Tra promesse del Data Act e incertezze transatlantiche, resta il nodo della portabilità

Il calendario prevede una transizione graduale. Dal settembre 2025 i provider devono allinearsi agli obblighi di trasparenza e alle procedure di switching. Dal gennaio 2027 sarà generalmente vietato addebitare costi per il cambio di fornitore o l’estrazione dei dati, salvo limitate eccezioni basate sui costi effettivi.

L’obiettivo dichiarato è ambizioso: secondo la Commissione europea, nel 2020 solo l’8% delle Pmi riusciva a estrarre valore dai propri dati, bloccate da formati proprietari, Api non interoperabili e clausole contrattuali sfavorevoli.

Le tensioni più acute si registrano proprio nei rapporti con gli hyperscaler americani. Il Data Act impone che i dati vengano forniti in formati strutturati, di uso comune e leggibili dalle macchine, garantendo l’equivalenza funzionale dopo la migrazione. Ma la mancanza di standard tecnici condivisi per formati e Api, la complessità nel garantire la continuità della sicurezza informatica durante la migrazione e l’emergere di nuovi rischi di responsabilità rappresentano ostacoli concreti all’implementazione. Senza meccanismi di compliance chiari, il peso operativo potrebbe ricadere in modo sproporzionato sui provider più piccoli.

Un altro nodo riguarda la sovranità dei dati. I fornitori di servizi cloud devono implementare misure tecniche e organizzative adeguate a impedire che governi extra-Ue accedano ai dati conservati in Europa.

È una disposizione che riflette le crescenti preoccupazioni sulla sorveglianza extraterritoriale, ma che si scontra con la realtà di infrastrutture cloud globali dove le chiavi di cifratura, gli strumenti di gestione e le competenze operative restano spesso in mano a soggetti statunitensi.

Sul fronte contrattuale, il Data Act vieta alle imprese di imporre unilateralmente clausole inique nei rapporti B2B relativi all’accesso e all’uso dei dati. La Commissione ha predisposto clausole contrattuali non vincolanti per guidare le trattative, ma l’applicazione pratica resta da verificare.

I produttori possono rifiutare la condivisione di dati identificati come segreti commerciali solo in circostanze eccezionali, quando la divulgazione comporterebbe un danno economico grave nonostante le misure tecniche e organizzative adottate dall’utente.

Per le imprese europee, il Data Act rappresenta un’opportunità concreta di ridurre la dipendenza dai grandi fornitori cloud e di valorizzare i dati generati dai propri processi produttivi. Ma tra principi normativi e applicazione pratica, il percorso si rivela accidentato.

L’incertezza sul futuro dei trasferimenti transatlantici aggiunge un ulteriore livello di complessità, costringendo le aziende a valutare strategie di localizzazione dei dati o il ricorso a provider europei per ridurre l’esposizione a rischi regolatori che, dopo Schrems I e II, non sono più teorici.