5 août 2026.
Présentation générale
Le Data Act, ou règlement européen sur les données, est le règlement (UE) 2023/2854 du 13 décembre 2023 concernant des règles harmonisées portant sur l’équité de l’accès aux données et de leur utilisation.
Il est entré en vigueur le 11 janvier 2024 et est applicable, pour l’essentiel, depuis le 12 septembre 2025. Il constitue l’un des principaux piliers de la stratégie européenne pour les données.
Le Data Act vise à mieux répartir la valeur économique issue des données, notamment celles générées par les produits connectés et les services qui leur sont associés. Il cherche à éviter que le fabricant d’un objet ou le fournisseur d’un service conserve seul la maîtrise des données produites par son utilisation.
Le règlement organise principalement :
- l’accès des utilisateurs aux données générées par les produits connectés ;
- la transmission de ces données à des tiers choisis par les utilisateurs ;
- les conditions équitables du partage obligatoire de données entre entreprises ;
- la protection contre certaines clauses contractuelles abusives ;
- l’accès exceptionnel des organismes publics à des données détenues par des entreprises ;
- le changement de fournisseur de services cloud ou de traitement de données ;
- la protection des données non personnelles contre certains accès publics extraterritoriaux ;
- l’interopérabilité des espaces de données et des services de traitement ;
- certaines exigences applicables aux contrats intelligents.
Le Data Act n’est pas un règlement consacré spécifiquement à l’intelligence artificielle. Il joue néanmoins un rôle majeur dans son développement, car l’IA repose sur l’accès à des données suffisamment nombreuses, structurées et exploitables.
Il peut notamment permettre à une entreprise de récupérer les données produites par :
- ses machines industrielles ;
- ses véhicules ;
- ses robots ;
- ses équipements agricoles ;
- ses dispositifs de surveillance énergétique ;
- ses objets de santé connectés ;
- ses infrastructures logistiques.
Ces données peuvent ensuite alimenter des systèmes d’IA destinés à :
- prévoir une panne ;
- optimiser une production ;
- réduire la consommation énergétique ;
- détecter une anomalie ;
- développer un service de maintenance ;
- améliorer un modèle prédictif ;
- entraîner un système spécialisé.
Le Data Act ne crée cependant pas un droit général d’accès à toutes les données d’une entreprise ou à tous les corpus nécessaires à l’entraînement d’un modèle. Son champ est précisément défini et demeure articulé avec le RGPD, le droit de la propriété intellectuelle, le secret des affaires, le droit de la concurrence et l’AI Act.
La base Dabo Tibi Ius présente le Data Act comme l’un des éléments essentiels de la gouvernance européenne des données, aux côtés du Data Governance Act, du RGPD, de l’AI Act et de la directive Open Data.
Points essentiels
- Le Data Act est applicable depuis le 12 septembre 2025.
- Il concerne principalement les données générées par les produits connectés et les services associés.
- Les utilisateurs peuvent être des particuliers ou des entreprises.
- Ils doivent pouvoir accéder aux données qu’ils contribuent à générer.
- Ils peuvent demander leur transmission à un tiers de leur choix.
- Les contrôleurs d’accès désignés au titre du Digital Markets Act ne peuvent normalement pas recevoir ces données en qualité de tiers.
- Le Data Act couvre les données personnelles comme non personnelles, sous réserve du RGPD.
- Les données fortement déduites ou enrichies ne relèvent pas nécessairement du droit d’accès.
- L’utilisateur ne peut pas utiliser les données obtenues pour développer un produit connecté concurrent du produit dont elles proviennent.
- Il peut toutefois les utiliser pour des services complémentaires, notamment de maintenance ou d’analyse.
- Le détenteur des données doit protéger ses secrets d’affaires, mais ne peut pas invoquer abstraitement le secret pour refuser tout partage.
- Les conditions de partage obligatoire entre entreprises doivent être équitables, raisonnables et non discriminatoires.
- Certaines clauses contractuelles imposées unilatéralement peuvent être privées d’effet.
- Les organismes publics peuvent demander des données privées uniquement dans certaines situations de besoin exceptionnel.
- Les clients doivent pouvoir changer plus facilement de fournisseur cloud.
- Les frais de changement de fournisseur, notamment certains frais de sortie de données, doivent disparaître au plus tard le 12 janvier 2027.
- Le Data Act peut faciliter l’accès aux données nécessaires à des systèmes d’IA industriels.
- Il ne remplace ni le RGPD ni l’AI Act.
1. Finalité du Data Act
1.1. Une meilleure répartition de la valeur des données
Les objets connectés produisent continuellement des données relatives à leur fonctionnement et à leur utilisation.
