Data Act prodotti connessi PMI: obblighi entro il 12 settembre
Data Act prodotti connessi PMI: cosa cambia il 12 settembre 2026
Se la tua PMI produce macchinari con sensori, PLC collegati in rete, o qualsiasi dispositivo che genera dati durante l'uso, il Data Act prodotti connessi PMI ti riguarda direttamente. Il Regolamento UE 2023/2854 — noto come Data Act — è già in vigore dal 12 settembre 2025, ma l'obbligo più pesante per i produttori scatta il 12 settembre 2026: da quella data, ogni prodotto connesso immesso sul mercato UE deve essere progettato per garantire all'utilizzatore l'accesso ai dati che genera.
Non è un adempimento burocratico da delegare al consulente privacy. È un vincolo tecnico che impatta su come progetti, costruisci e vendi i tuoi macchinari.
Cosa dice il Data Act in pratica
Il Data Act stabilisce un principio semplice: chi usa un prodotto connesso ha diritto ai dati generati da quell'uso. Il produttore (o chi fornisce un servizio correlato) deve rendere quei dati accessibili in modo facile, sicuro, gratuito e — quando tecnicamente possibile — in tempo reale.
Questo vale per qualsiasi "prodotto connesso": dal centro di lavoro CNC alla pressa oleodinamica con sensori, dalla linea di imbottigliamento al compressore industriale collegato al cloud del costruttore. Come evidenziato da Agenda Digitale, il Data Act ridisegna il controllo sui dati industriali: il produttore del macchinario non è più il "padrone" esclusivo dei dati generati dall'uso della macchina presso il cliente.
In concreto, il regolamento introduce tre obblighi principali:
- Data-access-by-design — I prodotti connessi immessi sul mercato dal 12 settembre 2026 devono essere progettati fin dall'origine per consentire l'accesso ai dati da parte dell'utilizzatore (fonte).
- Diritto di condivisione con terzi — L'utilizzatore può chiedere che i dati vengano trasmessi a un soggetto terzo di sua scelta (un manutentore indipendente, un integratore, un altro fornitore di software).
- Trasparenza precontrattuale — Prima della vendita, il produttore deve informare l'acquirente su quali dati il prodotto genera, come accedervi, se i dati vengono trasferiti al produttore stesso e con quale frequenza (fonte).
Chi è coinvolto: produttore, utilizzatore, o entrambi?
Molte PMI manifatturiere sono coinvolte su due fronti contemporaneamente.
Come produttore: se costruisci macchine o impianti dotati di sensoristica IoT, devi garantire che i tuoi clienti possano accedere ai dati. Questo significa ripensare l'architettura dei dati del tuo prodotto.
Come utilizzatore: se acquisti macchinari connessi per la tua produzione (robot, macchine utensili, sistemi di confezionamento), hai il diritto di accedere ai dati generati. E puoi pretendere dal fornitore che te li renda disponibili.
Un esempio concreto: un'azienda che produce linee di taglio laser con raccolta dati in cloud vende a un terzista meccanico. Oggi spesso il terzista non vede i dati grezzi della macchina — vede solo una dashboard preconfezionata dal costruttore. Con il Data Act, il terzista ha diritto ai dati grezzi: cicli, temperature, vibrazioni, consumi, anomalie. E può passarli a un integratore di sua fiducia per costruirci sopra le proprie analisi.
Data access by design: obbligo tecnico, non solo documentale
L'espressione "data-access-by-design" è il cuore dell'obbligo. Non basta scrivere una policy: serve che il prodotto sia fisicamente costruito per consentire l'accesso ai dati.
Cosa significa in pratica per una PMI che costruisce macchinari connessi:
- Catalogare i dati generati — Ogni prodotto connesso deve avere una mappa chiara dei dati che genera. Tipo di dato, formato, frequenza di acquisizione, dove viene archiviato.
- Prevedere un'interfaccia di accesso — Il prodotto deve offrire un meccanismo tecnico per estrarre i dati. Può essere un'API, un protocollo standard (OPC-UA, MQTT), un export periodico. L'accesso deve essere diretto, senza richiedere l'intervento del produttore.
- Garantire formati interoperabili — I dati devono essere forniti in formati strutturati e machine-readable. Niente PDF con screenshot di grafici: servono dati grezzi in formati aperti.
- Documentare tutto prima della vendita — La scheda precontrattuale deve spiegare al potenziale acquirente cosa il prodotto misura, come i dati vengono gestiti e come vi si accede (fonte).
Se oggi il tuo macchinario manda i dati a un tuo server proprietario e il cliente non ha modo di scaricarli o inoltrarli, sei fuori norma dal 12 settembre 2026 — almeno per le nuove unità immesse sul mercato.
