Il Data Act e l'economia dei dati: chi controlla le macchine

Il trattore che ara un campo in Puglia produce, ogni ora, qualche migliaio di dati: posizione, consumo, ore motore, usura dei cuscinetti, stress della trasmissione. La macchina costa centomila euro e l’agricoltore l’ha pagata. Ma quei dati, fino a ieri, non erano suoi. Finivano nei server del costruttore, che li rivendeva, li impacchettava, li usava per offrire la manutenzione predittiva — e all’agricoltore, se voleva un’officina indipendente o un’assicurazione su misura, restava il silenzio. Possedeva il ferro. Non possedeva quello che il ferro raccontava di lui.

Dal 12 settembre 2025 questo schema è cambiato per legge. Si chiama Data Act — Regolamento (UE) 2023/2854 — ed è la norma con cui l’Europa ha deciso, con una frase che vale miliardi, chi controlla i dati generati dalle macchine. Non i dati personali, di cui si occupa il GDPR da otto anni. I dati delle cose: sensori, telemetria, log, metadati. L’ottanta per cento dei dati industriali, dice la Commissione, non veniva mai usato (Commissione europea, Data Act explained). Sovranità tecnologica, qui, significa una cosa terra-terra: riprendersi il valore che le proprie macchine producono.

1. Il fatto nuovo: i dati delle macchine hanno un proprietario d’uso

Il Data Act è un regolamento, non una direttiva. Si applica identico in tutti gli Stati membri, senza bisogno di leggi nazionali di recepimento. La data da segnare in rosso è il 12 settembre 2025, giorno in cui la maggior parte delle disposizioni è diventata applicabile (Federprivacy, 12 settembre 2025; LCA Studio Legale).

Il cuore della norma sta in tre verbi: accedere, usare, condividere. Chi utilizza un prodotto connesso — un’auto, un macchinario, un elettrodomestico intelligente, un dispositivo IoT — o un servizio collegato a quel prodotto, ha il diritto di accedere ai dati che genera usandolo, di usarli per i propri fini e di farli condividere con un terzo di sua scelta: un’officina, un concorrente, un fornitore alternativo. Il diritto spetta all’utente, sia esso consumatore o impresa (Agenda Digitale, Diritti degli utenti IoT).

Attenzione a non leggerlo come un nuovo «diritto di proprietà sui dati». Il Data Act non crea proprietà: crea accesso. Non dice di chi sono i dati in senso dominicale — questione che resta volutamente aperta — dice che chi li detiene (il data holder, di norma il fabbricante) deve metterli a disposizione di chi li ha generati usando il prodotto. È uno spostamento di potere contrattuale, non di titolarità.

Conviene chiarire di quali dati si parla, perché qui si gioca metà della partita. Il regolamento copre i dati grezzi e pre-elaborati generati dall’uso del prodotto connesso e del servizio collegato: letture dei sensori, log, metadati, telemetria, dati di consumo, parametri di funzionamento. Restano fuori i dati che il detentore ottiene per inferenza o arricchimento — le elaborazioni complesse, gli algoritmi, i risultati frutto di un investimento ulteriore. La linea di confine tra dato grezzo accessibile e dato elaborato proprietario sarà il terreno di battaglia giuridico dei prossimi anni (da verificare nell’applicazione concreta). Il fabbricante avrà tutto l’interesse a dire «questo è già elaborato»; l’utente a dire «questo è mio dato grezzo».

Il diritto si esercita in due modi. Quando è tecnicamente possibile, l’accesso deve essere diretto: l’utente attinge ai dati dal prodotto stesso, senza intermediari. Quando non lo è, il detentore deve renderli disponibili senza ritardo ingiustificato, gratuitamente per l’utente, con la stessa qualità di cui dispone lui, in modo continuo e in tempo reale ove la natura del dato lo consenta. Niente formati volutamente illeggibili, niente «te li mando in PDF tra sei settimane».

