Data Act 2025 e imprese: cosa cambia per la condivisione dei dati

Sommario

Nel 2026 il Data Act non è più una novità “in arrivo”, ma una realtà che le imprese italiane stanno già sperimentando: dal 12 settembre 2025 il Regolamento UE 2023/2854 è pienamente applicabile, con effetti concreti sull’accesso, sulla portabilità e sulla condivisione dei dati generati da prodotti connessi e servizi digitali. Alcuni obblighi continuano a dispiegarsi nel 2026 e oltre (in particolare quelli legati alla progettazione dei prodotti connessi e alle clausole contrattuali abusive), ma per la maggior parte delle aziende il 2025 è stato l’anno dello “switch on” e il 2026 è l’anno in cui si vedono davvero, nei contratti e nei processi IT, le conseguenze delle nuove regole sulla condivisione dei dati.

In sintesi, in questo approfondimento trovi:

• Una panoramica chiara del Data Act, di quando è diventato operativo tra il 2025 e il 2026 e dei soggetti coinvolti.
• Cosa significa “dati” per le imprese nel 2026: dai macchinari IoT al gestionale ERP, fino ai servizi cloud e ai dati generati da clienti e fornitori.
• Gli impatti concreti sulla condivisione dei dati tra imprese, sulla portabilità verso terze parti e sul rapporto con provider cloud, software house e partner IT.
• Le novità sulle clausole abusive nei contratti B2B e sulla revisione dei contratti esistenti in chiave 2026–2027.
• Un piano operativo aggiornato al 2026 per mappare i dati, rivedere i contratti, impostare le regole interne e integrare la Data Act con GDPR, NIS2 e la sicurezza informatica aziendale.
• Il ruolo di Lanpartners come ponte fra diritto, tecnologia, infrastruttura e servizi IT, incluso il supporto a servizi IT personalizzati, tecnologie per backup & business continuity, cybersecurity e progetti di trasformazione digitale.

---

Data Act in breve: il quadro che nel 2026 è a regime

Il Data Act è il regolamento europeo sull’accesso equo ai dati e sul loro utilizzo, pensato per aumentare la disponibilità dei dati nell’UE, ridurre il vendor lock‑in e semplificare la condivisione dei dati tra utenti, imprese e PA. Entrato in vigore l’11 gennaio 2024, è pienamente applicabile dal 12 settembre 2025, con un regime graduale per alcuni obblighi, che si estende fino al 2026 e al 2027.

I punti essenziali che nel 2026 interessano le imprese:

• Diritto degli utenti (anche aziende) di accedere ai dati generati dall’uso di prodotti connessi e servizi correlati, e di condividerli con terze parti da loro scelte, in modo tempestivo e in formato leggibile da macchina.
• Obblighi per produttori e detentori dei dati di prevedere l’accesso “by design”, l’interoperabilità e condizioni eque, ragionevoli e non discriminatorie per la condivisione, inclusa una compensazione equa quando prevista.
• Disciplina delle clausole abusive nei contratti B2B che regolano l’accesso e l’uso dei dati, a tutela soprattutto delle PMI e dei soggetti in posizione contrattuale più debole.
• Misure per facilitare la portabilità e lo switching tra servizi di trattamento dei dati (cloud, data center, piattaforme), riducendo gli ostacoli tecnici e contrattuali.

Nel 2026 le imprese non si stanno più chiedendo “se” il Data Act si applica, ma “come” rivedere contratti e infrastruttura IT per rispettarlo e sfruttarlo meglio, in coerenza con GDPR, NIS2 e altre normative europee su dati, sicurezza e intelligenza artificiale.

Cosa significa “dati” per le imprese nel 2026 (anche se non sviluppano software)

Il Data Act non è una norma per pochi big del cloud: riguarda tutte le imprese che utilizzano prodotti connessi o servizi digitali che generano dati nel normale svolgimento delle attività. Nel 2026 questo significa, in concreto, la maggior parte delle aziende manifatturiere, dei servizi, della logistica, dell’energia e di molti altri settori.

Esempi tipici di “fonti di dati” coinvolte:

• Macchinari industriali, veicoli aziendali, dispositivi IoT, impianti di produzione e sensori che raccolgono dati di funzionamento, manutenzione, consumo energetico, tempi di fermo, allarmi.
• Gestionale ERP (SAP Business One, ERP Microsoft, soluzioni verticali), CRM, software di gestione del personale, software di rilevazione delle presenze e sistemi di ticketing che generano log, KPI, tracciamenti di processo e dati di utilizzo.
• Servizi cloud e piattaforme di elaborazione dati: data warehouse, strumenti di BI come Power BI, centralini cloud/VOIP, piattaforme di monitoraggio remoto, soluzioni di manutenzione predittiva.

