Ce que le Data Act accorde réellement
Le Data Act européen est entré en application le 12 septembre 2025. Il établit que les données générées par un produit connecté appartiennent, dans leur usage, à la personne qui utilise ce produit, et non à la seule entreprise qui l'a fabriqué. Un utilisateur, qu'il soit un consommateur ou une autre entreprise, peut exiger l'accès aux données du produit et aux données de service associées auxquelles le détenteur des données a accès, fournies dans un format couramment utilisé et lisible par machine et, lorsque cela est pertinent et techniquement réalisable, mises à disposition en continu et en temps réel.
Il s'agit d'un règlement différent du Cyber Resilience Act. Le Cyber Resilience Act régit la sécurité d'un produit. Le Data Act régit les droits sur les données que ce produit produit. Un constructeur de machines peut être pleinement conforme en matière de sécurité et devoir malgré tout à un utilisateur les données que cette machine génère. Les deux obligations courent en parallèle, et toutes deux s'appliquent aux fabricants qui vendent sur le marché européen, quel que soit le lieu où ils sont établis.
L'accès dès la conception et le partage à des conditions équitables
Les produits connectés et les services associés mis sur le marché européen à partir du 12 septembre 2026 doivent être conçus de telle sorte que les données soient, par défaut, facilement, en toute sécurité, gratuitement et directement accessibles à l'utilisateur, dans un format structuré, couramment utilisé et lisible par machine. L'accès direct, sans intervention du détenteur des données, n'est requis que lorsque cela est pertinent et techniquement réalisable, mais la question de la conception doit désormais être tranchée avant qu'un produit n'atteigne le marché, et non après la demande d'un client.
L'utilisateur peut également exiger que ces données soient partagées avec un tiers de son choix, par exemple un prestataire de maintenance ou un service concurrent. Lorsqu'un détenteur de données partage des données avec un tiers, les conditions doivent être équitables, raisonnables et non discriminatoires. La charge de la preuve est inversée : c'est au détenteur des données de démontrer que ses conditions sont non discriminatoires, et non au destinataire de prouver qu'elles sont inéquitables. Le passage à un autre prestataire est censé être simple plutôt qu'entravé.
Ce que cela signifie pour les propriétaires et les constructeurs de machines
Pour un dirigeant de Mittelstand dont les produits sont connectés, le changement concret réside dans la maîtrise du flux de données. Les données de télémétrie, d'usage et de performance que produit votre parc installé ne sont plus les vôtres à détenir seul. Un client peut les demander, et peut vous demander de les remettre à un tiers qu'il a choisi, à des conditions que vous devez être en mesure de défendre comme équitables. Les modèles de service après-vente qui reposaient sur le fait d'être la seule partie à détenir les données doivent être reconsidérés sur cette base.
Le travail à accomplir est concret et datable. Recensez les données que génère chaque produit connecté et celles qui relèvent du champ d'application. Décidez de la manière dont l'accès sera fourni, que ce soit par une interface directe ou sur demande. Préparez des conditions contractuelles de partage avec des tiers dont vous pourrez démontrer le caractère non discriminatoire. Les produits conçus aujourd'hui sont ceux qui seront mis sur le marché en 2026, les décisions de conception se prennent donc dès maintenant.
À lire ensuite: L'Allemagne dispose désormais d'une autorité de régulation de l'IA désignée · Vos contenus IA n'appartiennent peut-être à personne