Depuis le 12 septembre 2025, le Data Act entre dans une nouvelle phase d’application. Ce règlement européen, publié fin 2023, encadre l’accès et le partage des données non personnelles générées par l’usage de produits ou services numériques. Il vise à rééquilibrer les rapports entre utilisateurs, prestataires techniques, industriels et fournisseurs de services cloud.

Parmi les obligations déjà applicables, l’une d’elles impose une évolution structurelle : celle qu’on résume par l’expression “access by design”. L’idée est simple : les produits connectés et les services numériques doivent être conçus pour permettre, par défaut, un accès direct et interopérable aux données qu’ils génèrent. Cet accès ne doit pas être une exception ou un service supplémentaire : il devient une exigence de base, inscrite dans le fonctionnement même du produit ou de l’environnement logiciel.

L’objet de cet article est de vous présenter quelques points plus complexes ou des angles morts à vérifier.

1. Accès à l’historique des données : jusqu’où remonter ?

Le Data Act impose un accès “aux données générées par l’usage”, mais il ne précise pas la durée de conservation ni la profondeur de l’historique à rendre accessible.
Faut-il prévoir 6 mois ? 2 ans ? La durée doit-elle être paramétrable par l’utilisateur ?

Un flou qui mérite d’être clarifié par contrat… en tenant compte de votre architecture et des contraintes générales de votre secteur d’activité.

2. Combien de clics pour accéder aux données ?

Avec le Data Act, l’“accessibilité” ne se limite pas à une simple existence technique. L’accès doit être effectif, gratuit pour l’utilisateur, et dans un format structuré, couramment utilisé et lisible par machine.

Dans la notion d’accès « effectif », la simplicité du parcours utilisateur devient un sujet à part entière.

3. Le faire, c’est bien. Le faire savoir, c’est stratégique.

La conformité ne suffit pas. Dans un environnement de méfiance numérique, afficher votre conformité peut devenir un avantage compétitif.
Informer vos utilisateurs de leur droit d’accès, valoriser vos efforts d’interopérabilité ou publier une documentation claire peut renforcer la confiance.

4. Documenter, c’est se protéger

Le Data Act impose une accessibilité effective, mais il ne suffit pas d’être conforme — il faut pouvoir le prouver.
Cela suppose :

• de tracer les accès effectivement ouverts ou refusés,

• de conserver les logs de génération, de consultation, d’export,

• de documenter les formats, les limitations, les API disponibles,

• d’être capable de produire une politique claire d’accès aux données en cas d’audit ou de litige.

5. Accès aux données et IA : des logiques qui se percutent

L’obligation d’accessibilité des données générées entre en tension directe avec un autre défi : l’usage croissant de l’IA dans les systèmes.
Quand une IA transforme, résume ou réinterprète régulièrement des données brutes, comment peut-on encore garantir un accès aux données “originelles” ?
Et si l’IA crée des couches intermédiaires, comment s’assurer que les accès sont intègres, non biaisés, et traçables ?

À l’inverse, l’IA peut aider à :

• identifier les données concernées automatiquement,

• proposer des interfaces plus ergonomiques d’accès,

• filtrer ce qui est partageable ou non (secrets, infos sensibles…).

Nos avocats sont à vos côtés pour adapter vos contrats en tenant compte des réalités stratégiques de votre entreprise.