Data Act: cosa impone alla tua azienda dal 12 settembre 2026

Che cos'è il Data Act e perché interessa una PMI

Il Data Act ripartisce l'accesso ai dati generati dalle macchine e limita ciò che un fornitore può fare per trattenerti. Non riguarda la privacy — quella resta materia del GDPR —, riguarda chi può leggere la telemetria di un carrello elevatore, di un contatore o di un'apparecchiatura medica, e a quali condizioni puoi portare quei dati altrove.

Per un'impresa che non fabbrica prodotti connessi, il regolamento ha tre porte d'ingresso:

• Come utente di macchine connesse. Se acquisti macchinari, veicoli o apparecchiature con sensori, hai diritto ai dati che generano e a cederli a un terzo — per esempio alla tua azienda di manutenzione — anche se il fabbricante preferirebbe di no.
• Come cliente di servizi cloud. Il capo VI del regolamento impone che il tuo contratto includa clausole di uscita con termini tassativi ed elimina i costi di passaggio.
• Come parte di un contratto sui dati tra imprese. L'articolo 13 dichiara non vincolanti le clausole su accesso e uso dei dati imposte unilateralmente che risultino abusive.

La terza e la seconda riguardano chiunque abbia un gestore documentale, un ERP o una piattaforma di processi in modalità SaaS. Cioè quasi tutti.

Le date del Data Act, in una tabella

Il regolamento non è entrato in vigore tutto insieme: distribuisce i suoi obblighi su quattro tappe, due delle quali sono già passate.

Questo calendario scaglionato ha una somiglianza scomoda con quello della fattura elettronica B2B spagnola e con quello delle norme italiane sulla conservazione digitale: chi aspetta l'ultima tappa finisce per comprare di fretta.

Accesso fin dalla progettazione: cosa significa la tappa del 12 settembre 2026

Significa che un nuovo prodotto connesso deve nascere con la porta dei dati aperta. L'articolo 3, paragrafo 1, esige che i prodotti connessi siano progettati e fabbricati, e i servizi correlati progettati e prestati, in modo che i dati del prodotto e i dati del servizio correlato — compresi i metadati necessari per interpretarli — siano, per impostazione predefinita, accessibili all'utente «in modo facile e sicuro», gratuitamente, in un formato completo, strutturato, di uso comune e leggibile da macchina, e direttamente accessibili quando pertinente e tecnicamente fattibile.

Tre sfumature da non perdere di vista:

• Solo per il nuovo. L'obbligo di progettazione si applica a ciò che viene immesso sul mercato dopo il 12 settembre 2026. Il parco macchine che hai già non diventa magicamente accessibile perché è passata una data.
• «Gratuito» non significa «senza infrastruttura». L'accesso diretto è obbligatorio quando pertinente e tecnicamente fattibile; negli altri casi il fabbricante può offrire un accesso indiretto, motivandolo.
• I metadati contano. Un dump di numeri senza le informazioni che permettono di interpretarli non rispetta l'articolo 3. È esattamente ciò che si deve esigere anche da un gestore documentale: i documenti senza i loro metadati, versioni e tracce non sono un archivio, sono una cartella.

Se acquisti macchinari nei prossimi mesi, quello è il momento di chiedere per iscritto il formato di esportazione e l'API. Dopo la firma, il margine di negoziazione è un altro.

Cambio di fornitore cloud: i termini che il tuo contratto deve prevedere

Il capo VI trasforma in obbligo contrattuale ciò che finora dipendeva dalla buona volontà del fornitore. L'articolo 25 stabilisce che il contratto di un servizio di trattamento dei dati deve includere un periodo massimo di preavviso per avviare il passaggio non superiore a due mesi e un periodo transitorio massimo obbligatorio di 30 giorni di calendario per completarlo.

Inoltre, il fornitore deve prestare un'assistenza ragionevole durante il passaggio e agire con diligenza per mantenere la continuità operativa. In pratica, questo disinnesca l'argomento classico «esportare è un progetto, parliamo di preventivo».

Clausole contrattuali abusive tra imprese: la novità che quasi nessuno ha letto

L'articolo 13 introduce un controllo di abusività nei contratti tra imprese, qualcosa che finora era riservato ai rapporti con i consumatori. La regola è semplice: una clausola relativa all'accesso e all'uso dei dati, o alla responsabilità e ai mezzi di ricorso per inadempimento, che sia stata imposta unilateralmente da una parte all'altra e sia abusiva, non vincola la parte che l'ha subita.