Molte imprese, fino al 2025, consideravano questi dati “in pancia ai fornitori”, accessibili solo tramite portali proprietari o tramite esportazioni ad hoc, spesso a pagamento. Con il Data Act, l’utente del prodotto o del servizio ha ora un diritto strutturale di accesso e di condivisione con terze parti, il che cambia il modo di progettare processi e infrastrutture IT.

Per Lanpartners, nel 2026, il primo passo è spesso aiutare le aziende a riconoscere dove sono i dati (ERP, macchinari, centralino cloud, servizi IT gestiti), quali diritti possono esercitare e come collegare questi diritti ad architetture di rete, a progetti di migrazione verso il cloud e a soluzioni avanzate di continuità operativa.

Condivisione dei dati tra imprese: diritti, obblighi e limiti dopo il 2025

Dal 12 settembre 2025 la disciplina sulla condivisione dei dati tra detentori e destinatari è pienamente operativa, e nel 2026 la domanda diventa: come inserirla nei contratti e nelle pratiche quotidiane.

Per le imprese utilizzatrici di prodotti connessi e servizi digitali:

• I dati generati devono essere messi a disposizione tempestivamente, in formato leggibile da macchina, con qualità e granularità comparabili a quelle detenute dal produttore o fornitore.
• Su richiesta dell’utente, il detentore deve trasmettere i dati direttamente a una terza parte (per esempio, un altro fornitore di manutenzione, un partner IT, un nuovo provider cloud), senza ritardi ingiustificati né ostacoli artificiali.
• Le condizioni economiche per la messa a disposizione dei dati devono essere eque; il regolamento prevede criteri per la determinazione di compensi e per la tutela del know‑how e dei segreti commerciali.

Per i detentori dei dati (produttori, fornitori di piattaforme, provider cloud):

• Devono adeguare, tra il 2025 e il 2026, contratti, sistemi e interfacce per permettere l’accesso e la condivisione nel rispetto del Data Act.
• Devono implementare misure tecniche e organizzative per proteggere segreti commerciali, la sicurezza dei sistemi e i diritti di terzi, anche quando i dati vengono condivisi con nuovi attori.

Questo incide direttamente sui rapporti con software house, fornitori di ERP e CRM, produttori di macchinari IoT, aziende che forniscono servizi informatici per le imprese e provider di servizi cloud, con cui Lanpartners è già in dialogo per la gestione IT, il networking e la sicurezza, nell’ambito di progetti di sicurezza informatica aziendale e prevenzione del furto d’identità.

Portabilità, interoperabilità e vendor lock‑in nel 2026

Una delle promesse più concrete del Data Act è la riduzione del vendor lock‑in, soprattutto nel mondo cloud e nei servizi di trattamento dei dati. Dal 2025 i provider devono facilitare lo switching tra servizi, e nel 2026 molte imprese iniziano a programmare migrazioni che prima sembravano impossibili o troppo rischiose.

Per i provider di servizi di trattamento dati (cloud, data center, piattaforme):

• È richiesto di garantire la portabilità dei dati, delle applicazioni e, in certa misura, delle configurazioni, secondo standard tecnici comuni e senza ostacoli contrattuali ingiustificati.
• Alcune disposizioni sulla progettazione dei prodotti connessi e dei servizi correlati, che semplificano l’accesso ai dati generati, entrano in vigore per i prodotti immessi sul mercato dopo il 12 settembre 2026.

Per le imprese utenti:

• Diventa più realistico negoziare clausole di uscita (exit) dai contratti cloud, data center e servizi gestiti, definendo tempi, formati e responsabilità della migrazione.
• È possibile costruire progetti di data lake, di business intelligence e di manutenzione predittiva basati su dati provenienti da più fonti, senza rimanere legati a un unico ecosistema proprietario.

Su questo fronte diventano centrali non solo le policy, ma anche le scelte tecniche: Lanpartners lavora su tecnologie di backup & business continuity e su architetture ibride che permettono alle imprese di spostare carichi, dati e applicazioni tra ambienti diversi senza perdere il controllo né la sicurezza.

Clausole abusive e contratti B2B: cosa rivedere nel 2026

Il Data Act contiene una disciplina specifica sulle clausole contrattuali abusive relative all’accesso ai dati e al loro uso nei rapporti tra imprese, con particolare attenzione alla tutela delle PMI. Le disposizioni in materia hanno una logica graduale, ma nel 2026 è già chiaro che le clausole squilibrate sono sotto osservazione e possono essere dichiarate nulle.

