Accesso ai dati auto connesse: il Data Act ha davvero scardinato il monopolio OEM?

L’accesso ai dati generati dai veicoli connessi rappresenta uno dei temi più strategici per il futuro dell’aftermarket automobilistico europeo. Se fino a pochi anni fa il dibattito si concentrava principalmente sull’accesso alle informazioni tecniche e diagnostiche, oggi il vero terreno di confronto riguarda i flussi di dati prodotti in tempo reale dai veicoli: informazioni indispensabili per sviluppare servizi, manutenzione predittiva, gestione delle flotte, assicurazioni evolute e nuovi modelli di business.

Con l’entrata in vigore del Regolamento (UE) 2023/2854, meglio noto come Data Act, dal settembre 2025 l’Unione Europea ha introdotto un nuovo quadro normativo che punta a riequilibrare i rapporti tra costruttori, utenti e operatori indipendenti. Ma questa riforma è davvero sufficiente per superare il vantaggio competitivo costruito dagli OEM negli ultimi anni?

Nell’ambito del 6° Aftermarket Report di SICURAUTO.it abbiamo coinvolto il Prof. Enrico Al Mureden, Ordinario di Diritto Civile presso l’Università di Bologna e autore del volume “Diritto dell’Automotive“, una delle più complete opere italiane dedicate agli aspetti giuridici dell’automobile e della mobilità contemporanea. Da anni si occupa di responsabilità civile, sicurezza dei prodotti, tutela del consumatore, veicoli autonomi, intelligenza artificiale e trasformazione digitale del settore automotive. In questo contributo, il Professore analizza le conseguenze del Data Act e il suo impatto sugli equilibri competitivi tra costruttori e operatori indipendenti dell’aftermarket.

IL DATO COME MOTORE DELL’INDUSTRIA AUTOMOTIVE

Per molti anni, il vero motore economico nascosto dell’industria automobilistica non è stato il motore termico, né la piattaforma elettrica, né perfino il software di bordo, è stato il dato. Ogni automobile connessa contemporanea genera una quantità impressionante di informazioni: parametri sul funzionamento del motore, stato e usura dei componenti, errori diagnostici, modalità di guida, consumo energetico, stile di utilizzo del veicolo, geolocalizzazione, interazioni con sistemi ADAS, manutenzione predittiva, aggiornamenti over-the-air. Il veicolo moderno è, a tutti gli effetti, un gigantesco terminale IoT in movimento.

Per oltre un decennio, tuttavia, questi dati sono rimasti sostanzialmente sotto il controllo esclusivo dei costruttori automobilistici. Non perché esistesse una norma europea che attribuisse loro una “proprietà” del dato, ma perché gli OEM controllavano l’infrastruttura tecnica attraverso cui il dato veniva generato, raccolto, trasmesso e reso accessibile. Il dato transitava all’interno di ecosistemi digitali proprietari: cloud chiusi, gateway protetti, API non interoperabili, piattaforme telematiche integralmente governate dal costruttore.

L’aftermarket indipendente – officine, ricambisti, operatori telematici, flotte, assicurazioni, piattaforme di mobilità – restava confinato in uno spazio informativo molto più ristretto. Poteva accedere ai dati OBD, a parte delle informazioni tecniche RMI previste dal Regolamento (UE) 2018/858, ma non aveva accesso pieno ai flussi telematici generati dall’auto connessa. Il risultato era evidente: chi controllava il dato controllava anche il mercato del post-vendita.

COSA CAMBIA DAVVERO CON IL DATA ACT?

In questo contesto interviene il Data Act europeo. Il Regolamento (UE) 2023/2854. Esso determina una significativa redistribuzione del potere informativo nell’industria automotive europea. La portata di questo cambiamento può essere adeguatamente compresa solo evitando una semplificazione molto diffusa. Il Data Act non “espropria” gli OEM; non crea una proprietà del dato in capo all’utente; non nazionalizza l’informazione generata dal veicolo. La nuova disciplina, in realtà, realizza un risultato assai più complesso e pervasivo: trasforma il dato automobilistico da risorsa controllata unilateralmente dal costruttore a risorsa soggetta ad un regime di accesso ed utilizzo che la rende giuridicamente contendibile.

