La risposta breve
Dal 12 settembre 2026 il Data Act UE impone che i nuovi prodotti connessi e servizi correlati immessi sul mercato dell'Unione siano progettati in modo che gli utenti possano accedere ai propri dati per impostazione predefinita. L'articolo 3, paragrafo 1, del regolamento (UE) 2023/2854 stabilisce che i dati del prodotto e dei servizi correlati — insieme ai metadati necessari a interpretarli — debbano essere «facilmente, in modo sicuro e gratuito» accessibili all'utente, in un «formato strutturato, di uso comune e leggibile dalla macchina», e direttamente accessibili ove tecnicamente fattibile. In termini di ingegneria, è un'esportazione o un'API documentata, non un ticket di assistenza. L'obbligo vincola chiunque immetta prodotti sul mercato dell'UE, quindi un fornitore statunitense o britannico che vende hardware connesso o un servizio correlato in Europa rientra pienamente nell'ambito, e allineare la conformità ai dati UE con la costruzione è ora parte del rilascio del prodotto.
In pratica: se producete hardware connesso, sensori IoT, dispositivi indossabili, veicoli connessi, dispositivi industriali o medici, o i servizi cloud che li animano, l'accesso ai dati è ora una funzionalità del prodotto da progettare a monte — prima della spedizione del dispositivo, non dopo il reclamo di un utente. Il regolamento stesso si applica dal 12 settembre 2025; la data del 2026 è quella che lo trasforma in codice da scrivere.
Cosa cambia il 12 settembre 2026?
Il Data Act è la legge orizzontale dell'Unione su chi può accedere ai dati generati dai prodotti connessi e dai servizi correlati e utilizzarli. La maggior parte delle sue disposizioni si applica dal 12 settembre 2025. Ma l'obbligo più impegnativo sul piano ingegneristico è stato deliberatamente rinviato di un anno per dare ai fabbricanti il tempo di costruirlo: l'obbligo di accesso fin dalla progettazione dell'articolo 3, paragrafo 1, che si applica ai prodotti connessi e ai servizi correlati immessi sul mercato dell'UE dopo il 12 settembre 2026.
Finora il Data Act diceva ai titolari dei dati soprattutto cosa fare quando un utente chiede i dati. Da questa scadenza, detta anche come il prodotto deve essere costruito fin dall'origine. Una macchina da caffè connessa, un box telematico di flotta, un robot di fabbrica, un misuratore di glicemia o un termostato intelligente lanciato nell'UE dopo tale data deve essere consegnato con la capacità di restituire i dati all'utente già progettata. Ciò trasforma la compliance, da una revisione legale a un problema di consegna hardware più software — ecco perché ricade tanto sui team di ingegneria embedded e prodotti connessi quanto sull'ufficio legale.
La portata è ampia e deliberatamente extraterritoriale. L'obbligo si applica a qualsiasi fabbricante di prodotti connessi e a qualsiasi fornitore di servizi correlati che li immette sul mercato dell'UE — indipendentemente da dove è stabilito. Una start-up statunitense di dispositivi indossabili, un costruttore giapponese di apparecchiature industriali o un fornitore SaaS britannico il cui servizio è un «servizio correlato» a un dispositivo connesso rientrano tutti nell'ambito nel momento in cui vendono in Europa. I titolari dei dati non UE che offrono servizi correlati nell'Unione devono inoltre designare un rappresentante legale nell'UE.
Cosa richiede davvero l'«accesso fin dalla progettazione»
L'articolo 3, paragrafo 1, fissa il principio predefinito. I prodotti connessi e i servizi correlati devono essere progettati e fabbricati in modo che i dati del prodotto e dei servizi correlati — insieme ai metadati necessari a interpretarli e utilizzarli — siano, per impostazione predefinita, «facilmente, in modo sicuro e gratuito» accessibili all'utente. I dati devono essere in un «formato strutturato, di uso comune e leggibile dalla macchina» e, «ove pertinente e tecnicamente fattibile», direttamente accessibili all'utente. Leggetelo come una specifica: un endpoint o un'esportazione di dati documentato e autenticato — non un PDF, non un numero letto a schermo, non un CSV inviato via e-mail tre settimane dopo su richiesta.