Il peut s’agir :
- de température ;
- de vitesse ;
- de pression ;
- de consommation ;
- de localisation ;
- de taux d’usure ;
- de vibrations ;
- d’incidents ;
- de performances.
Avant le Data Act, ces informations restaient souvent sous le contrôle exclusif du fabricant ou du fournisseur du service, même lorsqu’elles étaient produites grâce à l’usage du client.
Le règlement cherche à permettre à l’utilisateur de tirer lui aussi parti des données qu’il contribue à générer.
1.2. Favoriser les marchés secondaires
L’accès aux données peut permettre à des acteurs autres que le fabricant de proposer :
- une maintenance indépendante ;
- une réparation ;
- une assurance fondée sur l’usage ;
- une optimisation industrielle ;
- une analyse énergétique ;
- un service de diagnostic ;
- une solution d’intelligence artificielle.
La Commission cite notamment les véhicules connectés, les dispositifs de suivi de santé, les équipements domestiques intelligents, les avions, les robots et les machines industrielles parmi les produits susceptibles d’être concernés.
1.3. Réduire les situations de verrouillage
Le règlement vise également à limiter le verrouillage technologique, notamment dans les services cloud.
Une entreprise ne devrait pas être empêchée de changer de fournisseur par :
- des formats incompatibles ;
- des frais excessifs ;
- l’absence d’exportation ;
- des procédures de sortie très longues ;
- une dépendance à des interfaces propriétaires.
2. Produits connectés et services associés
2.1. Produit connecté
Un produit connecté est un bien qui :
- obtient, génère ou collecte des données relatives à son utilisation ou à son environnement ;
- peut communiquer ces données par un service de communication électronique, une connexion physique ou un accès depuis l’appareil.
Peuvent notamment être concernés :
- une voiture connectée ;
- une machine agricole ;
- un robot industriel ;
- une montre intelligente ;
- une chaudière ;
- un appareil électroménager ;
- un dispositif médical connecté ;
- un équipement logistique.
2.2. Service associé
Un service associé est un service numérique lié au produit et nécessaire à certaines de ses fonctions ou susceptible de modifier son comportement.
Exemples :
- une application contrôlant un thermostat ;
- un logiciel analysant les performances d’une machine ;
- une application permettant de paramétrer un véhicule ;
- une plateforme de surveillance d’un dispositif connecté.
2.3. Utilisateur
L’utilisateur peut être une personne physique ou morale qui :
- possède le produit ;
- le loue ;
- le prend en crédit-bail ;
- reçoit contractuellement un service associé.
Une entreprise exploitant une flotte de machines peut donc bénéficier des droits prévus par le règlement.
3. Données relevant du droit d’accès
3.1. Données brutes et prétraitées
Le droit d’accès concerne principalement les données :
- brutes ;
- prétraitées ;
- facilement accessibles au détenteur ;
- générées par l’usage du produit ou du service.
Il peut également couvrir les métadonnées nécessaires pour comprendre et utiliser ces informations.
La Commission cite par exemple les mesures de température, de pression, de débit, de vitesse ou de position.
3.2. Données déduites ou fortement enrichies
Les données résultant d’une analyse complexe ou d’un investissement intellectuel supplémentaire peuvent être exclues.
Ainsi, il faut distinguer :
- la mesure brute d’une vibration ;
- le diagnostic de panne produit par un algorithme propriétaire à partir de cette mesure.
La première peut relever du droit d’accès ; le second peut constituer une donnée déduite ou dérivée située hors du champ de l’obligation.
Cette frontière sera importante pour les systèmes d’IA, car une grande partie de leur valeur réside précisément dans les inférences produites.
3.3. Contenus
Le contenu consommé au moyen d’un appareil n’est pas nécessairement couvert.
Par exemple, lorsqu’une personne regarde un film sur une télévision connectée, le film n’entre pas dans le champ du Data Act au seul motif qu’il est affiché par l’appareil. En revanche, certaines données techniques relatives au fonctionnement de l’écran peuvent être concernées.
4. Accès direct et accès sur demande
4.1. Conception permettant l’accès
Le règlement cherche à ce que les produits connectés et services associés soient conçus de manière à rendre les données aisément accessibles à l’utilisateur lorsque cela est pertinent et techniquement possible.
Cette exigence de conception s’applique aux produits connectés mis sur le marché après la date particulière prévue par le règlement, soit le 12 septembre 2026.
Elle doit encourager une approche d’accessibilité des données dès la conception.
