Da oggi un macchinario connesso che esce dalla tua linea di produzione deve nascere già capace di consegnare all’utente i dati che genera. Non dopo, non su richiesta con mesi di sviluppo: dall’origine, per progetto. È l’obbligo access by design, e dal 12 settembre 2026 non è più una buona pratica da mettere in agenda per il prossimo trimestre.
Se produci dispositivi IoT, macchinari industriali, attrezzature connesse — o se sei il professionista che assiste chi lo fa — la domanda non è più “ci adeguiamo?” ma “i prodotti che immettiamo sul mercato da oggi sono progettati bene?”. Perché la conformità è scattata, e riguarda i contratti, l’architettura tecnica e le informative che dai ai clienti.
Cos’è l’obbligo access by design del Data Act
L’obbligo access by design impone che un prodotto connesso sia progettato e fabbricato in modo che i dati che genera siano accessibili all’utente per impostazione predefinita, in modo facile e sicuro. È il cuore del Regolamento europeo sui dati, e dal 12 settembre 2026 diventa vincolante per i nuovi prodotti immessi sul mercato.
La norma di riferimento è precisa.
Il regolamento richiede che
La regola tecnica è dettagliata: i dati del prodotto devono essere accessibili all’utente in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. Detto senza burocratese: chi compra il tuo macchinario deve poter tirare fuori i suoi dati senza chiederti il permesso e senza formati proprietari che li tengono in ostaggio.
La cornice è quella del
Il perimetro è ampio. Non parliamo solo di gadget: la disciplina spazia dai grandi macchinari industriali e le linee di automazione fino ai dispositivi medici, agli autoveicoli connessi, alle attrezzature agricole e persino agli elettrodomestici intelligenti. Se un tuo prodotto “sente” e trasmette, con ogni probabilità ci sei dentro.
Chi deve adeguarsi e da quando
L’obbligo colpisce fabbricanti di beni connessi e fornitori di servizi digitali correlati. Il Data Act è applicabile in generale già da un anno, ma la scadenza di progettazione — la più tecnica — è quella di oggi.
La tabella di marcia è netta. Il regolamento è entrato in vigore l’11 gennaio 2024 ed è pienamente applicabile dal 12 settembre 2025, mentre le regole di progettazione per i prodotti connessi scattano a partire dal 12 settembre 2026, per dare tempo agli operatori di adeguare hardware, software e condizioni contrattuali.
Attenzione a un dettaglio che cambia tutto sul piano pratico. L’obbligo riguarda testualmente i prodotti connessi e i servizi correlati immessi sul mercato dopo il 12 settembre 2026: chi ha già in catalogo prodotti equivalenti immessi prima di questa data non è tenuto a riprogettarli. Ma ogni nuovo prodotto che esce da oggi nasce sotto la nuova regola.
E in Italia c’è una zona grigia da conoscere. Le leggi di delegazione europea non contengono una delega per l’adeguamento al Data Act, e fonti specializzate confermavano ancora nel luglio 2026 che non era stato adottato un decreto attuativo né designata un’autorità nazionale di vigilanza, con rischio di procedura d’infrazione a carico dello Stato italiano. Questa lacuna, però, non sospende gli obblighi sostanziali del regolamento, che restano pienamente vincolanti perché direttamente applicabili in tutti gli Stati membri. Tradotto: non puoi appoggiarti all’assenza di un’autorità italiana per stare fermo, perché resti comunque esposto all’azione dell’utente.
Perché l’obbligo access by design si affianca al GDPR, non lo sostituisce
Il Data Act non cancella le regole sulla privacy: le tiene accanto a sé. Quando i dati di un dispositivo riguardano persone fisiche, il GDPR continua a valere pienamente, e la nuova disciplina si aggiunge come strato ulteriore.
È scritto esplicitamente. Il Data Act non sostituisce le normative già esistenti in materia di protezione dei dati personali, ma si affianca ad esse: quando le informazioni trattate dai dispositivi connessi riguardano persone fisiche, restano applicabili le disposizioni del GDPR. Non a caso, le autorità di controllo competenti per il GDPR sono competenti anche per l’applicazione del Data Act nella misura in cui riguarda la protezione dei dati personali.
C’è poi un rovescio della medaglia che chi progetta deve tenere sott’occhio. Aprire i canali di accesso ai dati comporta un aumento della superficie di attacco, elevando il rischio di intrusioni informatiche o di esfiltrazione di segreti industriali. Rendere i dati accessibili non significa renderli esposti: la parola “protetti” nell’access by design pesa quanto la parola “accessibili”.
Questa logica di regole europee che si sommano tra loro è la stessa che stanno vivendo le PMI con l’intelligenza artificiale. Chi si sta già muovendo sugli adempimenti dell’AI Act che la tua PMI deve avere pronti conosce bene la sensazione: non c’è una scadenza unica, ci sono strati che si accavallano e vanno gestiti insieme.
Contratti, architettura e informative: cosa verificare subito
Adeguarsi all’obbligo access by design vuol dire lavorare su tre fronti contemporaneamente: le clausole con clienti e fornitori, il modo in cui il prodotto espone i dati, e ciò che dichiari all’utente. Nessuno dei tre regge da solo.
Sul piano contrattuale il cambiamento è profondo. Il regolamento attribuisce agli utenti diritti di accesso, utilizzo e condivisione sui dati generati dai dispositivi, mentre impone al tempo stesso obblighi contrattuali e di trasparenza a chi quei prodotti li fabbrica o li integra. Il consiglio pratico che arriva dagli addetti ai lavori è iniziare a mappare i dispositivi connessi in uso o in acquisizione, individuare quali rientrano nel campo di applicazione dal 12 settembre 2026 e verificare con i fornitori le modalità tecniche con cui verrà garantito l’accesso ai dati.
