Dataverordening (EU Data Act)

Wat is de dataverordening (EU Data Act)?

De dataverordening is Verordening (EU) 2023/2854, in de praktijk meestal de EU Data Act genoemd. Ze regelt wie aan de data mag die verbonden producten en clouddiensten voortbrengen, en onder welke voorwaarden. Ze is van kracht sinds 11 januari 2024 en van toepassing sinds 12 september 2025.

De verordening gaat over toegang. Bruikbare data zit vaak bij wie de machine gebouwd heeft of de dienst draait, en het bedrijf dat de machine betaald heeft, geraakt er niet aan. De verordening geeft dat bedrijf recht op die data en legt grenzen op aan de contractvoorwaarden die het moet slikken. Ze bindt fabrikanten en dienstverleners die in de EU verkopen, waar ze ook gevestigd zijn, de gebruikers van die producten, en cloudleveranciers met klanten in de EU (artikel 1, lid 3).

Twee verplichtingen starten later. De ontwerpplicht in artikel 3, lid 1, die zegt dat een product zo gebouwd moet zijn dat de data standaard toegankelijk is, geldt enkel voor verbonden producten en gerelateerde diensten die vanaf 12 september 2026 op de markt komen. De regels over onredelijke contractvoorwaarden in hoofdstuk IV gelden voor contracten gesloten na 12 september 2025, en vanaf 12 september 2027 ook voor oudere contracten van onbepaalde duur of die pas minstens tien jaar na 11 januari 2024 aflopen.

De drie delen die er voor jou toe doen

De verordening telt elf hoofdstukken. Drie ervan wegen door voor een gewoon bedrijf.

Toegang tot data van verbonden producten (hoofdstuk II). Een verbonden product is een voorwerp dat data over zijn gebruik of omgeving verzamelt en die kan doorsturen, en waarvan de hoofdtaak niet het verwerken van data voor iemand anders is: een machine in je productiehal, een bestelwagen, een warmtepomp. Artikel 4 geeft de gebruiker recht op de direct beschikbare data van het product en de bijhorende dienst, met de metadata die je nodig hebt om ze te lezen, gratis en in een gestructureerd, machineleesbaar formaat. Artikel 5 laat de gebruiker toe om de datahouder te vragen diezelfde data naar een derde partij van zijn keuze te sturen. Zo geraakt een onafhankelijke hersteller aan de foutcodes die hij nodig heeft.

Onredelijke contractvoorwaarden over data (hoofdstuk IV). Artikel 13 zegt dat een beding over toegang tot data, gebruik van data of aansprakelijkheid rond dataverplichtingen een bedrijf niet bindt als een ander bedrijf het eenzijdig oplegde en het onredelijk is. Het is een verweer dat je kan inroepen, geen formulier dat je moet indienen.

Overstappen van cloudleverancier (hoofdstuk VI). Aanbieders van dataverwerkingsdiensten, dus IaaS, PaaS en SaaS, moeten de obstakels wegwerken die een klant beletten naar een andere aanbieder of terug naar eigen infrastructuur te gaan, specifieke bedingen in het contract zetten, en stoppen met de overstap aan te rekenen.

Overstappen van cloud, tot in het detail dat je nodig hebt

Artikel 23 verplicht aanbieders om precommerciële, commerciële, technische, contractuele en organisatorische obstakels voor een overstap weg te nemen, ook de obstakels om met twee aanbieders tegelijk te werken en om exporteerbare data mee te nemen.

Artikel 25 zegt wat er in je contract moet staan.

• Een opzegtermijn om een overstap op te starten die niet langer loopt dan twee maanden.

• Een overgangsperiode van 30 kalenderdagen waarin de aanbieder je helpt verhuizen. Je kan ze één keer verlengen, en ze kan oplopen tot zeven maanden als 30 dagen technisch niet haalbaar zijn.

• Daarna minstens 30 dagen waarin je je data nog kan ophalen, en daarna wist de aanbieder ze.

• Een volledige lijst van welke datacategorieën overdraagbaar zijn en welke de aanbieder niet kan exporteren.

Artikel 29 gaat over het geld. Sinds 12 september 2025 mag een aanbieder enkel verlaagde overstapkosten aanrekenen die niet hoger liggen dan de kosten die hij rechtstreeks voor die overstap maakt. Vanaf 12 januari 2027 mag hij voor de overstap niets meer aanrekenen. Artikel 2, punt 36 noemt egresskosten, de kosten om data uit de cloud te halen, uitdrukkelijk in de definitie. De factuur om terabytes uit je object storage te trekken valt dus onder het verbod. Wat erbuiten blijft: je gewone servicetarieven, en verbrekingsvergoedingen waarover de aanbieder je voor de ondertekening ingelicht heeft.

De data uit een verpakkingslijn krijgen

Een Vlaamse voedingsproducent heeft vier verpakkingsmachines van twee fabrikanten. De trillingsmetingen en cyclustellingen zitten in het portaal van elke fabrikant, zichtbaar als een dashboard en veel verder gaat het niet. Het bedrijf wil ze in zijn eigen warehouse.

