Per molti anni abbiamo comprato oggetti capaci di raccogliere una quantità considerevole di informazioni senza acquistare, insieme all’oggetto, un accesso effettivo ai dati che contribuivamo a generare. L’automobile registrava parametri di guida e informazioni diagnostiche; lo smartwatch misurava attività, sonno e funzionamento del dispositivo; la macchina industriale comunicava al produttore prestazioni, consumi e anomalie; l’elettrodomestico connesso sapeva come veniva utilizzato, mentre il proprietario poteva al massimo consultare qualche grafico scelto dal fabbricante.
Il prodotto era nostro, i dati molto meno.
Il Data Act, il Regolamento (UE) 2023/2854, prova a modificare questo equilibrio. La disciplina è applicabile, nella sua parte principale, dal 12 settembre 2025; c’è però una scadenza ulteriore che rischia di passare inosservata e che riguarda direttamente la progettazione dei prodotti. L’obbligo previsto dall’articolo 3, paragrafo 1, si applicherà ai prodotti connessi e ai servizi a essi correlati immessi sul mercato dopo il 12 settembre 2026.
Non è dunque corretto affermare che il Data Act entrerà in vigore quel giorno, perché il regolamento già produce effetti. Da quella data diventerà applicabile, rispetto ai nuovi prodotti, un obbligo molto specifico: prodotti e servizi dovranno essere concepiti affinché i dati generati dal loro utilizzo, insieme ai metadati necessari per interpretarli, siano accessibili all’utente per impostazione predefinita, facilmente, in modo sicuro e gratuito, in un formato completo, strutturato, di uso comune e leggibile automaticamente. Quando sia pertinente e tecnicamente possibile, l’accesso dovrà essere diretto.
Dietro una formula apparentemente lineare si nasconde un cambiamento industriale piuttosto profondo. Il legislatore europeo non chiede soltanto che il produttore consegni i dati quando riceve una richiesta; pretende che la possibilità di accedervi sia stata considerata mentre il prodotto veniva progettato. Una piattaforma improvvisata dopo la commercializzazione, un file incomprensibile inviato dall’assistenza clienti o una clausola che promette genericamente la disponibilità dei dati difficilmente potranno compensare un’architettura costruita per conservarli in un ambiente chiuso e accessibile soltanto al fabbricante.
La nozione di prodotto connesso è abbastanza ampia da raggiungere una parte consistente dell’economia. Vi rientrano gli oggetti capaci di ottenere, generare o raccogliere dati relativi al proprio utilizzo, alle proprie prestazioni o all’ambiente circostante e di comunicarli mediante una connessione elettronica, un collegamento fisico oppure un accesso sul dispositivo. La Commissione europea richiama automobili, apparecchi domestici intelligenti e macchinari industriali; il regolamento comprende, più in generale, infrastrutture, dispositivi medici, prodotti per la salute, attrezzature agricole e beni di consumo.
L’utente può essere un consumatore, un’impresa o un’amministrazione pubblica che possieda il prodotto, lo utilizzi in leasing o in locazione oppure usufruisca del servizio correlato. Questo aspetto è importante perché il Data Act non disciplina soltanto il rapporto, più familiare, tra una piattaforma e un interessato. Interviene anche nei rapporti tra imprese: un’azienda che utilizza una macchina industriale può avere interesse a trasferirne i dati a un manutentore indipendente, a confrontare le prestazioni di più impianti o a sviluppare servizi che il produttore non aveva previsto.
Neppure la parola “dati”, tuttavia, deve essere letta come se comprendesse indistintamente qualsiasi informazione posseduta dal fabbricante. La disciplina riguarda i dati relativi al prodotto e al servizio connesso, con esclusione dei contenuti; comprende le informazioni grezze e quelle sottoposte a una prima elaborazione necessaria per renderle comprensibili, mentre lascia fuori, in linea generale, le informazioni inferite o derivate attraverso investimenti ulteriori, specialmente quando il risultato dipenda da algoritmi proprietari complessi. L’utente può ottenere il dato sul funzionamento della macchina; non acquisisce automaticamente ogni analisi predittiva sviluppata dal produttore sulla base di quel dato.
La distinzione sarà meno semplice nella pratica di quanto appaia sulla carta. Separare il dato generato dal prodotto dall’informazione derivata richiede di conoscere l’architettura del sistema, i passaggi di elaborazione e il valore aggiunto prodotto da ciascun algoritmo. Definire tutto come “dato derivato” per sottrarlo all’accesso sarebbe una scorciatoia difficilmente sostenibile; consegnare senza alcuna selezione l’intero patrimonio informativo dell’impresa esporrebbe, al contrario, segreti industriali, diritti di terzi e informazioni estranee alla richiesta.
Anche la protezione dei segreti commerciali è costruita come un bilanciamento, non come una formula magica con la quale chiudere la porta. Il titolare deve identificare i dati protetti e può concordare con l’utente misure proporzionate di riservatezza: accordi, protocolli di accesso, standard tecnici e limitazioni alla successiva divulgazione. La condivisione può essere sospesa quando tali garanzie non vengano concordate o rispettate. Il rifiuto vero e proprio resta confinato a circostanze eccezionali, nelle quali il titolare del segreto sia in grado di dimostrare, sulla base di elementi oggettivi, l’elevata probabilità di un grave danno economico nonostante le misure adottate; la decisione deve essere motivata per iscritto e comunicata all’autorità competente.