È sufficiente leggere i primi considerando (nota di apertura che chiarisce il contesto e gli obiettivi della norma ndr) del regolamento per comprendere la filosofia dell’intervento europeo. La Commissione descrive espressamente l’economia dei dati come un sistema bloccato da “silos informativi”, da “strozzature che impediscono l’accesso ai dati”, dalla “frammentazione” e soprattutto dagli squilibri di potere che consentivano a pochi operatori di controllare infrastrutture decisive per l’innovazione.

Il passaggio centrale è contenuto nel “considerando 5”, dove il regolamento afferma che gli utenti dei prodotti connessi devono poter accedere ai dati generati dal loro utilizzo e devono poterli condividere con terzi di loro scelta. Ancora più significativo è il “considerando 6”, nel quale si afferma che la generazione del dato è il risultato dell’azione congiunta di almeno due soggetti: il fabbricante del prodotto connesso e l’utente che lo utilizza. Questa affermazione impone un profondo ripensamento dell’intera architettura concettuale sulla quale si era fondato il dominio degli OEM.

IL DATO NON È UNA PROPRIETÀ

Per anni il costruttore aveva potuto sostenere, implicitamente o esplicitamente, che il dato fosse una naturale estensione della propria infrastruttura industriale e del proprio software. Il Data Act sovverte questa impostazione e afferma un principio diverso: il dato generato dall’uso del veicolo non può essere assorbito integralmente nel monopolio infrastrutturale del costruttore.

Sotto questo profilo diviene fondamentale sottolineare che il regolamento evita di fare riferimento al concetto di “proprietà” del dato. Nella disciplina delineata dal legislatore dell’Unione Europea, infatti, il dato non costituisce oggetto di un diritto di proprietà inteso in senso tradizionale. In altri termini il Data Act non crea un diritto di proprietà assimilabile a quello definito e regolato dal codice civile. Costruisce invece un sistema di diritti di accesso, diritti di utilizzo, obblighi di condivisione e limiti all’esclusiva economica.

Il regolamento stesso chiarisce che non deve essere interpretato come un atto che conferisce ai titolari dei dati un nuovo diritto sui dati generati dai prodotti connessi. In altre parole, il costruttore continua certamente a essere il soggetto che materialmente gestisce l’infrastruttura e che detiene il controllo tecnico del sistema, ma non può più pretendere di essere l’unico soggetto legittimato a decidere il destino economico dell’informazione prodotta dal veicolo. È qui che emerge il vero cambiamento. Prima del Data Act l’OEM decideva se condividere. Oggi deve giustificare il rifiuto.

L’utente diventa il soggetto che può dirigere il flusso informativo verso terzi. A ben vedere la nuova disciplina introduce nel sistema una trasformazione epocale laddove modifica la struttura del potere economico nel mercato automotive.

DATO GREZZO E INTELLIGENZA ALGORITMICA: LA DISTINZIONE DECISIVA

Tuttavia, il regolamento non apre indiscriminatamente qualsiasi informazione presente nell’ecosistema del veicolo. Ed è proprio qui che la questione diviene estremamente complessa. Il “considerando 15” contiene probabilmente la distinzione più importante dell’intero regolamento. Da una parte vi sono i dati “grezzi”, “osservazionali” o “pretrattati”, cioè i dati generati direttamente dal funzionamento del prodotto: parametri dei sensori, stato dei componenti, dati ambientali, errori diagnostici, consumi, velocità, accelerazioni, temperatura, dati relativi alle batterie o al funzionamento dei sistemi elettronici. Questi dati rientrano nel perimetro dell’accesso.

Dall’altra parte vi sono invece le informazioni dedotte o elaborate mediante algoritmi proprietari complessi. Qui il regolamento introduce una protezione molto forte a favore degli OEM. Restano generalmente esclusi gli algoritmi di fusione sensoriale, le logiche AI, le inferenze elaborate dai sistemi ADAS, i modelli di manutenzione predittiva sviluppati dal costruttore. Proprio in quest’ultimo contesto emerge che il vero valore economico nel settore dell’automotive contemporaneo non è più nel dato grezzo. Il valore è nella capacità di attribuire significato al dato, nella modellizzazione algoritmica, nell’intelligenza costruita sulla base del flusso informativo.