4.2. Accès sur demande
Lorsque l’accès direct n’est pas possible, le détenteur doit mettre les données à la disposition de l’utilisateur :
- sans retard injustifié ;
- gratuitement ;
- dans un format complet, structuré, couramment utilisé et lisible par machine ;
- avec une qualité équivalente à celle dont il dispose.
Pour les données produites en continu et en temps réel, leur fourniture peut devoir être réalisée en continu et en temps réel lorsque cela est pertinent et techniquement possible.
4.3. Informations précontractuelles
Avant la conclusion du contrat, l’utilisateur doit recevoir des informations concernant notamment :
- la nature des données produites ;
- leur volume estimé ;
- la fréquence de collecte ;
- les modalités d’accès ;
- la capacité du détenteur à utiliser ces données ;
- l’identité du détenteur ;
- les conditions de partage avec des tiers.
5. Transmission à un tiers
5.1. Tiers choisi par l’utilisateur
L’utilisateur peut demander que les données soient transmises à un tiers.
Ce tiers peut proposer :
- un service de maintenance prédictive ;
- une analyse de performance ;
- une assurance ;
- une application de gestion ;
- un modèle d’intelligence artificielle ;
- un service d’optimisation énergétique.
Le détenteur doit fournir les données selon des conditions équitables, raisonnables et non discriminatoires.
5.2. Exclusion des contrôleurs d’accès
Les entreprises désignées comme gatekeepers au titre du Digital Markets Act ne peuvent normalement pas recevoir les données en qualité de tiers bénéficiaire dans le cadre prévu par le Data Act.
Cette restriction vise à éviter que les plus grandes plateformes renforcent encore leur position grâce aux nouveaux droits d’accès.
5.3. Interdiction de développer un produit concurrent
L’utilisateur ou le tiers ne peut pas utiliser les données obtenues pour développer un produit connecté concurrent du produit ayant généré les données.
Cette interdiction ne couvre pas nécessairement :
- les services de réparation ;
- la maintenance ;
- les services après-vente ;
- les outils d’analyse ;
- les services complémentaires.
Une entreprise peut donc développer une IA de maintenance à partir des données d’une machine sans nécessairement pouvoir utiliser les mêmes données pour fabriquer une machine concurrente.
6. Utilisation des données par le détenteur
Le détenteur ne peut pas utiliser les données non personnelles générées par le produit sans disposer d’un accord contractuel avec l’utilisateur.
Cette règle limite la possibilité pour le fabricant d’exploiter librement toutes les données produites par le client.
Le contrat doit préciser notamment :
- les données concernées ;
- les finalités ;
- les modalités d’utilisation ;
- les éventuels destinataires ;
- la durée ou les conditions de l’exploitation.
Le détenteur ne peut pas utiliser les données pour obtenir des informations sur la situation économique, les actifs ou les méthodes de production de l’utilisateur dans des conditions susceptibles de porter atteinte à sa position commerciale.
7. Articulation avec le RGPD
7.1. Données mixtes
Les données d’un produit connecté sont souvent mixtes : elles peuvent comprendre à la fois des informations personnelles et non personnelles.
Exemple :
- données techniques d’un véhicule ;
- localisation du conducteur ;
- habitudes de déplacement ;
- données relatives à l’état de la batterie.
Le Data Act ne crée pas une base juridique autonome permettant de communiquer toutes les données personnelles.
Lorsque l’utilisateur demande des données concernant une autre personne, leur transmission suppose notamment une base juridique au sens du RGPD.
7.2. Personne concernée et utilisateur
L’utilisateur du produit n’est pas toujours la personne concernée par les données.
Une entreprise peut être propriétaire d’un véhicule utilisé par un salarié. Le véhicule génère alors :
- des données relevant des droits de l’entreprise comme utilisateur ;
- des données personnelles concernant le conducteur.
Les droits prévus par le Data Act doivent être conciliés avec ceux de la personne concernée.
7.3. Priorité de la protection des données
Le Data Act est sans préjudice du RGPD.
En cas de conflit portant sur des données personnelles, les règles de protection des données prévalent. Le détenteur doit donc vérifier :
- la licéité de la communication ;
- la minimisation ;
- l’information ;
- la sécurité ;
- les droits des personnes ;
- la limitation des finalités.
8. Secret des affaires
8.1. Protection des informations confidentielles
Les données demandées peuvent révéler :
- un procédé industriel ;
- un fonctionnement interne ;
- une architecture technique ;
- un savoir-faire ;
- une méthode de production.
Le détenteur et l’utilisateur ou le tiers doivent convenir de mesures destinées à préserver la confidentialité des secrets d’affaires.
Ces mesures peuvent comprendre :
- une obligation de confidentialité ;
- des restrictions d’accès ;
- des mesures de sécurité ;
- une limitation des finalités ;
- une interdiction de divulgation ;
- un environnement contrôlé.