Dati IoT macchinari industriali: cosa tracciare
Il Data Act non elenca una lista tassativa di dati. Il criterio è: qualsiasi dato generato dall'uso del prodotto connesso è soggetto al diritto di accesso. Per un macchinario industriale, questo include tipicamente:
- Dati di produzione: cicli completati, pezzi prodotti, tempi ciclo, scarti.
- Dati di stato macchina: accensione/spegnimento, stati operativi, allarmi, codici errore.
- Dati ambientali e di processo: temperature, pressioni, vibrazioni, umidità, consumi energetici.
- Dati di manutenzione: ore di funzionamento componenti, soglie di usura, interventi registrati.
- Dati di configurazione: parametri di lavoro, ricette, settaggi.
Attenzione: come segnala Agenda Digitale, il produttore può proteggere i propri segreti commerciali. Se un algoritmo proprietario elabora i dati grezzi per generare una previsione di guasto, il produttore non è obbligato a rivelare l'algoritmo. Ma i dati grezzi in ingresso e i risultati dell'elaborazione devono essere accessibili all'utilizzatore.
Questo equilibrio tra diritto di accesso e tutela del segreto industriale è uno dei nodi più delicati per le PMI che hanno investito in software predittivo o algoritmi di ottimizzazione integrati nei propri macchinari.
Cosa c'entra il GDPR
Se tra i dati generati dal prodotto connesso ci sono dati personali — ad esempio l'identificativo dell'operatore che ha avviato un ciclo, i badge di accesso, i log degli utenti — scatta anche il GDPR. Il Data Act non sostituisce il GDPR: si aggiunge. L'impresa che detiene i dati deve rispettare entrambe le normative contemporaneamente (fonte).
Nella pratica: se un utilizzatore chiede di condividere i dati della macchina con un terzo e quei dati contengono informazioni personali, servono le basi giuridiche del GDPR per quel trasferimento. La mappatura dei dati deve quindi distinguere chiaramente tra dati non personali (la maggior parte dei dati macchina) e dati personali (log operatore, turni, accessi).
Cloud switching e lock-in: le clausole contrattuali
Il Data Act interviene anche sul fronte dei servizi cloud associati ai prodotti connessi. Molti costruttori di macchinari offrono piattaforme cloud proprietarie per la raccolta e visualizzazione dei dati. Il regolamento impone regole per facilitare il passaggio da un fornitore cloud a un altro, riducendo il lock-in (fonte).
Cosa significa per te:
- Se offri un servizio cloud abbinato al macchinario, le clausole contrattuali devono prevedere la portabilità dei dati e la possibilità di migrazione.
- Se sei utilizzatore, puoi esigere che i tuoi dati vengano esportati dal cloud del costruttore verso la piattaforma che preferisci.
Per una PMI che gestisce la produzione con strumenti propri — fogli di calcolo, sistemi interni, dashboard aziendali — questo è un vantaggio: puoi aggregare i dati dei tuoi macchinari in un unico punto, invece di consultare portali separati per ogni costruttore.
Checklist operativa: cosa fare prima del 12 settembre 2026
Ecco le azioni concrete, divise per ruolo.
Se produci macchinari o dispositivi connessi
- Mappa i dati — Per ogni prodotto connesso che vendi, elenca tutti i dati che il dispositivo genera. Tipo, formato, frequenza, destinazione.
- Verifica l'accesso — Il cliente può oggi accedere a quei dati in autonomia? Con quale interfaccia? Se la risposta è "no" o "solo parzialmente", hai un gap da colmare.
- Progetta l'interfaccia di accesso — API, export automatico, protocollo standard. Deve essere utilizzabile senza competenze specialistiche.
- Aggiorna la documentazione precontrattuale — Scheda tecnica dei dati: cosa viene raccolto, dove finisce, come il cliente vi accede, se i dati vengono trasferiti a terzi.
- Rivedi i contratti — Le clausole sulla proprietà e l'accesso ai dati devono essere allineate al Data Act. Elimina clausole che limitano l'accesso del cliente ai dati generati dall'uso.
- Forma il team — Ufficio tecnico, commerciale e post-vendita devono sapere cosa cambia.
Se utilizzi macchinari connessi per produrre
- Inventaria i macchinari connessi — Quali macchine in reparto generano dati? Dove finiscono quei dati oggi?
- Verifica i contratti con i fornitori — Hai diritto di accesso ai dati secondo il Data Act. I contratti esistenti lo prevedono? Se no, apri la conversazione con il fornitore.
- Pianifica l'integrazione — Una volta ottenuti i dati, dove li porti? In un sistema di automazione processi interno? In una dashboard? In un MES? Avere i dati senza un piano per usarli è inutile.