Il rischio, dunque, è che l’aftermarket riceva un accesso formalmente corretto ma economicamente poco utile. Un’enorme quantità di dati destrutturati, tecnicamente complessi, difficili da interpretare senza l’ecosistema semantico controllato dal costruttore.

Si pensi, ad esempio, a una officina indipendente che debba intervenire sulla batteria di un veicolo elettrico di ultima generazione. Il Data Act potrebbe consentire l’accesso ai dati relativi allo stato della batteria, ai cicli di ricarica, alle temperature operative o agli errori diagnostici registrati dal sistema. Ciò, tuttavia, non significa necessariamente che l’operatore indipendente possa comprendere davvero il significato industriale di quei dati. Se gli algoritmi che elaborano il “battery health score”, le logiche predittive di degrado o i modelli utilizzati dal costruttore per stimare la vita residua dell’accumulatore restano chiusi nell’ecosistema proprietario dell’OEM, l’accesso al dato rischia di diventare solo apparentemente sufficiente. L’officina può vedere il dato, ma non dispone necessariamente dell’intelligenza artificiale e dell’architettura semantica necessarie per interpretarlo con la stessa efficacia del costruttore (sulla riparazione delle batterie abbiamo approfondito qui l’arrivo del Battery Passport con Ev Clinic, ndr).

ACCESSO AI DATI, INTEROPERABILITÀ E NUOVE BARRIERE COMPETITIVE

Il regolamento – muovendo da una piena consapevolezza riguardo a queste problematiche – pone l’accento sui valori della interoperabilità, accessibilità e leggibilità automatica. L’articolo 3 stabilisce che i dati devono essere accessibili in un formato completo, strutturato, di uso comune e leggibile da dispositivo automatico. L’articolo 8 aggiunge che l’accesso deve avvenire a condizioni eque, ragionevoli e non discriminatorie.

Proprio in questo specifico contesto emerge una nuova area di conflitto. Occorre chiedersi, infatti, cosa significhi concretamente “equo” o “ragionevole” nel mondo delle API automotive. Ulteriore interrogativo emerge in tutte le ipotesi nelle quali un OEM pur adottando condotte conformi alle discipline dettate dalla attuale normativa eurounitaria edifichi un sistema di accesso talmente complesso, costoso o frammentato da rendere antieconomica l’attività di una piccola officina indipendente. Proprio in questo specifico contesto emergeranno delicati problemi interpretativi nel prossimo futuro.

API proprietarie, protocolli opachi, autenticazioni multiple, modifiche continue delle interfacce, limiti di frequenza del flusso dati, documentazione incompleta, ecosistemi cloud chiusi: tutto questo può trasformarsi in una forma di “complessità abusiva” capace di preservare il controllo economico del mercato pur nel rispetto formale del regolamento. Su questo terreno il Data Act sarà chiamato a presidiare il valore dell’efficiente funzionamento del mercato.

CYBERSECURITY, SEGRETI INDUSTRIALI E LIMITI ALLA CONDIVISIONE

A fronte di queste esigenze occorre considerare anche il fondamentale versante della cybersecurity che gli OEM pongono in primo piano. Le auto contemporanee, infatti, sono sistemi cyber-fisici complessi, permanentemente connessi, aggiornabili da remoto, vulnerabili ad attacchi informatici. Aprire indiscriminatamente i gateway telematici significa potenzialmente aumentare le superfici d’attacco e mettere a rischio i dati e, con essi, la sicurezza fisica del veicolo.

Il Data Act riconosce pienamente questa esigenza. Gli articoli 4 e 5 consentono di limitare l’accesso quando esso possa compromettere la sicurezza del prodotto connesso o produrre gravi effetti negativi per persone e sistemi. Allo stesso tempo, però, il regolamento mira ad impedire che una tutela incondizionata della cybersecurity possa riflettersi in uno strumento che dia luogo ad indebite restrizioni della concorrenza.