L'ambito dei dati è preciso. Copre i dati grezzi e pre-elaborati prontamente disponibili presso il titolare, più i metadati necessari a dar loro senso. Non vi costringe a cedere analisi fortemente arricchite o dedotte, né contenuti protetti da proprietà intellettuale — il valore che aggiungete sul segnale grezzo resta vostro. Tracciare bene questo confine è una decisione di modellazione dei dati: dovete sapere quali campi sono «dati del prodotto prontamente disponibili» e quali sono derivazioni proprietarie, ed esporre i primi in modo pulito tramite un'API di accesso ai dati senza lasciar trapelare le seconde.
L'articolo 4 tratta il caso in cui l'accesso diretto integrato non sia tecnicamente fattibile: il titolare dei dati deve allora renderli disponibili all'utente su semplice richiesta elettronica, senza indebito ritardo e gratuitamente. L'articolo 5 va oltre — su istruzione dell'utente, il titolare deve condividere i dati con un terzo designato (un riparatore, un fornitore di analytics, un servizio post-vendita concorrente) a condizioni eque, ragionevoli e non discriminatorie. I gatekeeper designati ai sensi del Digital Markets Act sono esclusi come destinatari terzi ammissibili. Il filo conduttore: l'utente, sia esso consumatore o cliente business, controlla dove vanno i suoi dati di prodotto, e la vostra architettura deve rendere reale questo controllo.
Cosa significa per i team software italiani
Primo, la portabilità dei dati è ora un requisito di prodotto, non un optional. Per anni i team di prodotti connessi hanno trattato la telemetria generata da un dispositivo come un asset privato chiuso nel cloud del fornitore. Il Data Act inverte questo principio: l'utente ha un diritto sui dati prontamente disponibili che il suo dispositivo produce, in una forma che una macchina possa effettivamente consumare. Se la vostra roadmap per i prodotti destinati all'UE non prevede un'esportazione o un'API documentata, la scadenza ne ha appena aggiunta una.
Secondo, la parte difficile è il modello dati, non l'endpoint. Mettere in piedi un'API è ingegneria di routine. Decidere esattamente quali campi sono «dati del prodotto prontamente disponibili» da esporre, rispetto ai dati arricchiti o dedotti che avete diritto di conservare, è dove i team si bloccano — ed è una decisione che tocca insieme firmware, storage cloud, analytics e legale. I prodotti progettati con una netta separazione tra segnale grezzo e analytics a valore aggiunto si mettono in regola a basso costo; quelli in cui tutto è intrecciato in un unico blocco proprietario affrontano un costoso adeguamento a posteriori.
Terzo, i fornitori statunitensi non ne escono liberi. L'obbligo segue il mercato dell'UE, non la sede dell'azienda, quindi «siamo un'azienda statunitense» non è una difesa per un dispositivo venduto a Milano o a Berlino. E quando i dati di prodotto sono anche personali, il GDPR continua ad applicarsi in aggiunta — vi serve comunque una base giuridica, la limitazione della finalità e la sicurezza per qualsiasi dato personale che esponete o condividete. Il Data Act aggiunge un livello di accesso e portabilità; non sostituisce il diritto alla privacy. I team che costruiscono un unico livello di accesso ai dati ben governato — autenticato, registrato, consapevole del consenso, a formato stabile — soddisfano entrambi i regimi in una volta invece di improvvisare risposte separate a ogni richiesta.
Cosa fare ora
- Inventariate i vostri prodotti connessi e servizi correlati destinati all'UE. Mappate quali referenze e servizi saranno immessi sul mercato dell'UE dopo il 12 settembre 2026 — sono quelli che dovranno essere consegnati con l'accesso fin dalla progettazione. I prodotti già in commercio sono trattati diversamente, quindi la data di lancio conta.
- Classificate i vostri dati. Per ogni prodotto, separate i dati grezzi e pre-elaborati prontamente disponibili (nell'ambito) dai dati arricchiti, dedotti o protetti da PI (fuori ambito). Catturate i metadati che un utente servirebbe per interpretare ogni campo. Questa classificazione è la base su cui poggia tutto il resto.