- Distingui dati personali e non personali — Se i tuoi macchinari tracciano anche dati degli operatori, prepara la mappatura GDPR.
Il Data Act settembre 2026 nel contesto normativo
Il Data Act non arriva isolato. La settimana prima della sua deadline per il data-access-by-design, l'11 settembre 2026, scattano anche i primi obblighi del Cyber Resilience Act sulla segnalazione di vulnerabilità per i prodotti con elementi digitali. Le due normative si sovrappongono: entrambe riguardano i prodotti connessi, entrambe impongono obblighi di progettazione.
Per una PMI manifatturiera che costruisce macchine con componenti IoT, settembre 2026 è un doppio appuntamento da non mancare.
Anche chi sta già lavorando sulla documentazione per la polizza cyber risk troverà utile incrociare quel lavoro con la mappatura dei dati richiesta dal Data Act: le informazioni da raccogliere sono in parte le stesse.
Dove si inserisce il gestionale
Il Data Act non parla di gestionali. Ma un gestionale ben progettato è lo strumento naturale per rispondere a questi obblighi, soprattutto per chi è utilizzatore di macchinari connessi.
Pensa a uno scenario reale: hai cinque macchine di tre costruttori diversi, ognuna con il suo portale cloud. Ogni portale ha il suo formato dati, la sua logica, i suoi tempi di aggiornamento. Il Data Act ti dà il diritto di estrarre quei dati. Ma poi devi metterli insieme, incrociarli con gli ordini di produzione, i turni, i costi energetici.
Qui serve un sistema che faccia da collettore. Che normalizzi i dati. Che li renda consultabili in un unico punto. Un software costruito sulle esigenze specifiche della tua azienda — non un portale generico che ti costringe ad adattarti.
Lo stesso vale per chi produce macchinari: l'interfaccia di accesso ai dati che devi offrire al cliente può essere integrata nel sistema che già usi per il monitoraggio post-vendita e l'assistenza tecnica.
Prima di investire: verifica cosa ti serve davvero
Il rischio, con ogni nuova normativa, è partire a comprare soluzioni prima di aver capito il problema. Il Data Act richiede interventi diversi a seconda di cosa produci, di quanti dati i tuoi macchinari generano, di come li gestisci oggi.
Se stai ragionando su come adeguare i tuoi macchinari connessi, integrare i dati IoT nel gestionale o costruire un'interfaccia di accesso per i tuoi clienti, puoi verificare fattibilità, tempi e range di costo in 90 secondi su Fattibile? — senza registrazione e senza impegno. Se preferisci parlarne a voce, scrivici.
Domande frequenti
Quando entra in vigore il Data Act per i prodotti connessi?
Il Regolamento UE 2023/2854 (Data Act) si applica dal 12 settembre 2025. L'obbligo specifico di data-access-by-design per i prodotti connessi immessi sul mercato decorre però dal 12 settembre 2026 (fonte). I prodotti già in commercio prima di quella data non devono essere riprogettati, ma i diritti di accesso ai dati si applicano comunque.
Quali dati dei macchinari devo rendere accessibili?
Tutti i dati generati dall'uso del prodotto connesso: cicli macchina, temperature, vibrazioni, consumi energetici, stati operativi, allarmi. Devono essere accessibili in modo facile, sicuro, gratuito e — dove tecnicamente possibile — in tempo reale. Il produttore può tutelare i propri segreti commerciali (ad esempio un algoritmo predittivo), ma non può bloccare l'accesso ai dati grezzi (fonte).
Il Data Act riguarda anche chi usa macchinari connessi senza produrli?
Sì. L'utilizzatore ha diritto di accedere ai dati generati dai prodotti connessi che impiega nella propria attività. Può anche chiedere che quei dati vengano condivisi con un soggetto terzo di sua scelta — ad esempio un manutentore indipendente o un integratore di sistemi (fonte).
Cosa rischia una PMI che non si adegua?
Le sanzioni specifiche saranno definite dalla normativa nazionale di recepimento. Il rischio concreto, però, va oltre la multa: un prodotto connesso non conforme potrebbe non essere immesso sul mercato UE. E un cliente che si vede negare l'accesso ai propri dati ha oggi una base giuridica chiara per contestare il contratto.
Devo riprogettare i macchinari già venduti?
No. L'obbligo di data-access-by-design si applica ai prodotti connessi immessi sul mercato dal 12 settembre 2026 in poi. Per i macchinari già in funzione presso i clienti, non è richiesta la riprogettazione hardware. Tuttavia, i diritti di accesso ai dati dell'utilizzatore valgono comunque: se un cliente ti chiede i dati della macchina che gli hai venduto, devi trovare il modo di fornirglieli (fonte).
Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale.