La Commission européenne estime que 80 % des données industrielles générées par les objets connectés ne sont jamais exploitées (analyse d'impact du règlement sur les données, Commission européenne, 2022). Dans le même temps, à peine 26 % des TPE-PME françaises utilisent l'intelligence artificielle en 2025 (France Num, DGE) — souvent faute d'accès à une matière première qu'elles produisent pourtant en continu : la donnée de leurs propres machines. Le Data Act, applicable depuis le 12 septembre 2025, rebat ces cartes. Cet article ne le lit pas comme une énième contrainte de conformité, mais comme ce qu'il est d'abord pour une PME ou une ETI industrielle : un levier pour récupérer, et enfin utiliser, les données que vos équipements connectés génèrent.
Le sujet est mal servi en ligne. Tapez « data act » et vous tombez sur des pages de régulateurs, de cabinets d'avocats et de DPO qui répètent la même chose : une définition, une liste d'obligations, un ton d'alerte. Presque personne n'explique ce que le texte change concrètement pour un dirigeant qui exploite des machines connectées, loue du matériel ou dépend d'un fournisseur cloud. C'est ce vide qu'on comble ici.
Le Data Act en une phrase (et pourquoi il ne ressemble pas au RGPD)
Le Data Act — de son nom officiel, règlement (UE) 2023/2854 sur les données — organise l'accès, le partage et la portabilité des données générées par les produits connectés et les services associés. Traduction pour un dirigeant : les données produites par une machine-outil, un capteur, un véhicule, un ascenseur ou un équipement loué ne sont plus la propriété de fait de celui qui les fabrique. L'utilisateur du produit a désormais le droit d'y accéder et de les faire partager à un tiers de son choix.
La confusion la plus fréquente consiste à le ranger dans la même case que le RGPD. Ce sont deux textes distincts, avec deux logiques opposées :
- Le RGPD protège les données personnelles — celles qui identifient une personne. Sa logique est restrictive : limiter, encadrer, minimiser.
- Le Data Act ouvre les données industrielles et non personnelles — la télémétrie d'une machine, les logs d'un capteur, la donnée d'usage d'un équipement. Sa logique est libératrice : rendre accessible ce qui était verrouillé.
Le RGPD vous dit ce que vous n'avez pas le droit de faire avec la donnée des personnes. Le Data Act vous dit ce que vous avez enfin le droit d'exiger sur la donnée de vos machines.
Les deux se croisent quand la donnée d'un équipement contient aussi de la donnée personnelle — un véhicule qui trace un conducteur, un badge qui suit un opérateur. Dans ce cas, les deux régimes s'appliquent en même temps, et c'est là que la gouvernance data devient un vrai chantier (on y revient plus bas).
Ce qui s'applique déjà, et le calendrier jusqu'en 2027
Le texte est entré en vigueur le 11 janvier 2024, mais l'essentiel de ses obligations est applicable depuis le 12 septembre 2025. Autrement dit : ce n'est pas une échéance à préparer, c'est une réalité juridique en cours. Trois jalons structurent la suite :
- 12 septembre 2025 — droit d'accès aux données des produits connectés, encadrement des clauses contractuelles abusives entre entreprises, premières règles de changement de fournisseur de traitement de données (cloud).
- 12 septembre 2026 — obligation de « conception facilitant l'accès » (data access by design) pour les nouveaux produits connectés mis sur le marché : les fabricants devront concevoir leurs équipements pour que l'accès à la donnée soit possible dès l'origine.
- 12 janvier 2027 — suppression complète des frais de changement de fournisseur cloud. La réduction est progressive depuis 2025, mais à cette date, facturer la sortie devient interdit.
Ce séquençage a une conséquence pratique : une PME qui achète aujourd'hui un équipement connecté peut déjà, contractuellement, exiger l'accès à la donnée qu'il produit. Et une PME qui renégocie son contrat cloud en 2026 le fait avec un rapport de force qui a basculé en sa faveur.
Sur le terrain : ce que les praticiens pointent en 2026
Au-delà du texte, deux tensions reviennent avec insistance chez ceux qui déploient déjà de l'infrastructure data dans l'anticipation du calendrier.
La première : le Data Act n'est pas un texte isolé, c'est une brique d'une vague réglementaire qui transforme la souveraineté de la donnée en condition d'accès au marché. Un opérateur d'infrastructure cloud résumait récemment le consensus des analystes : le marché du cloud souverain croît de 19 à 27 % par an, et si personne ne s'accorde sur sa taille, tout le monde s'accorde sur son moteur — la réglementation, du Data Act à NIS 2 en passant par DORA. Juridiction après juridiction, ne plus maîtriser où vit sa donnée devient un handicap commercial, pas seulement un risque de conformité.
La seconde tension est plus technique, et c'est le genre de détail qui sépare une lecture d'avocat d'une lecture d'opérateur. Un acteur du stockage de données faisait remarquer que si le Data Act interdit bien les frais de sortie cloud à horizon janvier 2027, un considérant du règlement (le considérant 99) exclut de cette interdiction les mouvements de données continus et bidirectionnels. Concrètement : gardez une charge de travail répartie entre deux clouds en flux permanent, et le compteur des frais de transfert peut continuer de tourner. La fin des frais de sortie n'est pas la fin de tous les frais — elle vise le changement de fournisseur, pas l'architecture hybride du quotidien.
La conformité se lit dans les articles. La marge de manœuvre réelle se lit dans les considérants. C'est exactement la différence entre subir un règlement et s'en servir.
Ces deux signaux disent la même chose à un dirigeant : le Data Act se joue autant sur le terrain contractuel et technique que sur le terrain juridique. Le lire uniquement avec un avocat, c'est passer à côté de la moitié de sa valeur.
Le vrai enjeu pour une PME industrielle : accéder aux données de vos machines
Voici l'angle mort que la plupart des articles ignorent. Pour une PME ou une ETI qui produit, transporte ou entretient des équipements connectés, le cœur du Data Act n'est pas une obligation — c'est un droit nouveau, activable, et directement monétisable.
Prenez un cas concret. Un industriel exploite dix machines-outils récentes, toutes bardées de capteurs. Jusqu'ici, la télémétrie de ces machines remontait dans le portail propriétaire de l'équipementier, qui la revendait parfois sous forme de « services de maintenance prédictive » à plusieurs milliers d'euros par an. L'industriel produisait la donnée, mais n'y avait pas accès. Le Data Act inverse ce rapport : il peut désormais exiger cette donnée brute, dans un format exploitable, et la faire transmettre à un tiers de son choix — y compris son propre système ou un prestataire data.
Ce que cette donnée débloque, une fois récupérée :
- De la maintenance prédictive internalisée — plus besoin d'acheter le service packagé du fabricant si vous détenez la donnée qui l'alimente.
- De l'optimisation énergétique et de production — les logs machine sont la matière première des modèles qui repèrent les dérives et les gaspillages.
- Une brique de votre patrimoine data — cette donnée, agrégée, devient un actif qui se valorise, notamment dans une perspective de transmission ou de cession.
La donnée de vos machines est le carburant de tout projet d'IA industrielle. Le Data Act vient de vous en rendre l'accès. Le vrai gâchis, ce n'est plus l'absence de droit — c'est de ne pas l'exercer.
C'est précisément le fil que nous tirons chez Nymphar.AI avec les industriels : la conformité au Data Act et la stratégie data ne sont pas deux sujets, mais un seul. Notre page expertise IA pour l'industrie détaille comment cette donnée machine devient un projet exploitable plutôt qu'un droit dormant. Les 80 % de données industrielles inexploitées citées en ouverture ne sont pas une fatalité technique : c'était, jusqu'à septembre 2025, un problème d'accès. Ce n'en est plus un.
Réversibilité cloud : sortir du lock-in sans se ruiner
Le second grand chantier ouvert par le Data Act, c'est le volet cloud. Beaucoup de PME ont vu leur consolidation data bloquée par un verrou simple : migrer d'un fournisseur cloud à un autre coûtait si cher — en frais de transfert (egress) et en dépendance technique — que le changement devenait théorique. Le Data Act attaque ce verrou de front.
Les fournisseurs de services de traitement de données doivent désormais :
- Supprimer progressivement les frais de changement de fournisseur, jusqu'à leur interdiction totale au 12 janvier 2027.
- Garantir la portabilité fonctionnelle — vous devez pouvoir récupérer vos données, applications et actifs numériques dans un format structuré.
- Assurer un minimum d'interopérabilité pour que la migration ne relève pas de l'exploit technique.
Pour un dirigeant, la lecture est directe : si votre stratégie data était freinée par la peur du lock-in, l'obstacle réglementaire vient de tomber. C'est le moment de rouvrir le dossier « où vivent nos données, et à quel prix pourrait-on en changer ? ». Attention toutefois au piège évoqué plus haut : la fin des frais de sortie concerne le changement de fournisseur, pas les flux hybrides continus. Une architecture mal pensée peut continuer de facturer lourdement. La réversibilité est un droit ; l'exploiter proprement reste une décision d'architecture.
Ce volet prolonge directement une question que nous traitons régulièrement : la souveraineté numérique des PME et ETI, dont la réversibilité cloud est l'un des piliers les plus opérationnels.
Data Act et RGPD : deux règlements, un seul chantier data
Revenons sur le croisement des deux textes, car c'est là que les projets déraillent. Dès qu'un équipement connecté produit de la donnée qui, directement ou indirectement, identifie une personne — un chauffeur, un opérateur, un client final — le RGPD s'applique en plus du Data Act. Vous ne choisissez pas : vous cumulez.
En pratique, cela veut dire que le droit d'accès offert par le Data Act ne vous autorise pas à faire n'importe quoi de la donnée récupérée. Si elle contient du personnel, il faut une base légale, une finalité, une durée de conservation. La bonne nouvelle, c'est que les entreprises qui ont fait sérieusement leur travail RGPD disposent déjà de la moitié du cadre. La moins bonne, c'est que traiter ces deux régimes en silos — le Data Act au juridique, la donnée machine à la production, le RGPD au DPO — garantit l'incohérence.
Le Data Act ne remplace pas le RGPD, il le complète. Les entreprises qui gagnent sont celles qui traitent leur donnée comme un système unique, pas comme une pile de règlements.
C'est l'approche que nous défendons dans notre travail sur l'écosystème data-natif : une gouvernance unique de la donnée, où conformité et exploitation avancent ensemble au lieu de se contredire.
Qui est concerné (et qui est exempté) ?
Le champ d'application du Data Act est large, mais il distingue plusieurs rôles :
- Le détenteur de données — l'entité (souvent le fabricant ou le fournisseur de service) qui contrôle techniquement la donnée générée par un produit connecté et doit désormais la rendre accessible.
- L'utilisateur — la personne ou l'entreprise qui possède, loue ou utilise le produit, et qui obtient le droit d'accès.
- Le destinataire de données — le tiers à qui l'utilisateur demande de transmettre la donnée (un prestataire data, un concurrent du fabricant, un intégrateur).
- Les fournisseurs de services cloud et edge — soumis aux obligations de réversibilité et d'interopérabilité.
Point important pour les plus petites structures : les micro et petites entreprises bénéficient d'aménagements. Les obligations de mise à disposition de données pesant sur les détenteurs ne s'appliquent pas de la même façon lorsqu'une PME est elle-même le fabricant du produit connecté — sauf si elle agit comme sous-traitante d'un acteur plus grand. Autrement dit : en tant qu'utilisateur d'équipements connectés, une PME gagne surtout des droits ; en tant que fabricant, elle est largement ménagée. Le rapport bénéfice/charge penche donc du bon côté pour la majorité des PME-ETI industrielles.
En France, la CNIL a été désignée parmi les autorités compétentes pour le contrôle et l'accompagnement — un point de repère utile, la CNIL étant déjà l'interlocuteur data de la plupart des dirigeants.
Par où commencer : cartographier vos actifs connectés (méthode bottom-up)
La tentation, face à un nouveau règlement, est de commander une note juridique de trente pages et de la classer. C'est exactement l'erreur — l'équivalent d'un projet IA piloté par le haut, déconnecté des process. Chez Nymphar.AI, nous partons de l'inverse : du terrain vers le droit, et non du droit vers le terrain.
Une première approche concrète, réalisable en quelques jours :
- Inventorier vos équipements connectés — quelles machines, capteurs, véhicules, matériels loués produisent de la donnée aujourd'hui ? Qui y a accès ?
- Identifier la donnée verrouillée — laquelle remonte dans un portail fournisseur auquel vous n'accédez pas, ou que vous rachetez sous forme de service ?
- Prioriser par valeur d'usage — pour chaque flux, poser la question : si j'y avais accès demain, qu'en ferais-je (maintenance, énergie, qualité, IA) ?
- Vérifier le volet cloud — où vivent vos données, quels seraient les coûts et délais réels d'un changement de fournisseur ?
Cet inventaire n'est pas un exercice de conformité : c'est le point de départ d'une stratégie data. C'est d'ailleurs la matière première d'un audit IA, où l'on croise ce que le Data Act débloque avec ce que vos process ont réellement besoin d'exploiter. Pour dégrossir seul, notre checklist d'audit IA donne une trame de départ.
Bottom-up bat top-down. La bonne question n'est pas « que dit le Data Act ? » mais « quelle donnée mes machines produisent-elles, et qu'est-ce que je pourrais enfin en faire ? »
Cette logique est la même que celle qui structure les autres échéances réglementaires que nous suivons pour les dirigeants, comme NIS 2 en France : partir de l'existant opérationnel, pas du texte.
Combien ça coûte, et en combien de temps voit-on un effet ?
Deux questions reviennent systématiquement chez les dirigeants. Voici des repères honnêtes.
Combien ça coûte de s'y mettre ?
L'inventaire des actifs connectés et l'identification des flux à débloquer sont peu coûteux — c'est un travail de cadrage, pas un chantier IT. La dépense réelle vient ensuite, si vous décidez d'exploiter la donnée récupérée (maintenance prédictive, modèles, consolidation). L'erreur à éviter, c'est le projet massif lancé d'un bloc : mieux vaut un cadrage court, une donnée débloquée, un cas d'usage prouvé, puis on étend. C'est pour cette raison que nous travaillons ce type de sujet mois par mois, en avançant par capacités démontrées plutôt qu'en projet monolithique — la donnée machine consolidée devient un actif qui grossit, pas une facture qui gonfle.
En combien de temps voit-on un effet ?
L'accès à la donnée, lui, est immédiat : le droit existe depuis septembre 2025, il suffit de l'exercer contractuellement. L'effet business dépend du cas d'usage. Récupérer la télémétrie de vos machines pour arrêter de racheter le service de maintenance de l'équipementier peut se chiffrer en quelques semaines. Bâtir un modèle prédictif fiable prend davantage, parce qu'il faut de l'historique. Le raccourci mental utile : le Data Act raccourcit le délai d'accès à la donnée ; il ne raccourcit pas le délai d'apprentissage d'un modèle.
Un dernier repère, parce qu'il cadre les attentes : 95 % des projets d'IA générative ne produisent aucun retour mesurable (MIT NANDA, juillet 2025). La cause première n'est presque jamais la technologie — c'est le manque d'accès à une donnée propre et pertinente. Le Data Act s'attaque précisément à ce goulot. Il ne garantit pas le succès ; il retire l'excuse la plus fréquente de l'échec.
Ce qu'il faut retenir
Le Data Act est trop souvent présenté comme une charge de conformité de plus. Pour une PME ou une ETI industrielle, c'est d'abord l'inverse : un droit d'accès à la donnée de ses propres équipements, et une porte de sortie du lock-in cloud. Les entreprises qui le liront comme une simple contrainte le classeront ; celles qui le liront comme un levier récupéreront une matière première qu'elles produisaient sans jamais l'utiliser.
Trois réflexes à retenir :
- Le droit d'accès est déjà actif — septembre 2025, pas 2027. Vos contrats d'équipement et de cloud peuvent être renégociés maintenant.
- La donnée machine est le carburant de l'IA — le Data Act la débloque ; à vous d'en faire un projet, pas un droit dormant.
- Conformité et stratégie data sont un seul chantier — les traiter séparément garantit l'incohérence et le gâchis.
Si vous exploitez des machines connectées et que vous vous demandez ce que le Data Act change vraiment pour vous, c'est exactement le genre de question qu'on déroule sur votre cas concret lors d'un audit IA : de la donnée verrouillée hier au cas d'usage prouvé demain.
Sources signaux (veille juillet 2026) : analyse d'un opérateur d'infrastructure cloud décentralisée sur la souveraineté comme condition d'accès au marché (source) ; note technique d'un acteur du stockage de données sur l'interdiction des frais de sortie cloud et l'exception du considérant 99 (source). Cadre juridique : règlement (UE) 2023/2854 ; Commission européenne ; CNIL.