Considerazioni analoghe possono essere ripetute con riferimento ai cosiddetti segreti commerciali. Il regolamento tutela il know-how proprietario, ma chiarisce esplicitamente che il semplice richiamo al segreto industriale non costituisce più una ragione di per sé sufficiente a limitare l’accesso ai dati. Il titolare deve dimostrare concretamente il rischio di un grave danno economico derivante dalla divulgazione, e tale rifiuto può essere contestato davanti alle autorità competenti.

In questo senso il Data Act modifica profondamente l’onere argomentativo. Prima il costruttore poteva semplicemente opporsi; nel contesto attuale diviene necessario motivare il rifiuto sulla base di argomenti che lo giustifichino e lo facciano apparire necessario e proporzionato. Anche il tema economico viene affrontato con una logica completamente nuova. Il regolamento consente che l’accesso ai dati avvenga a seguito del pagamento di un corrispettivo “ragionevole”, ma chiarisce che questo compenso non deve rappresentare una monetizzazione della “proprietà” del dato. Deve remunerare principalmente i costi tecnici necessari alla messa a disposizione: formattazione, trasmissione, adattamento tecnico, gestione del flusso (tuttavia sui costi effettivi dell’infrastruttura IT per le auto connesse, SICURAUTO.it ha interpellato l’ACEA. L’associazione dei costruttori ha però ammesso che gli OEM non hanno ancora una stima esatta delle spese di gestione delle proprie reti… ndr).

CHI FARÀ RISPETTARE IL DIRITTO DI ACCESSO AI DATI?

In questo contesto si apre l’interrogativo circa i concreti rimedi capaci di rendere effettiva la tutela offerta a operatori quali officine o network. In caso di inadempienza, la tutela degli operatori indipendenti non potrà fondarsi su una generica rivendicazione di accesso al dato, ma dovrà essere costruita come contestazione tecnicamente documentata della condotta dell’OEM. L’officina singola, e ancor più il network organizzato, dovrà anzitutto conservare traccia della richiesta di accesso, dell’autorizzazione dell’utente, dei dati richiesti, delle condizioni economiche imposte, dei tempi di risposta, delle limitazioni tecniche dell’interfaccia, dell’eventuale incompletezza della documentazione e delle ragioni addotte dal costruttore a fondamento del rifiuto o della restrizione. Solo così sarà possibile dimostrare che l’accesso offerto è meramente apparente, discriminatorio, sproporzionato o incompatibile con i requisiti di accessibilità, interoperabilità e ragionevolezza posti dal Data Act.

In quest’ottica il primo interlocutore dovrebbe essere l’autorità nazionale competente designata per l’applicazione del Data Act, alla quale il regolamento attribuisce compiti di vigilanza, poteri istruttori e funzioni di gestione dei reclami. Nei casi in cui la controversia assuma dimensione transfrontaliera, o riguardi piattaforme e architetture tecniche comuni a più mercati nazionali, il problema tenderà inevitabilmente a spostarsi sul piano europeo, attraverso i meccanismi di cooperazione tra autorità nazionali e il coordinamento della Commissione.

Il singolo operatore indipendente, tuttavia, difficilmente disporrà da solo della forza tecnica ed economica necessaria per sostenere questo tipo di contenzioso. Per questa ragione la via più efficace sarà probabilmente quella collettiva: network di officine, associazioni di categoria, consorzi tecnici e operatori dell’aftermarket dovranno aggregare le segnalazioni, costruire dossier comuni e dimostrare il carattere sistemico delle restrizioni. Quando poi la limitazione dell’accesso non si presenti come un mero inadempimento individuale, ma come una strategia idonea a preservare il controllo del mercato post-vendita, la tutela prevista dal Data Act potrà intrecciarsi con il diritto della concorrenza.

In simili ipotesi, il ricorso all’autorità competente per il Data Act potrà essere affiancato da segnalazioni all’autorità antitrust nazionale o, nei casi di rilevanza sovranazionale, alla Commissione europea. È proprio in questa intersezione tra Data Act e concorrenza che si giocherà una parte rilevante del conflitto futuro: non basterà verificare se l’OEM abbia formalmente aperto un canale di accesso, ma occorrerà accertare se quel canale consenta davvero agli operatori indipendenti di competere in modo effettivo.