2. Le scadenze vere: il 2025 è solo l’inizio

Qui serve precisione, perché la vulgata «il Data Act è in vigore» nasconde un calendario scaglionato che decide chi deve fare cosa e quando.

Data	Cosa scatta
12 settembre 2025	Applicabilità generale: diritti di accesso/portabilità, regole sul cloud switching (anche per contratti già in essere), condivisione B2B e B2G.
12 settembre 2026	Obbligo di progettazione «by design» (art. 3): i prodotti connessi immessi sul mercato dopo questa data devono nascere con i dati accessibili di default.
12 gennaio 2027	Abolizione totale delle commissioni di uscita dal cloud (fino a quella data restano solo i costi vivi sostenuti dal fornitore).
12 settembre 2027	Le regole sulle clausole abusive (Capo IV) si estendono ai contratti già conclusi prima del settembre 2025, a certe condizioni di durata.

Lo dico senza giri di parole: chi sta progettando oggi un macchinario o un’auto connessa che andrà sul mercato dal settembre 2026 deve già lavorare con l’accessibilità del dato come requisito di fabbrica, non come patch successiva (Studio Legale Salmi, 10 settembre 2025; Federprivacy). L’access by design non si retrofitta a buon mercato.

3. Condivisione B2B: il dato come merce, ma a condizioni eque

Quando l’utente chiede che i suoi dati vadano a un terzo, il detentore deve consegnarli. Se il detentore e il terzo sono imprese, il detentore può chiedere un compenso ragionevole — ma non un pedaggio arbitrario. Le condizioni devono rispettare il principio FRAND: fair, reasonable and non-discriminatory, eque, ragionevoli e non discriminatorie. Niente prezzi-capestro, niente condizioni diverse per il concorrente scomodo (Canella Camaiora; avvocloud.net).

C’è una valvola di sfogo per le piccole imprese: verso una PMI il compenso non può eccedere i costi direttamente sostenuti per rendere disponibili i dati. E c’è un divieto secco che merita di essere scritto a caratteri cubitali: i grandi gatekeeper designati ai sensi del Digital Markets Act non possono essere i terzi destinatari di questa condivisione. L’Europa ha aperto i rubinetti dei dati, ma ha chiuso la porta in faccia a chi già ne accumula troppi.

Resta un nodo che il fabbricante agiterà per primo: i segreti commerciali. Il Data Act non è cieco al problema. La condivisione è subordinata a misure idonee a preservare la riservatezza dei segreti commerciali, che vanno individuati e protetti; in casi eccezionali, se il detentore dimostra che è altamente probabile un danno grave nonostante le misure tecniche, può rifiutare o sospendere la condivisione. È una valvola di sicurezza — e insieme la scappatoia che molti tenteranno di allargare. Il rischio concreto è che il «segreto commerciale» diventi la foglia di fico con cui si nega l’accesso. I giudici dovranno fare la tara.

Per aiutare le imprese — soprattutto quelle che non hanno un ufficio legale interno — la Commissione, in attuazione dell’art. 41, ha raccomandato un set di clausole contrattuali tipo (model contractual terms) e clausole standard per i contratti cloud, pubblicate nel 2025, organizzate in aree tematiche e non vincolanti (Commissione europea, Draft Recommendation on model contractual terms; Eutekne, 2025). Non vincolanti, certo. Ma chi se ne discosta in modo squilibrato avrà vita dura davanti a un giudice.

4. Le clausole abusive sui dati: l’art. 13 e le sue liste

Qui il Data Act fa una cosa che assomiglia molto a ciò che il diritto dei consumatori fa da decenni, ma la trasporta nel B2B. L’art. 13 dichiara non vincolanti le clausole sull’accesso e l’uso dei dati — o sulla responsabilità e i rimedi — quando siano imposte unilateralmente da un’impresa a un’altra e risultino abusive (Agenda Digitale, Accesso ai dati e Data Act).

