TL;DR — Dal 12 settembre 2026 scatta l’obbligo di “access by design” del Data Act (Regolamento UE 2023/2854): tutti i prodotti connessi immessi sul mercato da quella data devono essere progettati per rendere i dati grezzi e pre-processati accessibili all’utente in modo semplice, sicuro e gratuito, fin dall’origine. Non riguarda solo i grandi produttori IoT: coinvolge anche PMI che integrano sensori, macchinari connessi o dispositivi smart nei propri prodotti.
Qualche mese fa un cliente che produce macchinari per l’agricoltura di precisione mi ha mostrato con orgoglio il nuovo modello dotato di sensori IoT: raccoglieva dati su umidità del terreno, consumo carburante, ore di utilizzo. Bellissimo, gli ho detto — poi gli ho chiesto: “e l’agricoltore che lo compra, può accedere a quei dati direttamente, senza passare dal vostro portale a pagamento?” Silenzio. Non ci aveva pensato, e onestamente nemmeno io mi ero mai posto la domanda in questi termini prima di studiare il Data Act. Dal 12 settembre 2026 non è più una scelta di prodotto: è un obbligo di progettazione, e vale la pena capirlo prima che diventi un problema di conformità dell’ultimo minuto.
Cos’è il Data Act e perché il 12 settembre 2026 è una data spartiacque
Il Data Act, formalmente Regolamento (UE) 2023/2854, è il regolamento europeo che stabilisce norme armonizzate sull’accesso equo ai dati generati da prodotti connessi e servizi correlati, pubblicato in Gazzetta Ufficiale UE il 22 dicembre 2023 ed entrato in vigore l’11 gennaio 2024 (EUR-Lex, 2023; Commissione Europea, digital-strategy.ec.europa.eu). La gran parte delle disposizioni è già applicabile dal 12 settembre 2025: da quella data gli utenti hanno il diritto di accedere ai dati generati dall’uso di un prodotto connesso, anche condividendoli con terzi di loro scelta.
Il 12 settembre 2026 introduce però un passaggio ulteriore e più stringente: l’obbligo di “access by design” per i prodotti immessi sul mercato da quella data in poi. Non basta più garantire l’accesso ai dati su richiesta: bisogna progettare il prodotto — hardware, software, architettura dei dati — perché quell’accesso sia integrato di default, fin dalla fase di progettazione (Namirial Focus, 22 luglio 2026; Wilson Sonsini Goodrich & Rosati, 18 giugno 2026). È la differenza tra rincorrere una richiesta di accesso con un workaround manuale e avere un’interfaccia stabile pensata da subito per quello scopo.
Cosa devo garantire esattamente dal 12 settembre 2026?
Dal 12 settembre 2026 devi progettare ogni nuovo prodotto connesso in modo che i dati grezzi e pre-processati che genera siano accessibili all’utente per impostazione predefinita, in modo facile, sicuro e senza costi. L’obbligo ricade su fabbricanti e fornitori di servizi correlati (Namirial Focus, 2026), e riguarda qualunque oggetto smart: macchinari industriali, veicoli connessi, dispositivi medici, elettrodomestici intelligenti, contatori, attrezzature agricole.
Il Data Act distingue con precisione cosa deve essere condiviso e cosa può restare protetto. Lo studio legale internazionale Wilson Sonsini, in un’analisi rivolta alle imprese, spiega che dal 12 settembre 2026 i prodotti connessi immessi sul mercato dovranno essere progettati in modo che i dati siano resi disponibili agli utenti per impostazione predefinita, in modo semplice, sicuro e diretto, gratuitamente, ove pertinente e tecnicamente fattibile — una condizione che lascia alle imprese un margine di valutazione su costi, segreti commerciali, proprietà intellettuale e sicurezza (Wilson Sonsini Goodrich & Rosati, De Boel et al., 18 giugno 2026). I dati “derivati” — quelli ottenuti da elaborazioni proprietarie o algoritmi complessi — restano invece esclusi dall’obbligo di condivisione automatica, a tutela del know-how industriale.
| Obbligo | A carico di | Decorrenza |
|---|---|---|
| Accesso ai dati su richiesta dell’utente | Titolare dei dati / fabbricante | Già in vigore dal 12 settembre 2025 |
| Progettazione “access by design” per nuovi prodotti | Fabbricanti e fornitori di servizi correlati | Dal 12 settembre 2026 |
| Divieto di tariffe di uscita (“switching charges”) per il cloud | Fornitori di servizi cloud (IaaS/PaaS/SaaS) | Dal 12 gennaio 2027 |
Come si concilia l’obbligo di accesso ai dati con la tutela dei segreti commerciali?
Il Data Act protegge i segreti commerciali attraverso un regime a tre livelli progressivi che il titolare dei dati può attivare quando la condivisione mette a rischio informazioni riservate o la sicurezza dei sistemi (Namirial Focus, 2026). Non è un obbligo di apertura totale e incondizionata: la norma bilancia esplicitamente il diritto di accesso dell’utente con la protezione della proprietà intellettuale.
