Il Data Act europeo: accesso ai dati by design e la fine del lock-in cloud
Il Data Act è il più silenzioso dei regolamenti europei attuali e uno dei più strutturali. Non aggiunge un banner al vostro sito né un'etichetta al vostro prodotto. Cambia a chi appartengono i dati che i vostri prodotti generano e rende il cambio di fornitore cloud un diritto anziché una trattativa commerciale.
Il Regolamento (UE) 2023/2854 si applica dal 12 settembre 2025. L'obbligo che richiede davvero ingegneria, progettare i prodotti per l'accesso ai dati, si applica dal 12 settembre 2026. Il divieto di addebitare il cambio di fornitore cloud si completa il 12 gennaio 2027.
Se costruite prodotti connessi o gestite un servizio di trattamento dati, questo è nella vostra roadmap, che ci sia scritto o no.
Due regolamenti in uno
Il Data Act fa due cose piuttosto diverse, e aiuta trattarle separatamente.
La prima parte dà agli utenti di prodotti connessi un diritto sui dati che quei prodotti generano, e un diritto a farli condividere con un terzo di loro scelta.
La seconda parte obbliga i fornitori di servizi di trattamento dati, cioè servizi cloud ed edge, a rendere il passaggio a un concorrente praticabile e, col tempo, gratuito.
Entrambe puntano allo stesso problema: i dati generati dagli utenti finiscono chiusi dentro il fornitore che li ha raccolti.
Prodotti connessi: accesso ai dati per impostazione predefinita
Un prodotto connesso è qualsiasi oggetto fisico che ottiene, genera o raccoglie dati sul proprio uso o ambiente e può comunicarli. È volutamente ampio. Veicoli, macchinari industriali, macchine agricole, dispositivi medici, elettrodomestici, dispositivi indossabili, contatori intelligenti, sistemi per edifici ed elettronica di consumo rientrano tutti.
Un servizio correlato è il software che fa funzionare il prodotto come previsto, ed è in ambito accanto all'hardware.
Cosa ottengono gli utenti
Gli utenti hanno diritto di accedere ai dati del prodotto e ai dati del servizio correlato generati dal loro uso, in modo facile, sicuro, gratuito, in un formato completo, strutturato, di uso comune e leggibile da macchina. Dove tecnicamente fattibile, tale accesso dovrebbe essere diretto e continuo anziché un'esportazione periodica.
Possono anche esigere che il titolare dei dati li condivida con un terzo da loro designato. Quel terzo può essere il servizio di un concorrente, un'officina di riparazione, un assicuratore o un fornitore di analytics. Il titolare non può bloccarlo con clausole contrattuali, né usare i dati condivisi per competere con l'utente.
Cosa cambia il 12 settembre 2026
Da quella data i prodotti connessi immessi sul mercato e i relativi servizi correlati devono essere progettati e fabbricati in modo che i dati del prodotto e del servizio correlato siano accessibili all'utente per impostazione predefinita e, dove pertinente e tecnicamente fattibile, direttamente.
Quella parola «progettati» rende questa una scadenza ingegneristica e non giuridica. Un obbligo di progettazione non si soddisfa con un processo di assistenza. Deve stare nel prodotto.
Come si presenta come lavoro
Per la maggior parte dei team il divario non è nell'API, è in tutto ciò che sta sotto.
Modello dati. Dovete distinguere i dati generati dall'uso del prodotto da parte dell'utente da quelli che derivate, arricchite o inferite. Gli utenti hanno diritto sui primi. Quella distinzione spesso non esiste negli schemi attuali, dove telemetria, metriche derivate e analytics interne vivono nelle stesse tabelle.
Interfacce di accesso. Un'API vera con autenticazione, autorizzazione, paginazione e limitazione della frequenza, più un percorso self-service per utenti non tecnici. Un CSV inviato per email su richiesta non soddisfa «in modo facile e, dove pertinente e tecnicamente fattibile, diretto».
Delega a terzi. L'utente può designare un destinatario. Ciò implica un modello di consenso e autorizzazione in cui l'utente concede un accesso limitato a una parte con cui non avete alcun rapporto, e può revocarlo. Se la vostra piattaforma non ha alcun concetto di accesso delegato, questo è il pezzo di lavoro più grande.
Gestione dei segreti commerciali. Il regolamento cerca di bilanciare accesso ai dati e tutela dei segreti commerciali. Potete richiedere misure proporzionate per preservare la riservatezza e, in circostanze ristrette, rifiutare o sospendere la condivisione. Deve essere una posizione documentata e difendibile anziché un rifiuto generalizzato, e conviene coinvolgere i legali presto.
Informazioni precontrattuali. Prima della vendita dovete dire all'acquirente quali dati il prodotto genera, come vi si accede, se è continuo e in tempo reale, e se intendete usarli voi stessi. È contenuto per la pagina prodotto e la documentazione, e rientra nella stessa revisione degli obblighi informativi sui prodotti che arrivano a settembre 2026.
Cambio di fornitore cloud: la fine del lock-in
La seconda metà del Data Act punta ai servizi di trattamento dati, che coprono IaaS, PaaS e SaaS.
I fornitori devono:
- Rimuovere ostacoli commerciali, tecnici, contrattuali e organizzativi al cambio.
