La réponse courte
À partir du 12 septembre 2026, le Data Act européen impose que les nouveaux produits connectés et services connexes mis sur le marché de l'UE soient conçus de sorte que les utilisateurs accèdent par défaut à leurs propres données. L'article 3, paragraphe 1, du règlement (UE) 2023/2854 dispose que les données de produit et de services connexes — ainsi que les métadonnées nécessaires à leur interprétation — doivent être « facilement, en toute sécurité et gratuitement » accessibles à l'utilisateur, dans un « format structuré, couramment utilisé et lisible par machine », et directement accessibles lorsque c'est techniquement possible. En termes d'ingénierie, c'est un export ou une API documentés, pas un ticket de support. L'obligation lie quiconque met des produits sur le marché de l'UE : un fournisseur américain ou britannique vendant du matériel connecté ou un service connexe en Europe est donc pleinement concerné, et aligner la conformité aux données de l'UE avec la construction fait désormais partie de la livraison du produit.
En pratique : si vous fabriquez du matériel connecté, des capteurs IoT, des objets portables, des véhicules connectés, des dispositifs industriels ou médicaux, ou les services cloud qui les animent, l'accès aux données est désormais une fonctionnalité du produit à concevoir en amont — avant l'expédition de l'appareil, pas après la plainte d'un utilisateur. Le règlement lui-même s'applique depuis le 12 septembre 2025 ; la date de 2026 est celle qui le transforme en code à écrire.
Qu'est-ce qui change le 12 septembre 2026 ?
Le Data Act est la loi horizontale de l'Union sur qui peut accéder aux données générées par les produits connectés et les services connexes, et les utiliser. La plupart de ses dispositions s'appliquent depuis le 12 septembre 2025. Mais l'obligation la plus lourde en ingénierie a été délibérément reportée d'un an pour laisser aux fabricants le temps de la bâtir : l'obligation d'accès dès la conception de l'article 3, paragraphe 1, qui s'applique aux produits connectés et services connexes mis sur le marché de l'UE après le 12 septembre 2026.
Jusqu'ici, le Data Act indiquait surtout aux détenteurs de données ce qu'ils devaient faire lorsqu'un utilisateur demandait des données. À partir de cette échéance, il dicte aussi comment le produit doit être bâti dès l'origine. Une machine à café connectée, un boîtier télématique de flotte, un robot d'usine, un lecteur de glycémie ou un thermostat intelligent lancé dans l'UE après cette date doit être livré avec la capacité de remettre ses données à l'utilisateur déjà conçue. Cela transforme la conformité, d'une revue juridique en un problème de livraison matériel-plus-logiciel — d'où son atterrissage autant sur les équipes d'ingénierie embarquée et produits connectés que sur le conseil juridique.
La portée est large et délibérément extraterritoriale. L'obligation s'applique à tout fabricant de produits connectés et à tout fournisseur de services connexes qui les met sur le marché de l'UE — quel que soit son lieu d'établissement. Une start-up américaine d'objets portables, un fabricant japonais d'équipements industriels ou un éditeur SaaS britannique dont le service est un « service connexe » d'un appareil connecté relèvent tous du champ dès qu'ils vendent en Europe. Les détenteurs de données hors UE offrant des services connexes dans l'Union doivent aussi désigner un représentant légal dans l'UE.
Ce que l'« accès dès la conception » exige vraiment
L'article 3, paragraphe 1, fixe le principe par défaut. Les produits connectés et services connexes doivent être conçus et fabriqués de sorte que les données de produit et de services connexes — ainsi que les métadonnées nécessaires à leur interprétation et à leur usage — soient, par défaut, « facilement, en toute sécurité et gratuitement » accessibles à l'utilisateur. Les données doivent être dans un « format structuré, couramment utilisé et lisible par machine » et, « lorsque cela est pertinent et techniquement possible », directement accessibles à l'utilisateur. Lisez cela comme une spécification : un point d'accès ou un export de données documenté et authentifié — pas un PDF, pas un chiffre lu à l'écran, pas un CSV envoyé par courriel trois semaines plus tard.
