La risposta breve
Dal 12 settembre 2026 il Data Act UE impone che i nuovi prodotti connessi e i relativi servizi immessi sul mercato dell'UE siano progettati in modo che gli utenti possano accedere ai dati che generano in modo diretto, agevole e sicuro. Il diritto degli utenti di ottenere e condividere i propri dati esiste dall'entrata in applicazione del testo, il 12 settembre 2025; ciò che arriva ora è l'obbligo più stringente — l'articolo 3, paragrafo 1 — secondo cui l'accesso deve essere integrato nel prodotto stesso.
Se costruite dispositivi IoT, macchinari industriali o il firmware e le app companion che li collegano, trattatelo come una scadenza di progettazione, non come una nota a piè di pagina legale. Un percorso di accesso ai dati che deve esistere per impostazione predefinita non può essere aggiunto la settimana prima del lancio.
Cosa cambia davvero il 12 settembre
Il Data Act (regolamento (UE) 2023/2854) è entrato in vigore l'11 gennaio 2024 ed è divenuto applicabile il 12 settembre 2025. La maggior parte dei diritti rivolti agli utenti — il diritto di accedere ai dati che un prodotto genera e di farli condividere con un terzo di propria scelta — è attiva da allora. La tappa del 12 settembre 2026 aggiunge la parte che i fabbricanti non possono risolvere con un documento di policy: l'obbligo, all'articolo 3, paragrafo 1, che prodotti e servizi correlati siano progettati e fabbricati in modo che i dati pertinenti siano, per impostazione predefinita, accessibili all'utente in modo agevole, sicuro e, ove opportuno, diretto.
La distinzione conta. Un diritto di accesso che un'azienda soddisfa tramite un ticket di supporto e un'esportazione manuale è un flusso di lavoro. Un prodotto che deve essere costruito perché l'utente raggiunga i propri dati è una specifica di ingegneria — che tocca firmware, API, formati di dati, autenticazione e documentazione. Per prodotti con lunghi cicli di progettazione hardware, una data di applicazione a settembre 2026 significa che le decisioni si stanno fissando ora, su schede e in schemi che verranno rilasciati l'anno prossimo.
Chi rientra nell'ambito — anche i team statunitensi
Un prodotto connesso, nel linguaggio del testo, è qualsiasi oggetto fisico che ottiene, genera o raccoglie dati sul proprio uso o ambiente e può comunicarli. La definizione è volutamente ampia: veicoli connessi, macchinari agricoli e industriali, dispositivi medici, elettrodomestici, dispositivi indossabili e l'ampio settore dei sensori IoT vi rientrano. I servizi correlati che fanno funzionare il prodotto — l'app mobile, il backend cloud, il livello di analisi — vengono attratti nell'ambito insieme all'hardware.
Fatto cruciale, gli obblighi si legano ai prodotti e servizi immessi sul mercato dell'UE e ai dati resi disponibili agli utenti nell'UE, non al luogo in cui il fornitore è costituito. Un'azienda statunitense o britannica che vende dispositivi intelligenti o un SaaS industriale in Europa è titolare dei dati ai sensi del testo tanto quanto un fabbricante di Milano o Brescia. Questa portata extraterritoriale spiega perché la scadenza appartiene anche alle roadmap nordamericane, e perché affianca il GDPR e il regolamento sull'IA come terzo pilastro della compliance digitale europea che i team extra-UE non possono considerare un problema altrui.
Anche l'orologio del cambio cloud sta correndo
Il Data Act non riguarda solo i dispositivi. Ridisegna anche il modo in cui i servizi di trattamento dati — fornitori di cloud ed edge — devono consentire ai clienti di andarsene. Dal 12 settembre 2025 i fornitori interessati devono supportare il cambio e la portabilità dei dati, rimuovere ostacoli irragionevoli e cooperare tecnicamente affinché un cliente possa spostare i carichi di lavoro ed esportare i dati. La stretta commerciale arriva dopo: ai sensi dell'articolo 29, i costi di cambio vengono ritirati gradualmente e sono del tutto vietati dal 12 gennaio 2027, dopodiché i fornitori potranno recuperare solo i costi diretti di un cambio in corso durante l'eventuale transizione.
Per chiunque progetti una piattaforma cloud e DevOps, il messaggio pratico è lo stesso della regola sui dispositivi: la portabilità va progettata fin dall'inizio. Verificate che i dati e la configurazione di un cliente possano davvero essere esportati in una forma utilizzabile e strutturata, che il cambio non dipenda da formati proprietari leggibili solo dal vostro stack, e che la finestra di cambio di 30 giorni prevista dal testo sia tecnicamente raggiungibile. I fornitori che hanno fatto del lock-in un modello di business lo sentiranno più di quanto le sole date suggeriscano.
Cosa significa per i team software italiani
Per i team di prodotto, l'inquadramento utile è che il Data Act trasforma l'accesso ai dati in un requisito funzionale con un test di collaudo. La domanda che un revisore — o un cliente, o un'autorità — porrà è semplice: l'utente può ottenere i dati che questo prodotto genera, in una forma utilizzabile, senza dipendere dalla vostra buona volontà? Se la risposta onesta è «non senza sviluppo», quello è il divario da colmare prima di settembre.