- Completare un cambio entro un periodo transitorio massimo, in genere 30 giorni dopo un preavviso fino a due mesi, prorogabile ove tecnicamente non fattibile.
- Supportare l'esportazione di tutti i dati e asset digitali esportabili in un formato strutturato, di uso comune e leggibile da macchina.
- Fornire interfacce aperte e, per i servizi di infrastruttura, equivalenza funzionale dopo il cambio.
- Offrire un periodo minimo di recupero di 30 giorni dopo la cessazione.
Sugli oneri, i costi di cambio sono stati ridotti dalla data di applicazione e vengono aboliti del tutto dal 12 gennaio 2027. Dopo quella data un fornitore non può addebitare nulla per il processo di cambio.
Le condizioni contrattuali devono rifletterlo, inclusi la procedura di cambio, il periodo transitorio, l'elenco esaustivo delle categorie di dati esportabili e l'assistenza offerta.
Se acquistate servizi cloud
Questa è una leva reale e la maggior parte degli acquirenti non la usa.
Al prossimo rinnovo, chiedete la clausola di cambio, le categorie di dati esportabili e gli impegni di assistenza all'uscita. Ne avete diritto. Se la risposta è vaga, quella è un'informazione su quanto sarebbe difficile davvero un'uscita.
Vale anche la pena fare un test di esportazione anziché fidarsi di una pagina di documentazione. Esportate tutto, provate a darvi un senso e vedete se ricostituirebbe davvero il vostro servizio altrove. Il divario tra ciò che un fornitore dichiara esportabile e ciò che è utilizzabile è di solito il luogo in cui vive il lock-in.
Se vendete servizi cloud
Vi serve la clausola di cambio nei contratti, una procedura di cambio documentata, un meccanismo di esportazione che produca qualcosa di realmente utilizzabile, e un piano per il punto a costo zero di gennaio 2027 se oggi addebitate traffico in uscita o costi di uscita.
Il prezzo del traffico in uscita merita attenzione particolare. Addebitare il trasferimento dati verso l'esterno è una pratica consolidata del settore, e la distinzione tra oneri di uscita ordinari e oneri di cambio è una di quelle che le autorità guarderanno.
Accesso del settore pubblico e condizioni tra imprese
Due elementi minori da conoscere.
Il regolamento dà agli enti pubblici il diritto di richiedere dati alle imprese private in casi di necessità eccezionale, soprattutto emergenze pubbliche. È ristretto, ma se detenete dati di rilevanza pubblica dovreste sapere che la procedura esiste.
Introduce anche un test di iniquità per le clausole contrattuali su accesso e uso dei dati imposte unilateralmente a un'altra impresa. Una clausola che si discosti gravemente dalle buone pratiche commerciali non è vincolante. È un utile contrappeso alle clausole sui dati prendere o lasciare nei contratti con i fornitori.
Cosa faremmo adesso
Se fabbricate prodotti connessi, la data di settembre 2026 dovrebbe essere già in un piano di sprint. L'obbligo di progettazione si applica ai prodotti immessi sul mercato da quella data, quindi tutto ciò che è in sviluppo rientra. Iniziate dalla separazione nel modello dati, perché tutto il resto ne dipende.
Se gestite un servizio di trattamento dati, rivedete contratti, strumenti di esportazione e struttura degli oneri. Il punto a costo zero di gennaio 2027 non è lontano, e le implicazioni sui ricavi richiedono una decisione a livello direzionale anziché nell'ingegneria.
Se acquistate servizi cloud, usate la vostra leva al rinnovo e testate il percorso di esportazione. Costa una giornata e vi dice qualcosa di prezioso sul vostro rischio reale.
Tutti gli altri dovrebbero comunque verificare l'ambito. La definizione di prodotto connesso è più ampia di quanto suggerisca l'espressione, e aziende che si pensano come società di software a volte spediscono hardware senza che il fatto sia registrato internamente.
Il quadro più ampio
Il Data Act fa parte di un insieme di norme che insieme stanno ricostruendo le assunzioni su cui poggia il software europeo. La guida alla conformità digitale UE 2026 mappa l'intera superficie, incluse le scadenze che arrivano insieme a questa.
C'è una sovrapposizione reale da sfruttare. Le API di accesso ai dati costruite per il Data Act condividono infrastruttura con le richieste di portabilità GDPR. Gli inventari dei componenti costruiti per il Cyber Resilience Act vi dicono dove risiedono davvero i dati di prodotto. Costruirlo come una capacità di piattaforma anziché tre progetti è la differenza tra un trimestre e un anno.
Progettiamo e costruiamo piattaforme dati, API e infrastruttura cloud per aziende che operano in Europa, inclusa la macchina di accesso delegato ed esportazione che questo regolamento presuppone. Se volete aiuto a dimensionare cosa significhi l'obbligo di progettazione di settembre 2026 per un prodotto specifico, scrivete a office@c9group.dev, o leggete di più sul nostro lavoro con l'infrastruttura AWS e l'ingresso nel mercato europeo.
Costruiamo sistemi anziché dare consulenza legale. Ambito e posizioni sui segreti commerciali spettano ai vostri legali.