesso comprende beni capaci di ottenere, generare o raccogliere dati sul loro utilizzo o sul loro ambiente e di comunicarli mediante una connessione fisica, una comunicazione elettronica o un accesso sul dispositivo. Il perimetro può includere, secondo le caratteristiche concrete, veicoli, macchinari industriali e agricoli, apparecchiature di monitoraggio, dispositivi medici, impianti e oggetti IoT.

I servizi correlati sono servizi digitali, diversi dai servizi di comunicazione elettronica, collegati al prodotto in modo tale che la loro assenza impedirebbe al prodotto di svolgere una o più funzioni oppure che intervengono successivamente per aggiungerle, aggiornarle o adattarle. Un’applicazione che regola il funzionamento di un dispositivo può quindi rilevare; non ogni servizio cloud utilizzato dall’impresa diventa, per questo solo fatto, un servizio correlato.

Il capitolo II riguarda i dati grezzi e pre-elaborati generati dall’uso del prodotto o del servizio e prontamente disponibili al titolare dei dati, compresi i metadati necessari per interpretarli. Non comprende, in linea generale, contenuti e dati inferiti o derivati attraverso elaborazioni che producono informazioni nuove e significativamente arricchite.

Il regolamento opera sul mercato dell’Unione anche rispetto a fabbricanti e fornitori stabiliti fuori dall’UE quando immettono prodotti connessi o forniscono servizi correlati nell’Unione. Restano applicabili le esclusioni e le esenzioni previste dal Data Act, inclusa, alle condizioni dell’articolo 7, quella relativa a determinate micro e piccole imprese.

Accessibile per impostazione predefinita non significa sempre accesso diretto

L’articolo 3, paragrafo 1, usa due formule diverse. L’accessibilità facile, sicura e gratuita, in formato strutturato e leggibile da dispositivo automatico, è il requisito generale. L’accesso diretto è richiesto soltanto quando pertinente e tecnicamente possibile.

Di conseguenza, non ogni prodotto deve necessariamente mostrare o trasferire tutti i dati senza l’intervento del titolare. Quando l’accesso diretto non è previsto, trovano spazio i meccanismi di messa a disposizione tramite il titolare dei dati disciplinati dall’articolo 4. La scelta deve però essere giustificabile alla luce delle caratteristiche tecniche del prodotto, della sicurezza e dell’effettiva possibilità per l’utente di esercitare i propri diritti.

Un report statico non è automaticamente sufficiente. Formato, completezza, frequenza e metadati devono rendere i dati concretamente utilizzabili. Se l’utente riceve valori privi di unità di misura, struttura, frequenza o indicazioni necessarie alla lettura, l’accesso può essere formalmente presente ma sostanzialmente inutilizzabile.

Dal prodotto ai contratti: il progetto deve tenere insieme più livelli

L’adeguamento richiede una mappatura congiunta di prodotto, dati, ruoli e rapporti contrattuali. Occorre individuare quali componenti generano i dati, chi vi accede, dove vengono conservati, quali soggetti assumono il ruolo di titolare dei dati e quali accordi regolano l’utilizzo dei dati non personali.

Gli obblighi di informazione precontrattuale previsti dall’articolo 3, paragrafi 2 e 3, sono già applicabili. Prima di concludere un contratto di acquisto, locazione o noleggio, l’utente deve ricevere, tra l’altro, informazioni su tipo, formato e volume stimato dei dati, sulla possibile generazione continua e in tempo reale, sulle modalità di accesso e sulla conservazione. Analoghe informazioni riguardano i servizi correlati.

Per chi sviluppa un nuovo prodotto, il lavoro non si esaurisce quindi nell’interfaccia. Specifiche tecniche, manuali, condizioni di vendita, licenze software, contratti con fornitori di componenti e accordi sui servizi post-vendita devono descrivere una catena coerente. Se il fabbricante non ha contrattualmente assicurato l’accesso ai dati generati da un componente essenziale, potrebbe non essere in grado di offrire all’utente la funzione promessa.

La revisione si collega alla più ampia attività sui contratti d’impresa: la titolarità materiale dell’infrastruttura, il diritto di utilizzare i dati e l’obbligo di renderli disponibili sono questioni diverse e devono essere coordinate.