Le périmètre des données est précis. Il couvre les données brutes et prétraitées facilement disponibles auprès du détenteur, plus les métadonnées permettant de leur donner du sens. Il ne vous force pas à céder des analyses fortement enrichies ou déduites, ni des contenus protégés par la propriété intellectuelle — la valeur que vous ajoutez au signal brut reste la vôtre. Tracer correctement cette frontière est une décision de modélisation des données : vous devez savoir quels champs sont des « données de produit facilement disponibles » et lesquels sont des dérivations propriétaires, et exposer les premiers proprement via une API d'accès aux données sans laisser fuiter les secondes.
L'article 4 traite le cas où l'accès direct intégré n'est pas techniquement possible : le détenteur des données doit alors les mettre à disposition de l'utilisateur sur simple demande électronique, sans retard injustifié et gratuitement. L'article 5 va plus loin — sur instruction de l'utilisateur, le détenteur doit partager les données avec un tiers désigné (un réparateur, un fournisseur d'analytique, un service d'après-vente concurrent) à des conditions équitables, raisonnables et non discriminatoires. Les contrôleurs d'accès désignés au titre du Digital Markets Act sont exclus comme destinataires tiers éligibles. Le fil conducteur : l'utilisateur, qu'il soit consommateur ou client professionnel, contrôle où vont ses données de produit, et votre architecture doit rendre ce contrôle réel.
Ce que cela signifie pour les équipes logicielles françaises
Premièrement, la portabilité des données est désormais une exigence produit, pas un bonus. Pendant des années, les équipes de produits connectés ont traité la télémétrie générée par un appareil comme un actif privé enfermé dans le cloud du fournisseur. Le Data Act inverse ce principe : l'utilisateur a un droit sur les données facilement disponibles que son appareil produit, dans une forme qu'une machine peut réellement consommer. Si votre feuille de route ne comporte pas d'export ou d'API documenté pour les produits destinés à l'UE, l'échéance vient d'en ajouter un.
Deuxièmement, le plus dur est le modèle de données, pas le point d'accès. Monter une API relève de l'ingénierie courante. Décider exactement quels champs sont des « données de produit facilement disponibles » à exposer, par opposition aux données enrichies ou déduites que vous avez le droit de conserver, est là où les équipes bloquent — et c'est une décision qui touche à la fois le firmware, le stockage cloud, l'analytique et le juridique. Les produits conçus avec une séparation nette entre signal brut et analytique à valeur ajoutée se mettent en conformité à moindre coût ; ceux où tout est mêlé dans un bloc propriétaire unique affrontent une reprise coûteuse.
Troisièmement, les fournisseurs américains n'y échappent pas. L'obligation suit le marché de l'UE, non le siège de l'entreprise : « nous sommes une société américaine » n'est pas une défense pour un appareil vendu à Paris ou à Milan. Et lorsque les données de produit sont aussi des données personnelles, le RGPD continue de s'appliquer par-dessus — il vous faut toujours une base légale, une limitation de finalité et la sécurité pour toute donnée personnelle exposée ou partagée. Le Data Act ajoute une couche d'accès et de portabilité ; il ne remplace pas le droit à la vie privée. Les équipes qui bâtissent une couche d'accès aux données unique et bien gouvernée — authentifiée, journalisée, respectueuse du consentement, à format stable — satisfont les deux régimes d'un coup plutôt que de bricoler des réponses séparées à chaque demande.
Que faire maintenant
- Inventoriez vos produits connectés et services connexes destinés à l'UE. Recensez les références et services qui seront mis sur le marché de l'UE après le 12 septembre 2026 — ce sont ceux qui devront être livrés avec l'accès dès la conception. Les produits déjà commercialisés sont traités différemment, la date de lancement compte donc.
- Classez vos données. Pour chaque produit, séparez les données brutes et prétraitées facilement disponibles (dans le champ) des données enrichies, déduites ou protégées par la PI (hors champ). Capturez les métadonnées dont un utilisateur aurait besoin pour interpréter chaque champ. Cette classification est le socle de tout le reste.
