Gigi Beltrame

Data Act 2026: access by design rivoluziona i prodotti connessi

Dal 12/09/2026 i dati dei dispositivi IoT devono essere disponibili in formato leggibile e gratuito

Il Data Act (Regolamento UE 2023/2854) è entrato in vigore il 12 settembre 2025. Da quella data, per tutti i prodotti connessi e i servizi correlati immessi sul mercato, l'art. 3, par.1 introduce il principio di access by design. In pratica, i dati generati dall'uso di un dispositivo dovranno essere messi a disposizione dell'utente in modo predefinito, gratuito, sicuro, completo, strutturato, in un formato comune e leggibile da macchine. Quando la tecnologia lo consente, l'accesso dovrà avvenire direttamente, senza dover attendere richieste specifiche.
Il requisito di access by design si sovrappone al principio di privacy by design già sancito dal GDPR. La sfida per le imprese è trovare un equilibrio tra accessibilità, sicurezza e tutela dei dati personali, coordinando misure tecniche e organizzative per garantire la conformità sia dal punto di vista tecnologico sia normativo.

Le aziende dovranno affrontare diverse attività operative, che coinvolgono vari dipartimenti:

- Progettare modalità di accesso ai dati fin dalla fase di sviluppo.
- Predisporre formati machine-readable per garantire la leggibilità automatica.
- Mappare tecnicamente i dati generati da prodotti e servizi.
- Redigere informative precontrattuali chiare per gli utenti.
- Gestire le richieste di accesso ai dati secondo le nuove disposizioni.
Inoltre, a partire dall'11 settembre 2026, il Cyber Resilience Act (CRA) imporrà obblighi di segnalazione relativi a vulnerabilità sfruttate attivamente e incidenti gravi che coinvolgono prodotti digitali. Questo rafforza il legame tra governance dei dati, cybersecurity e compliance.

Per supportare le imprese, il 6 ottobre 2026 è previsto il Cyber Lab, workshop pratico rivolto a professionisti di cybersecurity e compliance, con focus su NIS2, DORA, Modello Organizzativo Cyber e Procedure di Gestione degli Incidenti, elementi chiave per adempiere ai requisiti del CRA. Parallelamente, sarà lanciata la Data Act Academy, un percorso formativo per Legal, Compliance, DPO, IT, Cybersecurity, Data Governance, Procurement, Product e Management. L'obiettivo è guidare le organizzazioni dalla teoria alla pratica, attraverso mappatura dei dati, self-assessment, analisi contrattuale, modelli di governance integrata e roadmap di adeguamento.
In sintesi, il Data Act non si limita a garantire l'accesso ai dati, ma ridefinisce la progettazione di prodotti e servizi, spingendo le imprese a creare valore in un ecosistema sempre più interconnesso.