Via artikel 4 is het bedrijf de gebruiker, en het kan met een eenvoudige elektronische vraag de direct beschikbare data opvragen. Direct beschikbaar betekent data die de fabrikant rechtmatig heeft of uit de machine kan halen zonder onevenredige inspanning die verder gaat dan een eenvoudige handeling. Dat is een echte grens en het eerste wat je moet aftoetsen. Wat je terugkrijgt is gratis, machineleesbaar, en draagt de metadata om het te lezen. Via artikel 5 kan het bedrijf diezelfde stroom ook rechtstreeks naar zijn eigen onderhoudsfirma laten sturen. De fabrikant mag met die firma een vergoeding afspreken volgens artikel 9, redelijk en niet-discriminerend, en is die firma een kmo, dan mag ze niet hoger liggen dan de kosten om de data beschikbaar te stellen. De gebruiker betaalt niets, de derde partij mogelijk wel.

Twee dingen kunnen het alsnog blokkeren. De fabrikant mag specifieke data achterhouden als bedrijfsgeheim, maar enkel onder de voorwaarden van artikel 4, dus door beschermingsmaatregelen af te spreken en niet door gewoon te weigeren. En deze machines staan al jaren op de markt, dus niemand moest ze ontwerpen met standaardtoegang. Geraakt een signaal er niet uit zonder de firmware te herbouwen, dan is het antwoord nee. Daarom telt de ontwerpplicht vanaf 12 september 2026 vooral voor de volgende machine die je koopt.

De dataverordening en de GDPR zijn twee verschillende wetten

De dataverordening is geen privacywet en ze vervangt de GDPR niet. Ze verschillen op twee vragen.

Over welke soort data gaat het. De GDPR gaat over persoonsgegevens, informatie over een geïdentificeerde of identificeerbare persoon, bij wie ze ook zit. De dataverordening gaat over data die ontstaat door het gebruik van een verbonden product of een gerelateerde dienst, en over data bij een cloudleverancier. Dat is grotendeels een machine die over zichzelf rapporteert.

Wie krijgt het recht. De GDPR geeft rechten aan de persoon over wie de data gaat. De dataverordening geeft ze aan de gebruiker van het product, en die gebruiker is meestal een bedrijf. Een bedrijf heeft geen GDPR-inzagerecht in de gegevens van zijn leverancier, want een bedrijf is geen betrokkene. Onder de dataverordening heeft het dat recht wel.

Ze overlappen zodra machinedata ook over een persoon gaat, met de gevolgde bestelwagen en zijn chauffeur als voorbeeld. Artikel 1, lid 5 beslecht het: botsen ze, dan haalt de gegevensbeschermingswetgeving het. Een vraag onder artikel 5 om data die aan een chauffeur hangt naar een derde te sturen, heeft dus nog altijd een rechtsgrond onder de GDPR nodig.

Wat het betekent voor een AI-project

Een model voor voorspellend onderhoud heeft een historiek van metingen uit de machine nodig, en bij de meeste bedrijven is de reden dat zo'n project nooit startte niet het model, maar wel dat die metingen vastzaten in het portaal van de leverancier. Artikel 4 maakt van "we geraken niet aan de data" een vraag met een juridisch antwoord, en volgens de FAQ van de Commissie valt enkel data die na 12 september 2025 ontstaan is onder hoofdstuk II, dus je historiek begint daar.

Aan de cloudkant is het effect dunner dan het klinkt. Het einde van de overstapkosten maakt het goedkoper om de opslag en rekenkracht onder een AI-toepassing te verhuizen, maar het maakt een model of een geschiedenis van prompts niet overdraagbaar, en of een managed model-API onder de definitie van dataverwerkingsdienst in artikel 2, punt 8 valt, ligt niet vast. De overstapregels halen de uitgangstol weg. Over de overdraagbaarheid van je AI-stack zelf zeggen ze niets.

Wat je nu doet, en wat nog niet vastligt

Koop je uitrusting, vraag het voor je tekent. Artikel 3, lid 2 verplicht de verkoper nu al om je voor de verkoop te zeggen welke data het product genereert, in welk formaat en welke hoeveelheid, of ze continu binnenkomt, waar ze bewaard wordt en hoelang, en hoe je ze opvraagt, ophaalt en wist. Vraag dat op papier en leg het naast de prijs.

Ben je cloudklant, weet waar je recht op hebt. Leg je contract naast artikel 25: opzegtermijn, overgangsperiode, ophaaltermijn, en de lijst van wat overdraagbaar is. Wogen exitkosten ooit mee in een verlengingsbeslissing, dan vallen ze vanaf 12 januari 2027 weg. Onder artikel 41 publiceerde de Commissie ook niet-bindende modelbepalingen voor datadeling en standaardbepalingen voor cloudcontracten, geschreven met kleinere partijen in gedachten.

Reken erop dat de details nog bewegen. Lidstaten moesten bevoegde autoriteiten en een datacoördinator aanduiden, en niet iedereen geraakte op tijd klaar. In België legt het federale regeerakkoord toezicht en coördinatie bij het BIPT, met de Gegevensbeschermingsautoriteit voor het luik persoonsgegevens. Daarbovenop zou het voorstel voor een digitale omnibus van de Commissie van november 2025 de dataverordening zelf wijzigen, onder meer met vrijstellingen van het grootste deel van hoofdstuk VI voor contracten die op of voor 12 september 2025 gesloten zijn. Dat dossier zat midden 2026 nog in commissie in het Europees Parlement. De data hierboven zijn de wet van vandaag, en die uit hoofdstuk VI zijn de meest waarschijnlijke kandidaten voor een herschrijving.