La sicurezza segue una logica simile. Il Data Act impone che l’accesso avvenga in modo sicuro e consente alle parti di limitare contrattualmente l’accesso, l’utilizzo o la condivisione quando queste attività possano compromettere requisiti di sicurezza stabiliti dal diritto europeo o nazionale, producendo gravi conseguenze negative per la salute, l’incolumità o la sicurezza delle persone. La soglia è significativa. Non basta invocare un generico rischio informatico oppure sostenere che ogni apertura del sistema aumenti astrattamente la superficie di attacco.
Questo non rende il problema meno concreto. Un’interfaccia destinata all’esportazione continua o in tempo reale dei dati può diventare un nuovo punto di ingresso; credenziali deboli possono consentire l’accesso a informazioni di altri utenti; un sistema privo di separazione tra funzioni di consultazione e comandi operativi può trasformare il diritto di leggere un dato nella possibilità di alterare il funzionamento del prodotto. Autenticazione, autorizzazioni, cifratura, segregazione, registrazione degli accessi e gestione delle anomalie non sono dettagli da aggiungere quando arriverà la prima richiesta: costituiscono una parte dell’obbligo di rendere i dati accessibili in maniera sicura.
È qui che il Data Act incontra il Cyber Resilience Act. Il calendario rende visibile una convergenza che esiste già sul piano tecnico. Dall’11 settembre 2026 i fabbricanti dovranno applicare gli obblighi del CRA relativi alla segnalazione delle vulnerabilità attivamente sfruttate e degli incidenti gravi; per i prodotti immessi sul mercato dopo il giorno successivo diventerà applicabile l’obbligo di accessibilità per progettazione previsto dal Data Act. Le principali prescrizioni del CRA sulla sicurezza del prodotto si applicheranno pienamente dall’11 dicembre 2027, ma sarebbe poco ragionevole progettare oggi un sistema di accesso ai dati ignorando i requisiti di sicurezza che lo stesso prodotto dovrà rispettare.
Le due discipline guardano lo stesso oggetto da prospettive diverse e complementari. Il Data Act vuole impedire che il fabbricante conservi un controllo esclusivo sulle informazioni prodotte dall’utilizzo; il CRA pretende che hardware e software siano sviluppati, aggiornati e mantenuti in condizioni di sicurezza durante il loro ciclo di vita. L’interfaccia che consente all’utente di scaricare o condividere i dati deve quindi essere abbastanza aperta da rendere effettivo il suo diritto e abbastanza robusta da non trasformarsi in una vulnerabilità. L’apertura e la sicurezza devono essere progettate insieme, perché correggere l’una dopo avere implementato l’altra produce normalmente costi maggiori e risultati peggiori.
Rimane poi il GDPR. I dati di un’automobile, di un dispositivo medico o di uno smartwatch possono riguardare persone fisiche; lo stesso accade con i dati prodotti da un macchinario utilizzato da lavoratori identificabili. Il Data Act non elimina la distinzione tra dati personali e non personali, non attribuisce al titolare una nuova base giuridica per raccoglierli e non consente di ignorare gli articoli 6 e 9 del GDPR. Quando l’utente del prodotto non coincide con l’interessato — si pensi al datore di lavoro che richiede informazioni generate dall’attività di un dipendente oppure al gestore di una flotta rispetto ai dati dei conducenti — l’accesso dovrà poggiare su una base giuridica valida e rispettare i diritti delle persone coinvolte.
In caso di conflitto prevale la disciplina sulla protezione dei dati personali. Questo comporta la necessità di distinguere le informazioni, limitare gli accessi, anonimizzare quando possibile e stabilire chi operi come titolare, responsabile o eventuale contitolare. La circostanza che un’informazione debba essere tecnicamente accessibile non significa che chiunque possa utilizzarla per qualsiasi finalità.
Il lavoro da svolgere prima di settembre, pertanto, non appartiene a una sola funzione aziendale. Occorre individuare i prodotti interessati e i servizi che ne condizionano il funzionamento; ricostruire quali dati vengano generati, dove siano conservati e quali elaborazioni subiscano; distinguere dati personali, dati non personali, metadati e segreti commerciali; definire le modalità di autenticazione e autorizzazione; verificare formati, interfacce, tempi di disponibilità e registri degli accessi. Informative, contratti e procedure di risposta dovranno riflettere ciò che il prodotto è effettivamente in grado di fare, senza promettere accessi inesistenti o inventare limitazioni che il regolamento non consente.
Per anni la disponibilità dei dati è stata trattata come una conseguenza commerciale della tecnologia: il produttore decideva quali informazioni mostrare, in quale formato e attraverso quale servizio. Il Data Act rovescia l’impostazione. Per i nuovi prodotti connessi l’accessibilità diventa una caratteristica giuridicamente richiesta, al pari delle altre decisioni che ne determinano il funzionamento.
La scatola nera può continuare a contenere tecnologia proprietaria, algoritmi e segreti meritevoli di protezione; non può più pretendere che tutto ciò che registra le appartenga soltanto perché l’utente non dispone della chiave per aprirla.