Esempi di clausole critiche:

• Esclusione totale e non giustificata dell’accesso ai dati generati dall’uso del prodotto connesso o del servizio digitale da parte dell’utente.
• Costi manifestamente sproporzionati per la messa a disposizione dei dati o per lo switching verso altri fornitori.
• Modifiche unilaterali delle condizioni relative ai dati (accesso, formato, frequenza, diritti di condivisione) senza preavviso e senza possibilità per l’utente di recedere.​

Nel 2026, molte imprese stanno:

• Avviando audit sistematici dei contratti con fornitori IT, software house, provider cloud, manutentori di macchinari connessi, per identificare clausole incompatibili con il Data Act;
• Definendo modelli standard di clausole “Data Act compliant” da utilizzare nei nuovi contratti o nei rinnovi, in linea con le future clausole tipo che la Commissione UE sta predisponendo.

Qui torna utile l’esperienza maturata sui temi di intelligenza artificiale e diritto e di AI Act: Lanpartners è abituata a far dialogare ufficio legale, IT interno e fornitori esterni, mettendo in relazione termini contrattuali e realtà tecnica dell’infrastruttura (log, API, export dati, replica, livelli di servizio).

Data Act, GDPR, NIS2 e sicurezza informatica aziendale nel 2026

Nel 2026 le imprese non possono più permettersi di trattare Data Act, GDPR, NIS2, AI Act e le altre normative digitali come “silos” separati: i dati condivisi, spostati, esportati e aggregati sono spesso gli stessi, e gli obblighi si sovrappongono.

Tre prospettive da integrare:

• Data protection (GDPR): ogni condivisione di dati che includa informazioni personali deve rispettare i principi di liceità, minimizzazione e limitazione della finalità, nonché misure tecniche e organizzative adeguate per la sicurezza e la privacy by design.
• Cybersecurity e continuità (NIS2): molte imprese rientrano nel perimetro NIS2 e devono garantire un livello minimo di sicurezza delle reti e dei sistemi; le aperture di flussi dati verso terzi, le nuove integrazioni e la maggiore portabilità devono essere progettate con firewall, segmentazione di rete, sistemi di backup e piani di incident response adeguati.
• Accesso e condivisione (Data Act): la maggiore circolazione dei dati non deve trasformarsi in una superficie di attacco più ampia; servono controlli sugli accessi, logging, autenticazione forte, verifiche sui partner e sulle modalità tecniche di trasferimento dei dati.

In quest’ottica diventano cruciali anche i temi trattati nell’articolo relativo alla cybersecurity per gli studi legali nel 2026 e sugli incidenti legati al furto di identità digitale: la stessa logica di prevenzione, monitoraggio continuo e risposta coordinata vale anche per lo scenario Data Act. Lanpartners può proporre percorsi integrati che partono dalla fotografia dell’esistente (gestionali, cloud, networking, PEC, data center) e arrivano a un modello di governance in cui Data Act, GDPR, NIS2 e AI Act si traducono in regole IT, contratti e formazione.

Come prepararsi (o mettersi in pari) nel 2026: piano operativo per le imprese

Per le imprese che nel 2025 hanno iniziato a lavorare sul Data Act, il 2026 è l’anno del consolidamento; per chi è rimasto indietro, è il momento di recuperare con un piano pragmatico.

1. Aggiornare la mappatura di sistemi e dati

• Non limitarsi a un elenco statico: nel 2026 molte aziende hanno introdotto nuovi servizi cloud, moduli ERP, sensori o strumenti di analytics; è il momento di aggiornare la mappa dei prodotti connessi, dei servizi digitali e dei flussi di dati.
• Collegare ogni sistema ai relativi contratti: capire dove esistono diritti di accesso già previsti, dove le clausole sono silenziose o potenzialmente abusive, dove serve rinegoziare.

2. Definire una strategia di priorità

• Partire dai sistemi “core”: macchinari critici per la produzione, ERP, CRM, piattaforme cloud con dati strategici o sensibili.
• Concentrarsi sui contratti che scadono o si rinnovano tra il 2026 e il 2027, per inserire da subito clausole in linea con la Data Act, il GDPR e il NIS2.