8.2. Refus exceptionnel
Le détenteur ne peut pas invoquer le secret des affaires de manière générale pour neutraliser le droit d’accès.
Il peut suspendre ou refuser la communication seulement dans les conditions strictes prévues par le règlement, notamment lorsqu’il peut démontrer une forte probabilité de préjudice économique sérieux résultant de la divulgation.
La décision doit pouvoir être contestée.
8.3. Enjeux pour l’IA
Un jeu de données peut être accessible sans que le modèle, ses paramètres, ses règles de calcul ou les données fortement dérivées soient eux-mêmes communicables.
Le Data Act ouvre l’accès aux données générées ; il ne confère pas un droit général d’accès :
- au code source ;
- au modèle d’IA ;
- aux paramètres ;
- à l’algorithme propriétaire ;
- au raisonnement commercial du fournisseur.
9. Partage obligatoire entre entreprises
Lorsqu’une entreprise est tenue par le droit européen ou national de mettre des données à la disposition d’une autre entreprise, les conditions doivent être :
- équitables ;
- raisonnables ;
- non discriminatoires ;
- transparentes.
Le détenteur peut demander une compensation raisonnable.
Pour les PME et certains organismes de recherche sans but lucratif, la compensation ne peut normalement pas dépasser les coûts directement liés à la mise à disposition.
Ces règles peuvent faciliter l’accès de petites entreprises innovantes à des données nécessaires pour développer des services d’IA.
10. Clauses contractuelles abusives entre entreprises
10.1. Clauses imposées unilatéralement
Le Data Act protège les entreprises contre certaines clauses relatives à l’accès aux données et à leur utilisation lorsqu’elles sont imposées unilatéralement par une partie disposant d’un pouvoir de négociation supérieur.
Le régime ne concerne pas toute clause défavorable librement négociée. Il vise principalement les stipulations imposées sur une base non négociable.
10.2. Clauses toujours abusives
Certaines clauses sont réputées abusives, notamment celles qui tendent à :
- exclure ou limiter la responsabilité pour faute intentionnelle ou faute lourde ;
- exclure les recours essentiels de l’autre partie ;
- priver le cocontractant des droits fondamentaux du contrat.
10.3. Clauses présumées abusives
D’autres clauses sont présumées abusives, par exemple lorsqu’elles :
- limitent de manière inappropriée les recours ;
- permettent l’utilisation des données au détriment grave de l’autre partie ;
- imposent des charges manifestement disproportionnées ;
- empêchent l’accès aux données fournies ou générées.
La partie ayant imposé la clause peut tenter de démontrer qu’elle n’est pas abusive.
10.4. Effet
La clause abusive ne lie pas la partie à laquelle elle a été imposée. Le reste du contrat peut demeurer applicable s’il peut subsister sans cette stipulation.
11. Accès des organismes publics aux données privées
11.1. Besoin exceptionnel
Le Data Act permet à certains organismes publics et institutions européennes de demander des données détenues par une entreprise lorsqu’il existe un besoin exceptionnel.
Il ne s’agit pas d’un droit général d’accès administratif aux données privées.
11.2. Urgence publique
Une demande peut intervenir pour répondre à une urgence publique, par exemple :
- une catastrophe naturelle ;
- une pandémie ;
- un incident majeur de cybersécurité ;
- une crise grave.
Les données non personnelles doivent être privilégiées. Des données personnelles peuvent être demandées si elles sont nécessaires et si les données non personnelles ne suffisent pas.
11.3. Autres missions d’intérêt public
En dehors d’une urgence, un organisme peut demander certaines données non personnelles nécessaires à l’accomplissement d’une mission particulière d’intérêt public prévue par la loi, lorsqu’il n’a pas pu obtenir ces informations par d’autres moyens.
11.4. Garanties
La demande doit être :
- spécifique ;
- motivée ;
- proportionnée ;
- limitée dans le temps ;
- transparente ;
- respectueuse des secrets d’affaires ;
- accompagnée de mesures de sécurité.
Les données doivent être supprimées lorsqu’elles ne sont plus nécessaires.
12. Changement de fournisseur cloud
12.1. Champ
Le Data Act s’applique aux services de traitement de données, notamment :
- infrastructure en tant que service ;
- plateforme en tant que service ;
- logiciel en tant que service ;
- services cloud ;
- services edge.
Les fournisseurs doivent faciliter le passage :
- vers un autre fournisseur ;
- vers une infrastructure interne ;
- vers plusieurs fournisseurs.