Manutenzione, assistenza e concorrenza sui servizi post-vendita

Il Data Act consente all’utente di utilizzare i dati ottenuti e di chiederne la messa a disposizione a un terzo scelto, salvo i limiti del regolamento. Questo può favorire manutenzione indipendente, riparazione, analisi delle prestazioni, assicurazioni basate sull’uso e ulteriori servizi data-driven.

La conseguenza economica è rilevante. Un produttore che ha costruito il proprio post-vendita sul controllo esclusivo dei dati operativi deve valutare se il modello resti sostenibile quando l’utente può affidare analisi e assistenza a un altro operatore. Il regolamento non autorizza però il destinatario a usare i dati per sviluppare un prodotto connesso concorrente rispetto a quello da cui provengono.

L’apertura dei dati non coincide quindi con una liberalizzazione senza regole. Cambia il punto di equilibrio tra investimenti del produttore, controllo dell’utente e concorrenza nei servizi complementari. Per molte imprese industriali, il principale effetto del Data Act potrebbe emergere non nella vendita iniziale del bene, ma nei ricavi e nelle relazioni commerciali che seguono.

GDPR, segreti commerciali e sicurezza: limiti da progettare, non formule di chiusura

Dati personali

Il Data Act non sostituisce il GDPR e non crea, da solo, una base giuridica per comunicare dati personali quando l’utente del prodotto non coincide con l’interessato. Il caso è frequente: si pensi a un veicolo aziendale utilizzato da un dipendente o a un macchinario i cui dati permettono di ricostruire l’attività di singoli operatori.

Accessibilità tecnica e legittimità del trattamento devono quindi essere progettate insieme. Identificazione dell’utente, separazione dei dataset, autorizzazioni, minimizzazione e basi giuridiche non possono essere aggiunte dopo che l’interfaccia di accesso è stata definita.

Segreti commerciali

La presenza di un segreto commerciale non consente un rifiuto automatico e generalizzato. Il Data Act prevede misure proporzionate per preservarne la riservatezza, concordate tra le parti. La sospensione o il rifiuto della condivisione sono ammessi soltanto nelle condizioni rigorose stabilite dal regolamento, compresa la dimostrazione, nei casi previsti, dell’elevata probabilità di un grave danno economico derivante dalla divulgazione.

Per l’impresa significa classificare in anticipo i dati e individuare misure tecniche e contrattuali adeguate. Dichiarare indistintamente riservato ogni flusso del prodotto non sostituisce questa analisi.

Sicurezza

Il titolare e l’utente possono concordare limiti quando l’accesso ai dati rischia di compromettere requisiti di sicurezza del prodotto previsti dal diritto dell’Unione o nazionale, con possibili effetti negativi gravi sulla salute, sulla sicurezza o sulla protezione delle persone. Anche questo limite richiede presupposti concreti, tracciabilità e gli adempimenti informativi previsti.

La disciplina va coordinata con i presidi di cybersecurity applicabili all’organizzazione e alla filiera. Il tema si collega agli obblighi NIS2 e alla gestione dei fornitori rilevanti: ampliare l’accesso ai dati senza definire autenticazione, autorizzazioni e registrazione degli eventi può trasferire il rischio dal piano contrattuale a quello operativo.

Che cosa dovrebbero decidere oggi imprese e amministratori

L’articolo 3, paragrafo 1, non istituisce una responsabilità speciale degli amministratori. La scadenza può tuttavia assumere rilievo nell’ambito dei doveri generali di organizzazione e gestione quando il mancato adeguamento espone l’impresa a blocchi di lancio, contestazioni, costi di riprogettazione, perdita di contratti o rischi reputazionali.

Il consiglio di amministrazione non deve progettare l’API. Deve assicurarsi che il rischio sia assegnato, che le funzioni coinvolte dispongano di risorse e informazioni e che le decisioni più rilevanti siano documentate. È lo stesso principio che guida l’analisi sugli adeguati assetti e i flussi informativi verso il consiglio di amministrazione.

