La réponse courte
À partir du 12 septembre 2026, le Data Act de l'UE exige que les nouveaux produits connectés et leurs services associés mis sur le marché de l'UE soient conçus pour que les utilisateurs puissent accéder aux données qu'ils génèrent directement, facilement et en toute sécurité. Le droit des utilisateurs d'obtenir et de partager leurs données existe depuis l'entrée en application du texte le 12 septembre 2025 ; ce qui arrive maintenant, c'est l'obligation plus exigeante — l'article 3, paragraphe 1 — selon laquelle l'accès doit être intégré au produit lui-même.
Si vous construisez des objets IoT, des machines industrielles ou le firmware et les applications compagnons qui les relient, traitez cela comme une échéance de conception, pas comme une note de bas de page juridique. Une voie d'accès aux données qui doit exister par défaut ne peut pas se rajouter la semaine précédant le lancement.
Ce qui change vraiment le 12 septembre
Le Data Act (règlement (UE) 2023/2854) est entré en vigueur le 11 janvier 2024 et est devenu applicable le 12 septembre 2025. La plupart des droits tournés vers l'utilisateur — le droit d'accéder aux données qu'un produit génère et de les faire partager avec un tiers de son choix — sont en vigueur depuis lors. L'étape du 12 septembre 2026 ajoute la partie que les fabricants ne peuvent pas résoudre par un document de politique : l'obligation, à l'article 3, paragraphe 1, que les produits et services associés soient conçus et fabriqués de sorte que les données pertinentes soient, par défaut, accessibles à l'utilisateur facilement, en toute sécurité et, le cas échéant, directement.
La distinction compte. Un droit d'accès qu'une entreprise satisfait par un ticket de support et un export manuel est un flux de travail. Un produit qui doit être construit pour que l'utilisateur atteigne ses données est une spécification d'ingénierie — qui touche au firmware, aux API, aux formats de données, à l'authentification et à la documentation. Pour des produits aux longs cycles de conception matérielle, une date d'application en septembre 2026 signifie que les décisions se figent maintenant, sur des cartes et dans des schémas qui seront livrés l'an prochain.
Qui est concerné — y compris les équipes américaines
Un produit connecté, dans les termes du texte, est tout objet physique qui obtient, génère ou collecte des données sur son utilisation ou son environnement et peut les communiquer. C'est volontairement large : véhicules connectés, machines agricoles et industrielles, dispositifs médicaux, appareils domestiques, objets portables et l'ensemble du champ des capteurs IoT y sont admissibles. Les services associés qui font fonctionner le produit — l'application mobile, le backend cloud, la couche d'analyse — sont entraînés dans le champ aux côtés du matériel.
Fait crucial, les obligations s'attachent aux produits et services mis sur le marché de l'UE et aux données rendues disponibles aux utilisateurs dans l'UE, non au lieu où le fournisseur est constitué. Une entreprise américaine ou britannique qui vend des objets intelligents ou un SaaS industriel en Europe est autant détentrice de données au sens du texte qu'un fabricant lyonnais. Cette portée extraterritoriale explique pourquoi l'échéance a sa place aussi sur les feuilles de route nord-américaines, et pourquoi elle côtoie le RGPD et le règlement IA comme troisième pilier de la conformité numérique européenne que les équipes hors UE ne peuvent pas considérer comme le problème d'un autre.
L'horloge du changement de cloud tourne aussi
Le Data Act ne concerne pas seulement les appareils. Il refaçonne aussi la manière dont les services de traitement de données — fournisseurs de cloud et d'edge — doivent laisser partir leurs clients. Depuis le 12 septembre 2025, les fournisseurs concernés doivent prendre en charge le changement et la portabilité des données, lever les obstacles déraisonnables et coopérer techniquement pour qu'un client puisse déplacer ses charges de travail et exporter ses données. La pression commerciale vient ensuite : au titre de l'article 29, les frais de changement sont retirés progressivement et totalement interdits à partir du 12 janvier 2027, après quoi les fournisseurs ne pourront récupérer que les coûts directs d'un changement en cours pendant une éventuelle transition.
Pour quiconque architecture une plateforme cloud et DevOps, le message pratique est le même que pour la règle des appareils : la portabilité doit être conçue d'emblée. Vérifiez que les données et la configuration d'un client peuvent réellement être exportées sous une forme utilisable et structurée, que le changement ne dépend pas de formats propriétaires que seule votre pile sait lire, et que la fenêtre de changement de 30 jours que prévoit le texte est techniquement atteignable. Les fournisseurs qui ont fait de l'enfermement un modèle d'affaires le ressentiront plus que les seules dates d'échéance ne le laissent penser.
Ce que cela signifie pour les équipes logicielles françaises
Pour les équipes produit, le cadrage utile est que le Data Act transforme l'accès aux données en une exigence fonctionnelle assortie d'un test de recette. La question qu'un examinateur — ou un client, ou un régulateur — posera est simple : l'utilisateur peut-il obtenir les données que ce produit génère, sous une forme utilisable, sans dépendre de votre bonne volonté ? Si la réponse honnête est « pas sans ingénierie », c'est l'écart à combler avant septembre.