12.2. Obligations contractuelles
Les contrats doivent notamment préciser :
- les modalités de changement ;
- les délais ;
- les données exportables ;
- la continuité du service ;
- l’assistance fournie ;
- les éventuels frais ;
- les modalités de récupération.
12.3. Équivalence fonctionnelle
Pour certains services, le fournisseur doit faciliter le maintien d’un niveau raisonnable de fonctionnalité lors du changement.
Cette exigence ne signifie pas que deux services cloud doivent être strictement identiques. Elle vise à éviter que l’absence de coopération du fournisseur rende la migration matériellement impossible.
12.4. Suppression des frais de changement
Les frais liés aux opérations nécessaires au changement, y compris certains frais de sortie de données, doivent être totalement supprimés à compter du 12 janvier 2027.
Jusqu’à cette date, seuls des frais réduits et encadrés peuvent être appliqués.
13. Data Act et fournisseurs d’IA en cloud
Un système d’IA peut être fourni sous forme :
- d’API ;
- de plateforme SaaS ;
- de modèle hébergé ;
- de service de calcul ;
- d’environnement de développement ;
- d’agent intégré à une infrastructure cloud.
Le Data Act peut alors faciliter :
- l’exportation des données d’entrée et de sortie ;
- la récupération des métadonnées ;
- le changement de fournisseur ;
- la réversibilité ;
- l’accès à des interfaces ouvertes ;
- la limitation des frais de sortie.
Il ne garantit cependant pas que le client pourra transférer :
- le modèle propriétaire ;
- les paramètres internes ;
- les secrets du fournisseur ;
- les fonctions spécifiques impossibles à reproduire ailleurs.
Le contrat doit donc distinguer clairement :
- les données appartenant au client ;
- les sorties ;
- les journaux ;
- les configurations ;
- les développements spécifiques ;
- le modèle du fournisseur.
14. Accès de gouvernements de pays tiers
Le Data Act protège les données non personnelles détenues dans l’Union contre certaines demandes d’accès ou de transfert provenant d’autorités publiques de pays tiers.
Le fournisseur de services de traitement doit prendre des mesures techniques, organisationnelles et juridiques appropriées pour empêcher un accès incompatible avec le droit européen ou national.
En l’absence d’un accord international applicable, une décision étrangère ne peut être reconnue ou exécutée que sous les conditions strictes prévues par le règlement.
Le Data Act n’interdit pas les transferts internationaux ordinaires de données. Il encadre les demandes d’autorités étrangères susceptibles de contourner les garanties européennes.
Cette protection peut être particulièrement importante pour les entreprises utilisant des fournisseurs d’IA ou de cloud établis hors de l’Union.
15. Interopérabilité
15.1. Espaces européens de données
Le Data Act fixe des exigences destinées à favoriser l’interopérabilité des espaces européens de données.
Il peut notamment s’agir :
- de décrire le contenu des jeux de données ;
- d’utiliser des structures communes ;
- de prévoir des interfaces accessibles ;
- d’assurer la portabilité ;
- de documenter les conditions d’accès.
15.2. IA et interopérabilité
Une meilleure interopérabilité facilite :
- la combinaison de plusieurs sources ;
- la constitution de corpus ;
- l’utilisation d’un modèle dans plusieurs environnements ;
- le développement de services sectoriels ;
- la portabilité des chaînes d’IA.
Le Data Act peut ainsi soutenir les espaces de données en matière :
- de santé ;
- de mobilité ;
- d’industrie ;
- d’agriculture ;
- d’énergie ;
- de droit.
16. Contrats intelligents
Le Data Act prévoit des exigences pour certains contrats intelligents utilisés afin d’exécuter automatiquement des accords de partage de données.
Ils doivent notamment offrir :
- robustesse ;
- contrôle d’accès ;
- sécurité ;
- capacité à interrompre ou arrêter l’exécution ;
- archivage des données transactionnelles ;
- cohérence avec l’accord de partage.
Le texte vise les vendeurs d’applications utilisant des contrats intelligents ou les personnes dont l’activité implique leur déploiement pour autrui.
Ces règles peuvent concerner des dispositifs dans lesquels une IA déclenche automatiquement :
- une transmission de données ;
- un paiement ;
- une autorisation ;
- une restriction d’accès.
L’automatisation ne doit pas empêcher une intervention lorsque l’exécution devient erronée ou illicite.
17. Articulation avec l’AI Act
17.1. Objets différents
Le Data Act et l’AI Act poursuivent des objectifs distincts.
Data Act
Il réglemente principalement :
- l’accès aux données ;
- leur partage ;
- les contrats ;
- la portabilité ;
- le cloud ;
- l’interopérabilité.