- Concevez le chemin d'accès. Bâtissez une API d'export de données documentée et authentifiée, ou un accès intégré au produit, qui restitue les données dans un format structuré, couramment utilisé et lisible par machine. Ajoutez le repli de l'article 4 (données sur simple demande électronique) et le flux de l'article 5 (partage à un tiers désigné par l'utilisateur à des conditions équitables).
- Intégrez identité, consentement et journalisation. Vous devez confirmer qui est l'utilisateur, honorer ses instructions de partage à des tiers, garder les données personnelles conformes au RGPD et journaliser les accès pour l'audit. Traitez cela comme des éléments à part entière de la fonctionnalité, pas comme des ajouts tardifs.
- Revoyez vos contrats et conditions. Les clauses contractuelles abusives qui bloquent l'accès aux données ou le surfacturent sont inopposables au titre du Data Act. Vérifiez dès maintenant les clauses de licence, de garantie et de données, et désignez un représentant légal dans l'UE si vous êtes un détenteur de données hors UE offrant des services connexes dans l'Union.
Foire aux questions
Quelle est l'échéance d'accès dès la conception du Data Act UE ?
À partir du 12 septembre 2026, l'article 3, paragraphe 1, du Data Act européen (règlement (UE) 2023/2854) impose que les produits connectés et services connexes mis sur le marché de l'UE soient conçus de sorte que, par défaut, les données de produit et de services connexes — plus les métadonnées nécessaires à leur interprétation — soient facilement, en toute sécurité et gratuitement accessibles à l'utilisateur, dans un format structuré, couramment utilisé et lisible par machine, et directement accessibles lorsque c'est techniquement possible. L'obligation vise les produits mis sur le marché après cette date ; le règlement lui-même s'applique depuis le 12 septembre 2025.
Quels produits et services sont concernés ?
Les produits connectés — tout objet physique qui obtient, génère ou collecte des données sur son usage ou son environnement et peut les transmettre, comme les appareils intelligents, les objets portables, les dispositifs médicaux, les véhicules connectés, les machines industrielles et agricoles et les capteurs IoT — ainsi que les services numériques qui les font fonctionner (services connexes). Il s'applique aux données brutes et prétraitées facilement disponibles, avec les métadonnées nécessaires à leur usage ; il exclut les données fortement enrichies ou déduites et les contenus protégés par la PI.
Le Data Act s'applique-t-il aux fabricants américains et hors UE ?
Oui. L'obligation d'accès dès la conception s'applique à tout fabricant de produits connectés, ou fournisseur de services connexes, qui les met sur le marché de l'UE, quel que soit son établissement. Une entreprise américaine, britannique ou asiatique qui vend dans l'UE est concernée. Les détenteurs de données hors UE offrant des services connexes dans l'UE doivent aussi désigner un représentant légal dans l'Union.
Quelles données doivent être partagées, et dans quel format ?
Les données de produit et de services connexes facilement disponibles, plus les métadonnées pour les interpréter, dans un format structuré, couramment utilisé et lisible par machine — en pratique une API ou un export documenté. Lorsque l'accès direct n'est pas possible, l'article 4 impose de les fournir sur simple demande électronique, sans retard injustifié et gratuitement. En vertu de l'article 5, l'utilisateur peut ordonner le partage à un tiers désigné à des conditions équitables ; les contrôleurs d'accès DMA sont exclus comme destinataires.
En quoi le Data Act diffère-t-il du RGPD ?
Le RGPD régit les données à caractère personnel et confère aux personnes des droits sur celles-ci. Le Data Act est plus large : il couvre les données générées par les produits connectés, personnelles ou non, et accorde des droits d'accès et de portabilité à l'utilisateur — qui peut être un client professionnel. Lorsque les données de produit sont aussi personnelles, le RGPD continue de s'appliquer par-dessus. Traitez le Data Act comme une obligation d'ingénierie et contractuelle sur qui obtient quelles données de produit, et sous quelle forme ; le RGPD régit toujours le traitement licite de toute donnée personnelle en jeu.
Sources
EUR-Lex — Règlement (UE) 2023/2854 (Data Act)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Wilson Sonsini — EU Data Act September 2026 Deadline: What Businesses Need to Know