Il test di abusività non smonta l’intero contratto: morde solo le parti che riguardano i dati. Il legislatore ha costruito due liste, sul modello collaudato delle clausole vessatorie.

Clausole «nere», sempre abusive: quelle che escludono o limitano la responsabilità per dolo o colpa grave; quelle che escludono i rimedi in caso di inadempimento; quelle che riservano a chi le ha imposte il diritto esclusivo di stabilire se i dati forniti sono conformi al contratto o di interpretarne le clausole.

Clausole «grigie», presunte abusive salvo prova contraria: quelle che limitano in modo inappropriato i rimedi o la responsabilità, o che consentono a una parte di usare i dati dell’altra in modi che ne ledono gravemente gli interessi legittimi. La presunzione è relativa: chi ha imposto la clausola può tentare di dimostrare che equa lo è davvero. In bocca al lupo.

La scadenza, ricordo, è doppia: per i contratti conclusi dopo il 12 settembre 2025 il Capo IV vale subito; per quelli precedenti, a tempo indeterminato o con scadenza lunga, scatta dal 12 settembre 2027 (Agenda Digitale; WST Legal). Tradotto per chi negozia oggi: ogni contratto che tocca dati di macchina va riletto con la matita rossa dell’art. 13.

5. Cloud switching: la fine dell’ostaggio

Il secondo grande capitolo — e per molte imprese il più concreto — riguarda il cambio di fornitore cloud. Il Data Act (Capo VI, artt. 23 e seguenti) attacca frontalmente il lock-in: quella condizione per cui, una volta entrati in un cloud, uscirne costa così tanto — in tempo, denaro, formati proprietari — da diventare praticamente impossibile (universeit.blog; Polimeni Legal).

Gli obblighi sono tecnici e contrattuali insieme. Il cliente può recedere con un preavviso massimo di due mesi; il fornitore deve completare la transizione in un periodo massimo di 30 giorni, con un periodo di recupero dati di almeno 30 giorni, e proroghe fino a sette mesi solo in caso di comprovata impossibilità tecnica. Deve consegnare tutto il necessario per portarsi altrove dati e applicazioni: formati leggibili, interfacce aperte, API documentate, assistenza tecnica effettiva (avvocatitech.com; paradigma.it, 2 settembre 2025).

Sul fronte economico, la mossa più pesante: le commissioni di uscita si riducono ai soli costi vivi fino al 12 gennaio 2027, dopodiché sono abolite del tutto. Da quella data, far pagare l’uscita è vietato (universeit.blog; Global Law Experts). I requisiti tecnici variano per modello: equivalenza funzionale per lo IaaS, interfacce aperte per PaaS e SaaS. La Commissione ha pubblicato (2 aprile 2025) clausole contrattuali standard anche per questi contratti.

6. B2G: quando lo Stato bussa

C’è un capitolo che fa discutere i giuristi più di ogni altro: la condivisione business-to-government (Capo V, artt. 14-15). In casi di necessità eccezionale, un ente pubblico — o la Commissione, la BCE, un organo dell’Unione — può ottenere da un’impresa i dati che detiene, fuori da qualsiasi rapporto contrattuale volontario, su richiesta motivata (Altalex, 19 febbraio 2026).

La necessità eccezionale è tassativa, non discrezionale. Due soli casi. Il primo: l’emergenza pubblica — alluvioni, pandemie, catastrofi — quando i dati servono a rispondere e non si possono ottenere altrimenti in tempo utile. Il secondo, limitato ai soli dati non personali: quando, fuori dall’emergenza, l’ente agisce in base alla legge, ha bisogno di dati specifici per un compito di interesse pubblico previsto per legge (per esempio la statistica ufficiale) e ha già esaurito ogni altra via, compreso l’acquisto sul mercato a prezzi di mercato.

I critici parlano di «condivisione forzata» e agitano lo spettro della sovranità informativa rovesciata: lo Stato che si serve dei dati privati (Agenda Digitale, condivisione forzata dei dati). I difensori rispondono che i paletti sono stretti e che l’emergenza, quella vera, non aspetta una gara d’appalto. La verità sta nell’applicazione concreta, che è tutta da scrivere (da verificare).