- Progettate il percorso di accesso. Costruite un'API di esportazione dati documentata e autenticata, o un accesso integrato nel prodotto, che restituisca i dati in un formato strutturato, di uso comune e leggibile dalla macchina. Aggiungete il ripiego dell'articolo 4 (dati su semplice richiesta elettronica) e il flusso dell'articolo 5 (condivisione con un terzo designato dall'utente a condizioni eque).
- Integrate identità, consenso e registrazione. Dovete confermare chi è l'utente, onorare le sue istruzioni sulla condivisione a terzi, mantenere i dati personali conformi al GDPR e registrare gli accessi per l'audit. Trattateli come parti a pieno titolo della funzionalità, non come ripensamenti.
- Rivedete i vostri contratti e le condizioni. Le clausole contrattuali inique che bloccano l'accesso ai dati o lo sovrafatturano sono inopponibili ai sensi del Data Act. Verificate ora le clausole di licenza, garanzia e dati, e designate un rappresentante legale nell'UE se siete un titolare dei dati non UE che offre servizi correlati nell'Unione.
Domande frequenti
Qual è la scadenza per l'accesso fin dalla progettazione del Data Act UE?
Dal 12 settembre 2026 l'articolo 3, paragrafo 1, del Data Act UE (regolamento (UE) 2023/2854) impone che i prodotti connessi e i servizi correlati immessi sul mercato dell'Unione siano progettati in modo che, per impostazione predefinita, i dati del prodotto e dei servizi correlati — più i metadati necessari a interpretarli — siano facilmente, in modo sicuro e gratuito accessibili all'utente, in un formato strutturato, di uso comune e leggibile dalla macchina, e direttamente accessibili ove tecnicamente fattibile. L'obbligo riguarda i prodotti immessi sul mercato dopo tale data; il regolamento stesso si applica dal 12 settembre 2025.
Quali prodotti e servizi rientrano nell'ambito?
I prodotti connessi — qualsiasi oggetto fisico che ottiene, genera o raccoglie dati sul proprio uso o ambiente e può trasmetterli, come elettrodomestici intelligenti, dispositivi indossabili, dispositivi medici, veicoli connessi, macchinari industriali e agricoli e sensori IoT — oltre ai servizi digitali che li fanno funzionare (servizi correlati). Si applica ai dati grezzi e pre-elaborati prontamente disponibili, con i metadati necessari al loro uso; esclude i dati fortemente arricchiti o dedotti e i contenuti protetti da PI.
Il Data Act si applica ai fabbricanti statunitensi e non UE?
Sì. L'obbligo di accesso fin dalla progettazione si applica a qualsiasi fabbricante di prodotti connessi, o fornitore di servizi correlati, che li immette sul mercato dell'UE, indipendentemente da dove è stabilito. Un'azienda statunitense, britannica o asiatica che vende nell'UE rientra nell'ambito. I titolari dei dati non UE che offrono servizi correlati nell'UE devono inoltre nominare un rappresentante legale nell'Unione.
Quali dati devono essere condivisi e in quale formato?
I dati del prodotto e dei servizi correlati prontamente disponibili, più i metadati per interpretarli, in un formato strutturato, di uso comune e leggibile dalla macchina — in pratica un'API o un'esportazione documentata. Quando l'accesso diretto non è fattibile, l'articolo 4 impone di fornirli su semplice richiesta elettronica, senza indebito ritardo e gratuitamente. Ai sensi dell'articolo 5, l'utente può indirizzare la condivisione a un terzo designato a condizioni eque; i gatekeeper DMA sono esclusi come destinatari.
In cosa il Data Act differisce dal GDPR?
Il GDPR disciplina i dati personali e attribuisce alle persone diritti su di essi. Il Data Act è più ampio: copre i dati generati dai prodotti connessi, personali o meno, e concede diritti di accesso e portabilità all'utente — che può essere un cliente business. Quando i dati del prodotto sono anche personali, il GDPR continua ad applicarsi in aggiunta. Considerate il Data Act un obbligo di ingegneria e contrattuale su chi ottiene quali dati del prodotto, e in quale forma; il GDPR disciplina ancora il trattamento lecito di eventuali dati personali coinvolti.
Fonti
EUR-Lex — Regolamento (UE) 2023/2854 (Data Act)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Wilson Sonsini — EU Data Act September 2026 Deadline: What Businesses Need to Know