AI Act
Il réglemente notamment :
- les pratiques d’IA interdites ;
- les systèmes à haut risque ;
- les modèles d’IA à usage général ;
- la transparence ;
- la supervision humaine ;
- la gestion des risques.
17.2. Complémentarité
Un fabricant de machine intelligente peut être simultanément :
- détenteur de données au sens du Data Act ;
- fournisseur d’un système d’IA au sens de l’AI Act ;
- responsable du traitement au sens du RGPD.
Il doit alors gérer plusieurs obligations :
- rendre certaines données accessibles ;
- protéger le secret des affaires ;
- documenter son système d’IA ;
- assurer sa sécurité ;
- respecter les données personnelles ;
- organiser les contrats.
17.3. Données d’entraînement
Le Data Act peut faciliter l’accès à des données industrielles permettant d’entraîner une IA.
Il ne régit toutefois pas directement :
- le web scraping ;
- la transparence des corpus des modèles généraux ;
- les exigences de qualité des données des systèmes à haut risque ;
- les réservations de droit d’auteur.
Ces questions relèvent principalement d’autres textes.
18. Articulation avec le Data Governance Act
Le Data Governance Act et le Data Act sont complémentaires.
Data Governance Act
Il organise notamment :
- la réutilisation de certaines données publiques protégées ;
- les services d’intermédiation de données ;
- l’altruisme en matière de données ;
- des mécanismes de confiance.
Data Act
Il crée ou précise :
- des droits d’accès ;
- des obligations de partage ;
- des protections contractuelles ;
- des règles de portabilité cloud.
La Commission résume cette articulation en indiquant que le Data Governance Act favorise la confiance dans les mécanismes volontaires de partage, tandis que le Data Act apporte une clarification juridique sur l’accès et l’utilisation des données.
19. Responsabilité et sécurité
19.1. Utilisation illicite des données
L’utilisateur ou le tiers doit respecter les limitations prévues par le règlement.
Le détenteur peut demander certaines mesures lorsque les données ont été obtenues ou utilisées illicitement, notamment :
- la cessation de l’utilisation ;
- la destruction des données ;
- l’arrêt de la production d’un produit développé illicitement ;
- une indemnisation.
19.2. Sécurité du produit
Le partage peut être limité lorsqu’il risque de compromettre des exigences de sécurité prévues par le droit et d’entraîner des effets graves sur la santé, la sécurité ou la sûreté des personnes.
La décision doit être justifiée et pouvoir faire l’objet d’un recours.
19.3. Sécurité des systèmes d’IA
Lorsqu’une donnée issue d’un objet connecté alimente une IA, il faut notamment prévenir :
- l’altération ;
- l’empoisonnement ;
- l’accès non autorisé ;
- la falsification des capteurs ;
- les données hors contexte ;
- l’utilisation pour une finalité incompatible.
L’ouverture des données ne doit pas conduire à diminuer les exigences de cybersécurité.
20. Autorités et sanctions
Les États membres doivent désigner une ou plusieurs autorités compétentes chargées de l’application du Data Act.
Lorsqu’il existe plusieurs autorités, un coordinateur des données doit servir de point de contact unique. La Commission tient un registre européen des autorités et coordinateurs.
Les sanctions sont déterminées par les États membres. Elles doivent être :
- effectives ;
- proportionnées ;
- dissuasives.
Il n’existe donc pas une amende européenne uniforme applicable à toute violation du Data Act.
Lorsque le manquement concerne des données personnelles, les sanctions du RGPD peuvent également être applicables.
21. Méthode de conformité
Pour un fabricant de produit connecté
- Identifier les données générées.
- Distinguer les données brutes des données dérivées.
- Prévoir l’accès dès la conception.
- Rédiger l’information précontractuelle.
- Organiser l’accès gratuit de l’utilisateur.
- Sécuriser les interfaces.
- Protéger les secrets d’affaires.
- Encadrer l’utilisation des données par contrat.
Pour une entreprise utilisatrice
- Recenser ses équipements connectés.
- Identifier les données utiles.
- Vérifier ses droits contractuels.
- Demander l’accès dans un format exploitable.
- Contrôler la présence de données personnelles.
- Déterminer les usages d’IA envisagés.
- Sécuriser la transmission à des tiers.
- Respecter l’interdiction de développer un produit concurrent.
Pour un fournisseur d’IA
- Déterminer si les données proviennent d’un droit Data Act.
- Vérifier les limitations d’usage.
- Identifier les secrets d’affaires.
- Définir sa qualité de tiers.
- Séparer les données du client de ses propres données.
- Prévoir la réversibilité.
- Organiser l’effacement et la restitution.