Il y a une véritable tension à gérer, non à ignorer. Le texte protège le secret des affaires et permet aux détenteurs de données d'appliquer des mesures de sécurité proportionnées : ouvrir les données ne signifie donc pas exposer des modèles propriétaires ni livrer un plan aux concurrents. Mais ces protections sont censées être délimitées et justifiées, non utilisées comme prétexte général pour tout garder fermé. Les équipes qui s'en sortent bien séparent les données brutes générées par l'utilisateur, qui doivent circuler, de l'intelligence dérivée et des secrets qui peuvent être protégés — et elles documentent ce raisonnement pour qu'il tienne s'il est contesté. Pour les fabricants de HealthTech et de dispositifs connectés régulés, cette documentation est aussi ce que l'équipe de due diligence d'un acheteur grand compte demandera à voir.
La lecture stratégique est que la portabilité devient la norme européenne par défaut, à la fois sur la couche des appareils et sur celle du cloud. Les équipes qui construisent dès maintenant des systèmes exportables et interopérables satisferont non seulement cette échéance mais la direction de fond — tandis que celles qui misent sur l'enfermement continueront de payer une taxe de conformité à chaque nouvelle obligation.
Quoi faire avant l'échéance
Vous n'avez pas besoin d'un programme tentaculaire. Vous avez besoin d'un inventaire court et honnête et de quelques réalisations concrètes.
- Classez vos produits. Listez lesquels de vos appareils et services associés sont des produits connectés au sens du texte, et lesquels sont mis sur le marché de l'UE après le 12 septembre 2026.
- Construisez l'interface d'accès. Offrez un moyen documenté et sécurisé pour que les utilisateurs obtiennent les données générées par leur produit, dans un format courant et lisible par machine — pas un export manuel derrière un support.
- Préparez le partage vers un tiers. Les utilisateurs peuvent diriger leurs données vers le fournisseur de leur choix ; assurez-vous que votre chemin de partage existe et fonctionne à des conditions équitables et non discriminatoires.
- Délimitez le secret des affaires à dessein. Décidez ce qui est réellement un secret protégé par rapport aux données brutes de l'utilisateur qui doivent circuler, et consignez la justification plutôt que de choisir « non » par défaut.
- Éprouvez la portabilité cloud. Confirmez que vous pouvez exporter les données et la configuration d'un client sous une forme utilisable et tenir un changement en 30 jours, avant l'interdiction des frais de janvier 2027.
- Consignez-le. Conservez une trace de votre classification, de votre conception d'accès et de vos mesures de sécurité — les preuves qu'une autorité ou un client grand compte demandera.
Ceci n'est pas un conseil juridique, et le champ exact du texte dépend de vos produits et de vos contrats. Mais la direction est sans ambiguïté : à partir de septembre, un produit connecté vendu en Europe est censé ouvrir ses données à la personne qui l'utilise. Les équipes qui l'ont anticipé traiteront le 12 septembre comme une mise en production ordinaire ; les autres le vivront comme une échéance.
Questions fréquentes
Qu'est-ce qui change le 12 septembre 2026 avec le Data Act ?
À partir du 12 septembre 2026, les obligations de conception de l'article 3, paragraphe 1, s'appliquent aux produits connectés et services associés mis sur le marché de l'UE. Les nouveaux produits doivent être conçus et fabriqués de manière que les utilisateurs puissent accéder aux données qu'ils génèrent directement, facilement, en toute sécurité et, le cas échéant, de façon continue et en temps réel. La voie d'accès aux données doit être intégrée au produit, et non ajoutée après coup.
Quels produits sont considérés comme des produits connectés ?
Un produit connecté est tout objet physique qui obtient, génère ou collecte des données sur son utilisation ou son environnement et peut les transmettre. Cela couvre les véhicules connectés, les machines industrielles et agricoles, les dispositifs médicaux, les appareils domestiques, les objets portables et les capteurs IoT. Les services numériques associés qui font fonctionner un tel produit, comme son application compagnon ou son backend cloud, entrent également dans le champ.
Le Data Act de l'UE s'applique-t-il aux entreprises hors UE ?
Oui. Les obligations s'attachent aux produits et services mis sur le marché de l'UE et aux données rendues disponibles aux utilisateurs dans l'UE, quel que soit le lieu d'établissement du fabricant ou du détenteur de données. Une entreprise américaine ou britannique qui vend du matériel connecté ou du SaaS en Europe est concernée, ce qui explique pourquoi l'échéance compte bien au-delà des équipes établies dans l'UE.
Quand les règles de changement de fournisseur cloud prennent-elles effet ?
Les droits de changement de service de cloud et de traitement de données s'appliquent depuis le 12 septembre 2025, mais les frais de changement sont supprimés progressivement et totalement interdits à partir du 12 janvier 2027. À cette date, les fournisseurs ne pourront plus récupérer que les coûts directs du changement pendant une phase de transition. Les équipes doivent concevoir dès maintenant les chemins de portabilité et d'export, sans attendre l'interdiction des frais.
Que doivent faire les équipes logicielles avant l'échéance ?
Cartographiez lesquels de vos produits et services sont des produits connectés au sens du texte, construisez une interface d'accès documentée qui permet aux utilisateurs de récupérer les données générées dans un format courant et lisible par machine, préparez un chemin de partage vers un tiers à des conditions équitables, et vérifiez que votre architecture cloud prend en charge l'export et le changement. Traitez la protection du secret des affaires et la sécurité comme des paramètres de conception, non comme des raisons de refuser l'accès.
Sources
Commission européenne — page de politique du Data Act et calendrier d'application (source primaire)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Bird & Bird — The EU Data Act: Where Things Stand Now