In pratica, il titolare può prima concordare con l’utente misure tecniche e contrattuali proporzionate (accordi di riservatezza, protocolli di accesso); se non si trova un accordo, o in caso di violazione o vulnerabilità rilevata, può bloccare o sospendere la condivisione, notificando per iscritto l’utente e l’autorità competente; in circostanze eccezionali, dimostrando un rischio concreto di grave danno economico, può rifiutare la trasmissione di dati specifici caso per caso. Nella mia esperienza con clienti che gestiscono impianti industriali connessi, questo è il punto che genera più incomprensioni: molti produttori temono di dover “regalare” il proprio know-how, quando in realtà la norma protegge esplicitamente le inferenze proprietarie, limitandosi ai dati grezzi e pre-processati.
Cosa cambia per chi usa servizi cloud in parallelo a questo obbligo?
Per chi usa servizi cloud, il Data Act introduce in parallelo l’obbligo di facilitare il cambio di fornitore, eliminando progressivamente gli ostacoli tecnici e contrattuali alla portabilità: dal 12 gennaio 2027 i fornitori di servizi di trattamento dati (IaaS, PaaS, SaaS) non potranno più applicare tariffe di uscita (“switching charges”) per il passaggio dei dati verso un altro provider (Agenda Digitale, D. Fulco, 2025; Agenda Digitale, C. Caldarola, 2026).
Il 2026, tra la scadenza di settembre sull’accesso ai dati IoT e quella di gennaio 2027 sul cloud switching, è quindi la finestra in cui allineare contemporaneamente roadmap di prodotto, contratti con i fornitori cloud e architettura tecnica. Chi gestisce infrastrutture cloud aziendali farebbe bene a verificare fin da ora, nei contratti in essere, l’esistenza di un piano di uscita chiaro e di clausole sulla portabilità dei dati — lo stesso principio di resilienza e continuità che ho trattato parlando di backup e resilienza cloud contro il rischio ransomware.
Implicazioni pratiche per le PMI italiane
Per una PMI italiana che produce, integra o vende dispositivi connessi — macchinari, sensori IoT, apparecchiature agricole o industriali — l’obbligo del 12 settembre 2026 richiede un cambio di prospettiva: l’accesso ai dati non è più un servizio commerciale opzionale da negoziare caso per caso, ma un requisito di progettazione che va integrato fin dalla prima release del prodotto. Tre azioni concrete nelle prossime settimane: primo, verificare se i prodotti in sviluppo destinati al lancio dopo il 12 settembre 2026 hanno già un’interfaccia di accesso ai dati (API documentata, non un semplice export manuale o un report PDF); secondo, distinguere chiaramente nei processi interni i dati grezzi/pre-processati (da condividere) dalle inferenze proprietarie (tutelabili); terzo, se si usano servizi cloud critici, avviare già ora una verifica dei contratti in vista dell’abolizione delle tariffe di uscita da gennaio 2027.
Va segnalato anche un elemento di incertezza normativa a livello italiano: gli Stati membri avrebbero dovuto istituire l’autorità nazionale competente e notificare il regime sanzionatorio alla Commissione UE entro il 12 settembre 2025, ma “l’Italia non ha ancora fatto nessuna delle due cose” secondo un’analisi giuridica pubblicata su Agenda Digitale, esponendo il Paese a una possibile procedura d’infrazione (Agenda Digitale, D. Fulco, 22 settembre 2025). La stessa lacuna — assenza dell’autorità di supervisione generale e dell’apparato sanzionatorio, fatta salva la parte già coperta dalla normativa privacy — è confermata anche da un’analisi giuridica pubblicata su ItaliaOggi il giorno stesso dell’entrata in applicazione del regolamento (ItaliaOggi, A. Ciccia Messina, 11 settembre 2025). Una fonte aggiornata al 17 giugno 2026 conferma che il decreto legislativo italiano di attuazione delle disposizioni sanzionatorie del Data Act è ancora “in corso di adozione”, senza indicare una data di conclusione (privacy-legale.it, aggiornato al 17 giugno 2026). [VERIFY: se il decreto legislativo italiano di attuazione del Data Act (sanzioni + autorità competente) risulti concluso dopo il 17 giugno 2026 – fonte: Gazzetta Ufficiale / MIMIT, verificare eventuale pubblicazione tra giugno e settembre 2026]
FAQ
Il Data Act si applica solo ai grandi produttori IoT?
No. L’obbligo riguarda qualunque fabbricante o fornitore di servizi correlati che immetta sul mercato un prodotto connesso dopo il 12 settembre 2026, incluse le PMI che integrano sensori o componenti smart nei propri macchinari, veicoli o dispositivi.
Devo condividere anche i dati elaborati con algoritmi proprietari?