7. Gli smart contract entrano nel diritto europeo (art. 36)

C’è una disposizione che passa quasi inosservata e che invece segna una prima volta: l’art. 36 fissa i requisiti essenziali degli smart contract usati per eseguire accordi di condivisione dati. È la prima volta che l’Unione regola, in un atto vincolante, questo tipo di contratto automatizzato (Ambrosio e Commodo, Il futuro degli smart contract secondo il Data Act).

Lo smart contract è definito come un programma informatico che esegue automaticamente un accordo, o parte di esso, garantendo l’integrità e l’esattezza dell’ordine cronologico dei dati. Chi lo realizza per conto altrui deve assicurare: controlli di accesso, robustezza contro gli errori e contro le manomissioni di terzi, un meccanismo di cessazione sicura (la possibilità di interrompere o disattivare l’esecuzione), continuità e archiviazione dei dati, e coerenza con le clausole dell’accordo che lo smart contract esegue. In altre parole: il codice non è legge a sé; deve rispondere al contratto, non sostituirlo. Per le officine legaltech e gli sviluppatori che vendono soluzioni di data sharing, questo è un capitolo di compliance del tutto nuovo.

8. Data Act, GDPR e Data Governance Act: i tre cerchi che si toccano

Qui si annida il fraintendimento più comune. Il Data Act non sostituisce il GDPR e non lo deroga. Dove i dati generati dal prodotto contengono anche dati personali — e succede quasi sempre: l’auto sa dove vai — il GDPR resta pienamente applicabile, con tutte le sue basi giuridiche e i suoi diritti. In caso di conflitto, prevale il GDPR. L’EDPB ha vigilato proprio su questo punto nelle sue osservazioni sulle clausole contrattuali (EDPB; Cyber Security 360).

Il Data Act vive in trio con il Data Governance Act — Regolamento (UE) 2022/868, applicabile dal 24 settembre 2023 — e i due non vanno confusi. Il DGA fissa il come si condividono i dati: riutilizzo dei dati pubblici, servizi di intermediazione, altruismo dei dati, e crea le infrastrutture di fiducia. Il Data Act fissa il chi e il cosa: chi ha diritto a quali dati. Il DGA è l’impianto idraulico; il Data Act apre i rubinetti. In Italia il DGA è stato attuato con il D.Lgs. 144/2024, che ha designato l’AgID come autorità competente (Studio Legale Stefanelli; Diritto Bancario).

9. E in Italia? Il quadro c’è, l’enforcement arranca

Il Data Act è pienamente applicabile, ma il decreto attuativo nazionale che ne disciplina l’enforcement, alla data di questo scritto, non risulta ancora adottato (da verificare alla luce degli aggiornamenti) (LCA Studio Legale). Questo non sospende gli obblighi: le imprese devono conformarsi a prescindere dal completamento del quadro sanzionatorio interno. Per il Data Governance Act, l’AgID adotta sanzioni amministrative da 10.000 a 100.000 euro, o per le imprese fino al 6% del fatturato mondiale annuo (AgID, in attuazione del D.Lgs. 144/2024). È ragionevole attendersi un’architettura simile per il Data Act, ma il dettaglio resta da confermare.

Per l’impresa che usa macchine, la lettura strategica è questa: il dato che le tue attrezzature producono è un asset che fino a ieri regalavi al costruttore. Ora puoi rivendicarlo, usarlo, portarlo a chi ti offre il servizio migliore. Per il costruttore e per il fornitore cloud, la lettura è speculare: il modello di business costruito sul possesso esclusivo del dato altrui ha le ore contate, e ogni contratto firmato oggi va passato al setaccio dell’art. 13 e del Capo VI. Non è una rivoluzione gentile. È un trasferimento di potere, scritto in un regolamento, con le date già fissate.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 24 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.