C'è una tensione reale da gestire, non da ignorare. Il testo tutela i segreti commerciali e consente ai titolari dei dati di applicare misure di sicurezza proporzionate, quindi aprire i dati non significa esporre modelli proprietari né consegnare ai concorrenti un progetto. Ma queste tutele sono pensate per essere circoscritte e giustificate, non usate come scusa generale per tenere tutto chiuso. I team che gestiscono bene la cosa separano i dati grezzi generati dall'utente, che devono fluire, dall'intelligenza derivata e dai segreti che possono essere protetti — e documentano questo ragionamento perché regga se contestato. Per i produttori di HealthTech e dispositivi connessi regolamentati, quella documentazione è anche ciò che il team di due diligence di un acquirente enterprise chiederà di vedere.
La lettura strategica è che la portabilità sta diventando l'impostazione predefinita europea sia sul livello dei dispositivi sia su quello del cloud. I team che costruiscono ora sistemi esportabili e interoperabili soddisferanno non solo questa scadenza ma la direzione di fondo — mentre chi punta sul lock-in continuerà a pagare una tassa di compliance a ogni nuovo obbligo.
Cosa fare prima della scadenza
Non serve un programma sconfinato. Serve un inventario breve e onesto e poche realizzazioni concrete.
- Classificate i vostri prodotti. Elencate quali dei vostri dispositivi e servizi correlati sono prodotti connessi ai sensi del testo, e quali vengono immessi sul mercato dell'UE dopo il 12 settembre 2026.
- Costruite l'interfaccia di accesso. Fornite un modo documentato e sicuro perché gli utenti ottengano i dati generati dal loro prodotto, in un formato comune e leggibile da macchina — non un'esportazione manuale dietro un desk di supporto.
- Predisponete la condivisione verso terzi. Gli utenti possono indirizzare i propri dati a un fornitore di loro scelta; assicuratevi che il percorso di condivisione esista e funzioni a condizioni eque e non discriminatorie.
- Delimitate con criterio i segreti commerciali. Decidete cosa è davvero un segreto protetto rispetto ai dati grezzi dell'utente che devono fluire, e registrate la giustificazione anziché scegliere «no» per impostazione predefinita.
- Mettete alla prova la portabilità cloud. Confermate di poter esportare dati e configurazione di un cliente in forma utilizzabile e di rispettare un cambio in 30 giorni, prima del divieto dei costi di gennaio 2027.
- Mettetelo per iscritto. Conservate traccia della classificazione, del design di accesso e delle misure di sicurezza — le prove che un'autorità o un cliente enterprise richiederà.
Questo non è un parere legale, e l'ambito esatto del testo dipende dai vostri prodotti e contratti. Ma la direzione è inequivocabile: da settembre, un prodotto connesso venduto in Europa è tenuto ad aprire i propri dati alla persona che lo usa. I team che l'hanno progettato tratteranno il 12 settembre come un rilascio ordinario; gli altri lo vivranno come una scadenza.
Domande frequenti
Cosa cambia il 12 settembre 2026 con il Data Act?
Dal 12 settembre 2026 si applicano gli obblighi di progettazione dell'articolo 3, paragrafo 1, ai prodotti connessi e ai servizi correlati immessi sul mercato dell'UE. I nuovi prodotti devono essere progettati e fabbricati in modo che gli utenti possano accedere ai dati che generano in modo diretto, agevole, sicuro e, ove pertinente, continuo e in tempo reale. Il percorso di accesso ai dati va integrato nel prodotto, non aggiunto in un secondo momento.
Quali prodotti sono considerati prodotti connessi?
Un prodotto connesso è qualsiasi oggetto fisico che ottiene, genera o raccoglie dati sul proprio uso o ambiente ed è in grado di trasmetterli. Rientrano veicoli connessi, macchinari industriali e agricoli, dispositivi medici, elettrodomestici, dispositivi indossabili e sensori IoT. Anche i servizi digitali correlati che fanno funzionare tale prodotto, come l'app companion o il backend cloud, rientrano nell'ambito.
Il Data Act UE si applica alle aziende extra-UE?
Sì. Gli obblighi si legano ai prodotti e servizi immessi sul mercato dell'UE e ai dati resi disponibili agli utenti nell'UE, indipendentemente da dove è stabilito il fabbricante o il titolare dei dati. Un'azienda statunitense o britannica che vende hardware connesso o SaaS in Europa rientra nell'ambito: ecco perché la scadenza conta ben oltre i team con sede nell'UE.
Quando entrano in vigore le regole sul cambio di fornitore cloud?
I diritti di cambio dei servizi di cloud e trattamento dati si applicano dal 12 settembre 2025, ma i costi di cambio vengono eliminati gradualmente e sono del tutto vietati dal 12 gennaio 2027. Da quella data i fornitori potranno recuperare solo i costi diretti del cambio durante una fase di transizione. I team dovrebbero progettare fin d'ora i percorsi di portabilità ed esportazione, senza attendere il divieto dei costi.
Cosa dovrebbero fare i team software prima della scadenza?
Mappate quali dei vostri prodotti e servizi sono prodotti connessi ai sensi del testo, costruite un'interfaccia di accesso documentata che consenta agli utenti di estrarre i dati generati in un formato comune e leggibile da macchina, predisponete un percorso di condivisione verso terzi a condizioni eque e verificate che l'architettura cloud supporti esportazione e cambio. Trattate la tutela del segreto commerciale e la sicurezza come vincoli di progettazione, non come motivi per negare l'accesso.
Fonti
Commissione europea — pagina di policy del Data Act e calendario di applicazione (fonte primaria)
Latham & Watkins — EU Data Act: What Businesses Need to Know
Bird & Bird — The EU Data Act: Where Things Stand Now