3. Rivedere contratti e governance dei rapporti con i fornitori

• Preparare una checklist Data Act per i contratti IT: accesso ai dati, formati, tempistiche, costi, diritti di condivisione con terzi, misure di sicurezza, regole per lo switching e l’uscita.
• Introdurre, quando possibile, allegati tecnici (es. schede su API, log, modalità di export) che riflettano la realtà delle infrastrutture e degli ambienti IT gestiti da partner esterni, come descritto nella pagina sui servizi IT personalizzati

4. Adeguare infrastruttura IT a portabilità e sicurezza

• Verificare che l’infrastruttura (router aziendali, firewall, networking, sistemi di replica e di archiviazione) consenta di ricevere, consolidare e condividere dati in modo sicuro e tracciabile.
• Integrare il tema Data Act nelle strategie di continuità operativa, facendo riferimento alle migliori pratiche illustrate nella guida su disaster recovery e business continuity

5. Formalizzare policy interne e percorsi di formazione

• Definire chi, in azienda, può richiedere dati ai fornitori, chi può condividerli con terzi, con quali verifiche legali e tecniche e come documentare queste decisioni.
• Formare management e personale operativo sui nuovi diritti e obblighi: cosa significa Data Act per chi lavora con ERP, CRM, macchinari connessi, servizi cloud e centralini VOIP, collegando il tutto ai percorsi già avviati su AI Act, sull’intelligenza artificiale negli studi e sui modelli di IA nel legal tech.

Lanpartners può affiancare l’impresa in ciascuno di questi step, integrando il lavoro sul Data Act con progetti già in corso sull’AI Act 2026, sulla cybersecurity, sulla digitalizzazione dei processi e sui servizi IT gestiti.

Il ruolo di Lanpartners nel 2026: dati, diritto, infrastruttura

Nel 2026 Lanpartners continua a posizionarsi come “concierge tecnologico” per imprese e studi che vogliono governare i propri dati, non solo proteggerli. L’esperienza nelle infrastrutture IT, nei servizi cloud, nel networking aziendale, nel backup e nelle soluzioni di continuità si integra con le competenze in normative come AI Act 2026, NIS2 e Data Act, creando un ponte concreto tra diritto e tecnologia.

Nel concreto, Lanpartners può:

• Aiutare le imprese a costruire una mappa ragionata di dispositivi connessi, gestionali, servizi cloud e flussi dati, individuando dove il Data Act apre nuove opportunità di accesso e condivisione.​
• Supportare la revisione di contratti IT e accordi con software house, provider cloud e fornitori di servizi informatici per le aziende, inserendo clausole che riflettano sia i requisiti normativi sia le caratteristiche tecniche effettive dei sistemi.​
• Progettare e implementare soluzioni di rete, sicurezza, backup, data center e virtual desktop che rendano praticabili la portabilità, l’interoperabilità e il switching, senza compromettere la sicurezza digitale e il business continuity.
• Strutturare percorsi di formazione e accompagnamento per imprenditori, top management e personale operativo, in modo che Data Act, GDPR, NIS2 e AI Act non restino “materia da convegno”, ma si traducano in decisioni quotidiane coerenti.

Contattateci per ogni ulteriore informazione. 

FAQ 2026 sul Data Act e la condivisione dei dati

1. Nel 2026 il Data Act è già pienamente operativo?

Sì: il Regolamento UE 2023/2854 è pienamente applicabile dal 12 settembre 2025, anche se alcune disposizioni tecniche sulla progettazione di nuovi prodotti connessi e alcune norme sulle clausole abusive hanno scadenze differenziate tra 2026 e 2027.

2. Cosa è cambiato per le imprese dopo il 12 settembre 2025?

Dal 12 settembre 2025 le imprese hanno diritti rafforzati di accesso e condivisione sui dati generati da prodotti connessi e servizi digitali e devono rivedere contratti e infrastruttura IT per garantire portabilità, interoperabilità e condizioni eque, ragionevoli e non discriminatorie.

3. Se non ho ancora fatto nulla sul Data Act, sono in ritardo?

Nel 2026 non si è più “in anticipo”: chi non ha ancora mappato sistemi e contratti è in ritardo, ma può ancora impostare un piano di recupero concentrandosi su sistemi core e contratti in scadenza, per poi estendere gradualmente la compliance.

4. Il Data Act vale anche per i dati che contengono segreti commerciali?

Sì, ma con cautele: il regolamento tutela espressamente i segreti commerciali e prevede che la condivisione dei dati non comprometta il know‑how e la proprietà intellettuale; sono possibili misure tecniche, contrattuali e organizzative per mitigare i rischi.

5. Come può aiutarmi Lanpartners nel 2026?

Lanpartners può combinare servizi di consulenza IT, progettazione di infrastrutture (rete, cloud, backup, sicurezza), revisione tecnica dei contratti IT e supporto alla governance dei dati, costruendo con l’azienda un percorso di adeguamento al Data Act coerente con GDPR, NIS2 e AI Act e integrato nella strategia di digitalizzazione complessiva.