Il Data Act è una di quelle norme che, se la si guarda solo con gli occhi della compliance, rischia di sembrare l’ennesimo adempimento da gestire. Se però la si legge come pezzo della strategia industriale europea, si capisce che il vero obiettivo è redistribuire potere lungo la filiera dei dati, riducendo l’asimmetria tra chi usa un prodotto connesso e chi controlla l’ecosistema digitale che lo circonda.
Per le startup questo cambio di paradigma conta per almeno tre motivi: apre nuovi spazi di mercato legati ai dati generati dai prodotti e dai servizi digitali, cambia le regole del gioco nel confronto con i grandi incumbent e impone da subito un salto di maturità nella gestione e nella governance dei dati.
Indice degli argomenti
Dal dato “chiuso” al dato attivabile
Dal 12 settembre 2025 il Regolamento UE 2023/2854 è applicabile in tutta l’Unione e stabilisce che chi utilizza un prodotto connesso o un servizio digitale correlato ha il diritto di accedere gratuitamente ai dati generati dall’uso e di condividerli con un soggetto terzo di fiducia. In altre parole, i dati non restano più confinati nel perimetro del produttore o del fornitore, ma diventano una risorsa che l’utente può “attivare”, ad esempio chiedendo che siano trasferiti a un fornitore alternativo o a un partner tecnologico.
Per una startup questo significa che una parte dei dati generati da macchinari, veicoli, dispositivi smart o servizi SaaS diventa contendibile: sulla base della scelta dell’utente sarà possibile costruire servizi di manutenzione predittiva, analytics avanzati, ottimizzazione energetica, assicurazioni pay-per-use o integrazioni tra sistemi che prima dipendevano solo dalla disponibilità del produttore a concedere accesso tramite API proprietarie.
Quali dati entrano in gioco (e quali restano fuori)
Il Data Act concentra l’obbligo di accesso sui dati grezzi e sui dati pretrattati con operazioni minime, cioè quelli raccolti dai sensori o dai componenti del prodotto e resi disponibili senza elaborazioni complesse. Restano invece fuori dall’obbligo i dati derivati, le elaborazioni avanzate, le inferenze ottenute tramite algoritmi o modelli di intelligenza artificiale e i dati aggregati riferiti a più utenti o dispositivi.
Per l’ecosistema startup questo equilibrio è importante: avere accesso alla “materia prima” permette di sviluppare nuove soluzioni a valle, senza che i titolari dei dati siano obbligati a consegnare il cuore del proprio know-how analitico. Allo stesso tempo, il fatto che debbano essere dati “readily available” – già raccolti, accessibili senza sforzi sproporzionati – impone alle startup di fare un lavoro puntuale di mappatura: capire quali flussi esistono, in che formato sono, quali sono effettivamente nel perimetro del Regolamento e quali invece richiederebbero accordi aggiuntivi.
Segreti commerciali: dove sta il confine
Una delle tensioni più delicate riguarda la tutela dei segreti commerciali, del know-how e delle informazioni riservate. Il Data Act riconosce il problema e consente ai detentori dei dati di adottare misure tecniche, organizzative e contrattuali – accordi di riservatezza, limitazioni d’uso, pseudonimizzazione – per evitare divulgazioni incontrollate.
La linea di demarcazione, qui, è tra protezione legittima e barriera artificiale. Se l’eccezione sui segreti commerciali viene usata per rendere di fatto impossibile l’accesso, l’effetto pro-concorrenziale del Regolamento si annulla. Se invece queste misure sono trasparenti e proporzionate, possono aumentare la fiducia, facilitare la negoziazione e rendere più sostenibile per una startup l’accesso ai dati, sapendo con chiarezza quali componenti sono condivisibili e quali no.
Per le giovani imprese questo significa dotarsi fin da subito di strumenti adeguati: NDA pensati per l’economia dei dati, policy interne su chi può vedere cosa, logiche di minimizzazione dei dataset utilizzati, oltre a una chiara strategia su quali elementi del proprio servizio costituiscono a loro volta segreto commerciale.
2026: l’accesso “by design” come nuovo standard
Dal 12 settembre 2026 tutti i nuovi prodotti e servizi dovranno essere progettati in modo che i dati siano accessibili “by design“: per impostazione predefinita all’utente, in maniera facile, sicura, gratuita, in formati strutturati, di uso comune e leggibili da macchina. Tradotto: le interfacce di accesso ai dati e le API standardizzate diventano un requisito normativo e non più una concessione opzionale del produttore.