Un programma di adeguamento dovrebbe almeno:

• censire i prodotti e i servizi destinati a essere immessi sul mercato dell’Unione dopo il 12 settembre 2026;
• mappare dati grezzi, dati pre-elaborati, metadati e informazioni derivate;
• stabilire quando l’accesso diretto sia pertinente e tecnicamente possibile;
• progettare interfacce, formati, autenticazione, autorizzazioni e registri degli accessi;
• coordinare Data Act, GDPR, segreti commerciali, proprietà intellettuale e sicurezza del prodotto;
• verificare i contratti con fornitori, distributori, utenti e operatori dei servizi correlati;
• aggiornare le informazioni precontrattuali e le procedure per le richieste di accesso o condivisione;
• valutare l’impatto sui ricavi da assistenza, manutenzione e analisi dei dati.

Il punto non è trasformare ogni impresa industriale in un fornitore di dati. È evitare che una scelta compiuta anni prima nell’architettura del prodotto renda impossibile rispettare un diritto che l’utente può esercitare oggi.

Un obbligo tecnico con conseguenze giuridiche ed economiche

La soglia del 12 settembre 2026 rende visibile una trasformazione più ampia. Nei prodotti connessi, la conformità non si colloca più soltanto nel contratto o nell’informativa: entra nel firmware, nelle API, nei formati e nei rapporti con la filiera.

Restano spazi di valutazione importanti: quali dati siano prontamente disponibili, quando l’accesso diretto sia pertinente e tecnicamente possibile, quali misure proteggano adeguatamente un segreto e come separare dati personali e non personali. Sono questioni che non possono essere risolte con formule standard valide per ogni prodotto.

Per questo l’adeguamento più efficace nasce da un lavoro comune tra direzione, product team, engineering, cybersecurity, privacy, legal e funzioni commerciali. Dal 12 settembre, per i nuovi prodotti interessati, l’accesso ai dati non sarà soltanto un diritto da gestire. Sarà una caratteristica che il prodotto deve essere stato costruito per offrire.

Domande frequenti

Da quando si applica l’obbligo di accesso ai dati by design?

Il Data Act è applicabile dal 12 settembre 2025. L’obbligo specifico dell’articolo 3, paragrafo 1, si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dopo il 12 settembre 2026.

Quali dati devono essere accessibili?

I dati grezzi e pre-elaborati generati dall’uso del prodotto o del servizio e prontamente disponibili, insieme ai metadati necessari per interpretarli e utilizzarli. In linea generale, contenuti e dati inferiti o derivati attraverso elaborazioni che producono informazioni nuove non rientrano nel medesimo obbligo.

L’utente deve sempre avere accesso diretto ai dati?

No. L’accessibilità facile, sicura, gratuita e in formato leggibile da dispositivo automatico è il requisito generale. L’accesso diretto è richiesto quando pertinente e tecnicamente possibile; negli altri casi operano le regole sulla messa a disposizione tramite il titolare dei dati.

I segreti commerciali consentono di negare sempre l’accesso?

No. Devono essere previste misure proporzionate per preservarne la riservatezza. Sospensione e rifiuto sono possibili soltanto alle condizioni rigorose stabilite dal Data Act e non possono fondarsi su una classificazione generica di tutti i dati come segreti.

Il Data Act sostituisce il GDPR?

No. Quando i dati sono personali, il GDPR continua ad applicarsi. Il Data Act non costituisce da solo una base giuridica per comunicare dati personali a un utente diverso dall’interessato.

La regola riguarda anche produttori stabiliti fuori dall’Unione europea?

Sì, quando immettono prodotti connessi sul mercato dell’Unione o forniscono nell’Unione servizi correlati, fatte salve le specifiche esclusioni ed esenzioni previste dal regolamento.

Fonti ufficiali

• Regolamento (UE) 2023/2854 sull’accesso equo ai dati e sul loro utilizzo, in particolare articoli 1, 2, 3, 4, 5, 7 e 50
• Commissione europea, Data Act explained
• Commissione europea, Frequently Asked Questions sul Data Act, versione 1.4 del 22 gennaio 2026
• Commissione europea, pagina ufficiale sul Data Act

Il contenuto ha finalità informativa generale e non sostituisce una valutazione legale riferita a uno specifico prodotto, servizio o modello di utilizzo dei dati.