- Vérifier le RGPD et l’AI Act.
Pour un fournisseur cloud
- Adapter les contrats de changement.
- Identifier les données exportables.
- Fournir des formats lisibles par machine.
- Prévoir des interfaces ouvertes.
- Réduire puis supprimer les frais de changement.
- Protéger les données contre les accès publics étrangers illicites.
- Documenter les sous-traitants et lieux de traitement.
Jurisprudence
Au 5 août 2026, la jurisprudence directement consacrée à l’interprétation du Data Act demeure encore limitée, compte tenu de son application depuis le 12 septembre 2025.
Les premiers contentieux devraient notamment porter sur :
- la qualification de produit connecté ;
- la distinction entre données brutes et données dérivées ;
- la notion de donnée facilement accessible ;
- les refus fondés sur le secret des affaires ;
- les conditions raisonnables du partage ;
- les clauses contractuelles abusives ;
- l’exportation des données cloud ;
- la répartition entre Data Act et RGPD.
Les documents de la Commission, notamment ses questions-réponses et pages explicatives, constituent actuellement des ressources importantes d’interprétation, mais ne disposent pas de la même force juridique que le règlement.
Acteurs
Utilisateur
Personne physique ou morale utilisant le produit connecté ou le service associé.
Détenteur des données
Entité ayant le droit ou l’obligation de mettre les données à disposition.
Destinataire de données
Tiers recevant les données dans le cadre d’une obligation légale ou à la demande de l’utilisateur.
Fabricant
Il conçoit le produit connecté et organise souvent l’accès aux données.
Fournisseur de service associé
Il peut lui aussi détenir des données générées par l’utilisation.
Fournisseur cloud
Il est soumis aux obligations de changement, de portabilité et de protection contre certains accès extraterritoriaux.
Autorités publiques
Elles peuvent demander certaines données en cas de besoin exceptionnel.
Autorités nationales compétentes
Elles contrôlent l’application du règlement et traitent les réclamations.
Débats actuels
Le Data Act crée-t-il un droit de propriété sur les données ?
Non. Il organise des droits d’accès, d’utilisation et de partage sans créer un droit de propriété général et exclusif sur la donnée.
Toutes les données d’un objet sont-elles accessibles ?
Non. Le droit porte principalement sur les données brutes et prétraitées facilement disponibles. Les données fortement dérivées ou enrichies peuvent être exclues.
Peut-on utiliser les données pour entraîner une IA ?
Oui si l’usage respecte le Data Act, le contrat, le RGPD, les secrets d’affaires et les autres droits applicables.
Le fabricant peut-il refuser au nom du secret des affaires ?
Seulement dans des circonstances encadrées et après avoir envisagé des mesures de protection appropriées.
L’utilisateur peut-il transmettre les données à n’importe quelle plateforme ?
Pas aux contrôleurs d’accès désignés au titre du DMA dans le cadre du droit prévu par le Data Act. Les autres tiers restent soumis aux conditions du règlement.
Le Data Act oblige-t-il à communiquer les modèles d’IA ?
Non. Il porte sur certaines données générées par les produits et services, non sur un droit général d’accès au modèle ou à son code.
Le Data Act supprime-t-il tout verrouillage cloud ?
Il réduit les obstacles contractuels et techniques, mais certaines différences fonctionnelles et dépendances technologiques peuvent subsister.
Actualité récente
Le Data Act est applicable depuis le 12 septembre 2025. À cette date, la Commission a souligné qu’il donnait aux utilisateurs un meilleur contrôle sur les données générées par leurs appareils connectés et devait soutenir de nouveaux services, notamment de maintenance et d’après-vente.
La Commission a publié plusieurs ressources d’accompagnement :
- une foire aux questions ;
- des recommandations relatives aux données des véhicules ;
- des projets de clauses contractuelles types ;
- un service d’assistance juridique consacré au Data Act.
À compter du 12 septembre 2026, les obligations de conception facilitant l’accès aux données s’appliquent aux nouveaux produits connectés mis sur le marché dans les conditions prévues par le règlement.
La suppression complète des frais de changement entre services de traitement de données interviendra au plus tard le 12 janvier 2027.
Ressources essentielles
Base documentaire Dabo Tibi Ius
Gouvernance des données et intelligence artificielle
Présentation du Data Act dans l’architecture européenne de gouvernance des données.
European Legal Data Space
Articulation entre le Data Act, les espaces européens de données et l’IA juridique.
Ontologie et intelligence artificielle
Développements relatifs à l’interopérabilité et aux espaces de données.