- Contratti: rivedi clausole di fornitura, licenza e riservatezza. Chi controlla i dati oggi? Cosa succede quando l’utente li chiede?
- Architettura tecnica: dove risiedono i dati, in che formato escono, come li proteggi mentre li rendi accessibili.
- Informative: cosa dichiari all’utente prima dell’acquisto su quali dati genera il prodotto e come vi accede.
Qui entra la parte che riguarda direttamente chi comunica. Una cosa è essere conformi, un’altra è saperlo spiegare ai clienti in modo che diventi un vantaggio commerciale e non solo un adempimento. Un’azienda IoT che sa raccontare in un video podcast aziendale come tratta i dati dei suoi clienti dice, senza dirlo, che è avanti sulla conformità — e nel B2B industriale la fiducia si costruisce proprio così.
Lo stesso vale per il momento in cui devi comunicare un cambiamento contrattuale o una nuova modalità di accesso ai dati ai tuoi clienti. Una PMI industriale di Turbigo che deve spiegare a decine di clienti come cambiano le condizioni sui dati non lo fa con un’email burocratica: lo fa con contenuti chiari, e chi produce internamente i propri contenuti social può gestirlo con una piattaforma self-service, mentre chi vuole un video istituzionale fatto bene si affida a chi lo produce a mano.
Comunicare la conformità è parte del lavoro, non un extra
La conformità che nessuno vede vale la metà. In un mercato B2B dove il cliente sceglie fornitori affidabili, saper mostrare come tratti e proteggi i dati è argomento di vendita, non solo di legal.
Le regole europee stanno spingendo le imprese a coordinarsi su più fronti. Secondo la ricerca dell’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, il 56% delle grandi aziende italiane cerca oggi sinergie per gestire la complessità normativa tra Data Act, AI Act, NIS2 e GDPR (Fonte: Osservatorio Cybersecurity & Data Protection, Politecnico di Milano). Le PMI stanno seguendo la stessa strada, con meno risorse e più urgenza di farsi capire dai clienti.
Chi sta già affrontando lo scenario normativo lo sa: la stessa attenzione che serve per gli obblighi di trasparenza dell’articolo 50 dell’AI Act serve ora per il Data Act. Non è materia da nascondere in un allegato PDF: è materia da spiegare con la faccia di chi la conosce. Un fabbricante di macchinari di Robecco sul Naviglio che spiega in video come ha progettato i suoi prodotti perché i dati siano del cliente comunica competenza — e la competenza, in mano a un buon montaggio, vende.
Il punto è semplice: l’obbligo access by design ti costringe a metter mano al prodotto e ai contratti. Ma è anche un’occasione per dire al mercato una cosa che i tuoi concorrenti fermi non possono dire. Chi tratta la conformità come contenuto — un video istituzionale, una puntata di podcast, un formato breve ricorrente — trasforma un costo in posizionamento. Chi la tiene chiusa nel cassetto del legale paga il costo e basta.
Domande frequenti
Cosa significa esattamente obbligo access by design?
Significa progettare e fabbricare i prodotti connessi in modo che i dati generati siano accessibili all’utente per impostazione predefinita, in modo facile, sicuro e in un formato riutilizzabile. Il regolamento chiede che i dati siano accessibili in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. Non basta prevedere l’accesso: va progettato dall’origine.
Da quando scatta l’obbligo e a quali prodotti si applica?
Scatta dal 12 settembre 2026. Riguarda testualmente i prodotti connessi e i servizi correlati immessi sul mercato dopo questa data, quindi non impone di riprogettare i prodotti equivalenti già in catalogo prima. Ogni nuovo prodotto immesso da oggi, però, deve rispettare la regola.
Il Data Act sostituisce il GDPR?
No. Il Data Act si affianca alle normative sulla protezione dei dati personali senza sostituirle: quando i dati riguardano persone fisiche, il GDPR resta pienamente applicabile. Le stesse autorità competenti per il GDPR vigilano sul Data Act nella parte relativa ai dati personali.
In Italia manca l’autorità di vigilanza: posso rimandare?
No. Anche in assenza di decreto attuativo e di un’autorità nazionale dedicata, gli obblighi sostanziali del regolamento restano vincolanti perché direttamente applicabili in tutti gli Stati membri. Resti esposto all’azione dell’utente che rivendica i suoi diritti di accesso ai dati.
Cosa devo verificare per primo?
Tre cose insieme: contratti, architettura tecnica e informative. Gli addetti ai lavori consigliano di mappare i dispositivi connessi in uso o in acquisizione, capire quali rientrano nel campo di applicazione e verificare con i fornitori come verrà garantito l’accesso ai dati. Meglio partire dalla mappatura prima di toccare le clausole.
Cosa c’entra la comunicazione con un obbligo tecnico?
C’entra perché nel B2B la conformità è argomento di fiducia. Un cliente industriale sceglie il fornitore che sa dimostrare come tratta e protegge i suoi dati. Raccontarlo con un video o un podcast aziendale trasforma un adempimento in un vantaggio commerciale visibile.
Se la tua azienda sta adeguando prodotti e contratti al Data Act e vuole trasformare questo lavoro in comunicazione che ti distingue dai concorrenti fermi, guarda cosa possiamo produrre per te.
La pagina di riferimento: i servizi dello studio.