No. Il Data Act distingue i dati grezzi e pre-processati, soggetti all’obbligo di accesso, dalle informazioni derivate da elaborazioni complesse o algoritmi proprietari, che restano escluse dall’obbligo di condivisione automatica a tutela del know-how industriale.
Cosa succede se non progetto il prodotto con accesso ai dati integrato dal 12 settembre 2026?
Il prodotto rischia di non essere conforme al Regolamento (UE) 2023/2854, esponendo l’azienda a sanzioni definite dalle autorità competenti nazionali, oltre al rischio di contestazioni da parte di utenti che si vedono negare un diritto di accesso previsto dalla norma europea.
Il Data Act riguarda anche i contratti con i fornitori cloud?
Sì. In parallelo all’obbligo sui prodotti connessi, il Data Act impone ai fornitori di servizi cloud di facilitare il cambio di provider, con l’abolizione delle tariffe di uscita (switching charges) a partire dal 12 gennaio 2027.
Conclusioni
Il 12 settembre 2026 non fa rumore quanto altre scadenze normative più mediatiche di questi mesi, ma cambia silenziosamente il modo in cui va progettato qualsiasi prodotto connesso venduto in Europa da quella data in poi. Nella mia esperienza, il rischio più concreto per le PMI italiane non è ignorare la norma — ormai se ne parla da tempo negli ambienti giusti — ma sottovalutarne la portata tecnica: “dare accesso ai dati” non significa aggiungere un export manuale all’ultimo momento, significa ripensare l’architettura del prodotto perché quell’accesso sia stabile, sicuro e gratuito fin dal disegno. Chi progetta oggi un dispositivo connesso da lanciare dopo settembre ha ancora il tempo per farlo bene; chi aspetta l’ultimo trimestre del 2026 rischia di scoprire il problema quando il prodotto è già in produzione.
Riferimenti
Fonti verificate al 2 settembre 2026.
- [A] Parlamento europeo e Consiglio dell’Unione europea (2023, 13 dicembre). Regolamento (UE) 2023/2854 riguardante norme armonizzate sull’accesso equo ai dati e sul loro utilizzo (Data Act). EUR-Lex. Pubblicato in GU UE il 22/12/2023.
- [A] Commissione Europea (2026). Normativa sui dati (Data Act). digital-strategy.ec.europa.eu/it/policies/data-act.
- [B] Focus Namirial (2026, 22 luglio). Data Act e dati personali: obblighi per le imprese dal 12 settembre 2026. focus.namirial.com.
- [B] De Boel, L., Brodahl, L., Olsen, C. N., Moszynski, Y. (2026, 18 giugno). EU Data Act September 2026 Deadline: What Businesses Need to Know. Wilson Sonsini Goodrich & Rosati, wsgr.com.
- [B] Caldarola, C. (2026, 6 maggio). Accesso ai dati e Data Act: guida a obblighi, imprese e scadenze. Agenda Digitale.
- [B] Fulco, D. (2025, 22 settembre). Data Act: la guida pratica per capirlo e applicarlo. Agenda Digitale.
- [B] Ciccia Messina, A. (2025, 11 settembre). Dati, c’è un bug nel Data Act. Scatta dal 12/9. Senza sanzioni e autorità. ItaliaOggi.
- [B] privacy-legale.it (2026, aggiornato al 17 giugno). Data Act (Reg. UE 2023/2854): Obblighi per Aziende Tech e IoT.
- [C] Borio, L. / Argos New Dreams (2025, 27 giugno). Azure Backup Enhanced Policy: la resilienza cloud che anticipa i ransomware (fonte autobiografica, continuità sul tema resilienza/cloud).
Trasparenza sull’uso dell’intelligenza artificiale
Questo articolo è stato redatto con l’assistenza di un sistema di intelligenza artificiale generativa (Claude Sonnet 5, tramite l’agente Argos Newsroom su Microsoft Copilot Studio) per la ricerca delle fonti, la strutturazione e la prima stesura. Il testo è stato successivamente verificato, corretto e approvato da un autore umano, Luca Borio, che ne detiene la responsabilità editoriale ai sensi dell’art. 50 del Regolamento (UE) 2024/1689. Dati, citazioni e link sono stati controllati sulle fonti originali indicate. Eventuali errori residui sono miei.
⚠️ Nessuna consulenza professionale
Questo contenuto ha finalità divulgativa e informativa. Non costituisce consulenza legale, fiscale, sanitaria, finanziaria o giuslavoristica, né sostituisce il parere di un professionista abilitato. Le norme citate sono riportate nella versione vigente alla data di pubblicazione e possono essere modificate: verifica sempre il testo aggiornato sulle fonti ufficiali (per il diritto italiano, Normattiva — https://www.normattiva.it ; per l’AI Act, il portale ufficiale UE — https://artificialintelligence-act.ec.europa.eu/ ). Per la valutazione di un caso concreto rivolgiti a un professionista.
Rispondi