Esempi del tipo di formulazione da guardare con la lente in un contratto di software gestionale:

• «Il fornitore consegnerà i dati nel formato che determinerà a sua esclusiva discrezione».
• «L'esportazione dei dati sarà fatturata secondo la tariffa dei servizi professionali in vigore».
• «Il fornitore potrà modificare unilateralmente le condizioni di accesso all'API con un preavviso di 15 giorni».
• «In caso di risoluzione, il fornitore eliminerà i dati trascorsi 10 giorni dalla disdetta», senza garantire prima una finestra di esportazione.

Non tutte sono automaticamente nulle — dipende dal fatto che siano state imposte unilateralmente e che si discostino gravemente dalle buone prassi commerciali —, ma tutte sono negoziabili e nessuna deve per forza restare lì al prossimo rinnovo.

Checklist: sette domande per verificare il tuo fornitore di software

A queste sette domande si risponde leggendo il contratto e provando il prodotto in un pomeriggio. Se qualcuna resta senza risposta chiara, sai già cosa negoziare.

1. Esiste una clausola di uscita con i termini dell'articolo 25? Due mesi di preavviso al massimo, 30 giorni di periodo transitorio.
2. Posso esportare da solo, dall'interfaccia, senza aprire un ticket? Se l'esportazione dipende dal fatto che qualcuno del fornitore la esegua, non è portabilità, è un favore.
3. Cosa esce esattamente nell'esportazione? I documenti, sì; e metadati, versioni, firme, cronologia delle approvazioni e tracce di audit?
4. In che formato? Strutturato e di uso comune (XML, JSON, CSV, PDF/A). Un dump proprietario che legge solo il suo stesso prodotto non rispetta lo spirito del regolamento.
5. Figura qualche costo di passaggio, tariffa di migrazione o penale per risoluzione anticipata? Dal 12 gennaio 2027, i costi di passaggio non possono esistere.
6. Per quanto tempo conserva i miei dati dopo la disdetta e come attesta la cancellazione? Deve esserci una finestra di esportazione prima della cancellazione, e un certificato dopo.
7. Dove sono fisicamente ospitati i dati e chi può accedervi? Il Data Act aggiunge inoltre garanzie contro gli accessi da parte di autorità di paesi terzi.

La stessa logica vale quando scegli una nuova piattaforma. Se sei a quel punto, la guida sulla conservazione digitale a norma spiega cosa deve davvero seguirti — documenti, metadati, versioni e prove — quando cambi sistema, e mettere in cifre il costo di restare aiuta a decidere con la testa fredda.

Come lo risolve Dokuflex: uscire deve essere facile quanto entrare

Dokuflex, piattaforma BPM low-code con IA, parte da un'idea scomoda per un fornitore: il cliente deve poter andarsene senza chiedere il permesso. È l'unico modo perché il rinnovo sia una decisione e non una resa.

• Esportazione completa dall'interfaccia stessa. Documenti con i loro metadati, versioni, firme elettroniche e tracce di audit, in formati strutturati di uso comune. Non è un servizio professionale fatturabile: è una funzione della piattaforma, la stessa che sostiene la conservazione digitale a norma.
• Anche i processi sono dati. I flussi progettati in Dokuflex BPM low-code si esportano in BPMN, che è uno standard e non un formato della casa.
• Evidenze di firma autocontenute. Un documento firmato conforme a eIDAS si valida fuori da Dokuflex, con il suo sigillo e la sua evidenza, come spiega la pagina sulla firma elettronica eIDAS. Se la firma vale solo dentro il prodotto che l'ha generata, è una dipendenza, non una firma.
• Hosting nell'Unione europea e regole di accesso pubblicate. Sono documentate insieme al modello di conservazione e cancellazione, e te le mostriamo in sessione.
• Nessun costo di passaggio, prima ancora che diventi illegale. Né tariffa di migrazione in uscita né penale per risoluzione anticipata.

Quello che Dokuflex non può fare è leggere il tuo contratto attuale con un altro fornitore. Deve farlo qualcuno del tuo team, e il momento migliore è adesso, con il rinnovo ancora lontano.

Prenota 30 minuti e ti mostriamo l'esportazione completa dal vivo →

Domande frequenti

Fonti

• Regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio, riguardante norme armonizzate sull'accesso equo ai dati e sul loro utilizzo (Data Act): articoli 3, 13, 25, 29 e 50.
• Articolo 3 del Data Act: obbligo di rendere accessibili all'utente i dati del prodotto e del servizio correlato.
• Articolo 25 del Data Act: clausole contrattuali per il cambio di fornitore, preavviso di due mesi e periodo transitorio di 30 giorni.
• Articolo 29 del Data Act: eliminazione graduale dei costi di passaggio, con la tappa del 12 gennaio 2027.
• Commissione europea — Data Act: entrata in vigore l'11 gennaio 2024 e applicazione dal 12 settembre 2025.