Droit de l’intelligence artificielle
La recherche dans la base Dabo Tibi Ius n’a pas permis d’identifier avec certitude une fiche autonome antérieure exclusivement consacrée au Data Act. La présente fiche combine donc les ressources transversales de la base avec les textes et documents officiels européens.
Texte principal
Règlement (UE) 2023/2854 — Data Act
Résumé EUR-Lex
Commission européenne
Page générale du Data Act
Présentation détaillée du Data Act
Questions-réponses sur le Data Act
Data Act Legal Helpdesk
Orientations relatives aux données des véhicules
Textes connexes
Data Governance Act
AI Act
RGPD
Digital Markets Act
Directive sur les secrets d’affaires
FAQ
Qu’est-ce que le Data Act ?
Le règlement européen qui organise l’accès équitable aux données et leur utilisation, notamment pour les produits connectés et les services cloud.
Depuis quand est-il applicable ?
Depuis le 12 septembre 2025 pour l’essentiel.
Quels produits sont concernés ?
Notamment les véhicules, machines, équipements industriels, appareils domestiques, robots et autres objets capables de générer et de communiquer des données.
Qui peut demander les données ?
L’utilisateur qui possède, loue ou utilise le produit ou le service associé.
L’accès est-il gratuit ?
Les données doivent normalement être mises gratuitement à la disposition de l’utilisateur. Un tiers professionnel peut devoir verser une compensation raisonnable au détenteur.
Toutes les données sont-elles accessibles ?
Non. Les données fortement dérivées ou enrichies et certains contenus sont exclus.
Peut-on transmettre les données à un fournisseur d’IA ?
Oui, sous réserve du respect du Data Act, du RGPD, du contrat et des secrets d’affaires.
Peut-on créer une machine concurrente à partir des données ?
Non. Les données obtenues ne peuvent pas être utilisées pour développer un produit connecté concurrent.
Peut-on créer un service de maintenance concurrent ?
Oui, en principe. Le Data Act cherche précisément à favoriser les services complémentaires et d’après-vente.
Le Data Act donne-t-il accès au code source ?
Non. Il ne crée pas de droit général sur le logiciel, l’algorithme ou le modèle du fabricant.
Le RGPD reste-t-il applicable ?
Oui. Le Data Act ne constitue pas une base générale permettant de communiquer librement des données personnelles.
Le fabricant peut-il refuser pour protéger un secret d’affaires ?
Seulement selon les conditions strictes du règlement et après avoir recherché des mesures de protection adaptées.
Le Data Act facilite-t-il le changement de cloud ?
Oui. Il impose des obligations de portabilité, de transparence contractuelle et de réduction des obstacles techniques et financiers.
Les frais de sortie cloud sont-ils déjà interdits ?
Ils sont progressivement réduits et devront être totalement supprimés au plus tard le 12 janvier 2027.
Méthodologie : Cette fiche a été générée avec l’assistance de l’intelligence artificielle à partir de la base documentaire et de sources juridiques complémentaires lorsque cela était nécessaire. Elle constitue une synthèse documentaire et ne remplace pas un avis juridique.
Résumé pédagogique
Définition
Le Data Act est le règlement européen qui organise l’accès aux données et leur utilisation, en particulier pour les données générées par les produits connectés. Applicable depuis le 12 septembre 2025, il donne aux particuliers et aux entreprises davantage de contrôle sur les données produites par les appareils qu’ils possèdent, louent ou utilisent.
Exemple
Une entreprise exploite une machine industrielle connectée. Le fabricant conserve les mesures de température, de vibration et d’usure. L’entreprise peut demander l’accès à ces données ou leur transmission à un prestataire qui développe une IA de maintenance prédictive. Elle ne peut cependant pas les utiliser pour fabriquer une machine concurrente.
Problématique juridique
Le règlement cherche à ouvrir les données sans supprimer les droits du fabricant. Il faut donc concilier l’accès de l’utilisateur avec le secret des affaires, la cybersécurité, les données personnelles et la propriété intellectuelle. La distinction entre donnée brute et donnée déduite par une IA sera particulièrement importante.
Cadre légal
Le cadre repose sur le règlement (UE) 2023/2854, complété par le RGPD, le Data Governance Act, l’AI Act, le Digital Markets Act et le droit des secrets d’affaires. Le Data Act réglemente également les clauses contractuelles relatives aux données, les demandes exceptionnelles des autorités publiques, l’interopérabilité et le changement de fournisseur cloud.
Fiches Dabo Tibi Ius associées :
- Gouvernance des données
- Data Governance Act
- Jeu de données juridiques
- RGPD
- AI Act
- European Legal Data Space
- Espace européen des données de santé
- Secret des affaires
- Souveraineté numérique