Questo passaggio è cruciale perché trasforma l’accesso ai dati da eccezione negoziale a criterio di progettazione e, di fatto, a standard competitivo. Chi progetterà meglio l’accesso – qualità delle API, documentazione, sicurezza, governance – sarà più interessante per partner, integratori e startup che costruiscono servizi a valore aggiunto.
Per le startup B2B che lavorano su IoT, industria 4.0 o servizi data-driven significa poter impostare roadmap di prodotto e strategie di go-to-market sapendo che la disponibilità del dato tenderà a diventare più prevedibile, almeno per i prodotti di nuova generazione che rispetteranno il requisito “by design”.
Data Act e GDPR: innovazione solo se la governance è solida
Molti dei dataset coinvolti saranno misti, con componenti personali e non personali. Il Data Act non crea una base giuridica autonoma per il trattamento: ogni richiesta di accesso o condivisione che tocchi dati personali resta soggetta al GDPR, ai suoi principi di liceità, correttezza, trasparenza, minimizzazione e proporzionalità.
Per una startup questo si traduce in un messaggio semplice ma impegnativo: la possibilità di accedere a nuovi dati non elimina la responsabilità di trattarli correttamente. Servono processi chiari sulle basi giuridiche (consenso, contratto, legittimo interesse), sulla gestione dei diritti degli interessati, sulla sicurezza e sulla documentazione delle scelte di trattamento. In molti casi, la capacità di integrare la compliance nella value proposition – spiegare perché il proprio servizio è non solo innovativo ma anche “privacy by design“ – diventerà un elemento competitivo, soprattutto nei rapporti B2B2C.
Cloud, portabilità e fine del lock-in come occasione per le soluzioni verticali
Il Data Act interviene anche sul terreno della portabilità dei dati nei servizi cloud e di data processing, con un obiettivo chiaro: ridurre il lock-in e rafforzare la concorrenza. I provider dovranno rimuovere gli ostacoli tecnici e contrattuali allo switching, predisporre strumenti e formati interoperabili e, dopo una fase transitoria, non potranno più applicare costi di uscita.
A partire dal 12 settembre 2025, gli oneri economici legati al cambio fornitore potranno essere chiesti solo nei limiti dei costi effettivi sostenuti, mentre dal 12 gennaio 2027 ogni “switching charge” sarà vietata. Questo scenario può favorire un mercato più dinamico, nel quale le imprese sono più libere di combinare soluzioni best-of-breed, scegliere piattaforme verticali o specializzate e sostituirle se non rispondono più alle esigenze.
Per le startup cloud-native è una finestra di opportunità:
- più spazio per servizi verticali costruiti su esigenze specifiche di settore, senza competere solo sul prezzo con i grandi hyperscaler;
- possibilità di presentarsi ai clienti come alternativa credibile, anche perché il costo di uscita dal fornitore incumbent diventa molto più basso o nullo;
- necessità, però, di progettare architetture interoperabili e percorsi di migrazione chiari, perché la facilità di switching diventerà uno dei criteri con cui le imprese valuteranno le soluzioni.
Cosa dovrebbero fare oggi startup e PMI
Il Data Act è già pienamente applicabile: significa che l’adeguamento non è un esercizio teorico, ma una priorità operativa. Per non subirlo come mero adempimento, startup e PMI possono muoversi lungo alcune linee concrete:
- Mappare i flussi di dati: capire quali dati vengono generati dai prodotti e dai servizi, in quali formati, da chi sono detenuti e quali rientrano nella categoria di dati “readily available” su cui insistono i diritti di accesso e condivisione.
- Rivedere contratti e clausole B2B: aggiornare gli accordi che disciplinano accesso, uso e condivisione dei dati, introducendo condizioni chiare su responsabilità, misure di sicurezza, tutela dei segreti commerciali e modalità di risposta alle richieste degli utenti e dei terzi designati.
- Definire procedure interne: strutturare processi per gestire in modo tracciabile e tempestivo le richieste di accesso e trasmissione dati, distinguendo i casi in cui si può dire sì, quelli in cui si deve dire no e come motivarlo.
- Investire in sicurezza, interoperabilità e data governance: trattare questi elementi non come costi accessori ma come componenti del prodotto, in grado di aumentare fiducia e attrattività verso clienti enterprise e partner industriali.
Il punto, in definitiva, è che il Data Act non è solo un regolamento “tecnico”. È uno degli strumenti con cui l’Europa prova a rendere l’economia dei dati più contendibile, aprendo spazi a nuovi entranti e modelli di business. Per le startup può diventare una leva reale di crescita, a patto di affrontarlo con la stessa attenzione strategica che si dedica a un nuovo mercato: capire le regole del gioco, progettare prodotti e relazioni di conseguenza, e considerare la qualità della gestione dei dati come parte integrante della propria proposta di valore.
