Fra 12. september 2025 gjelder Data Act (dataforordingen) i EU. Innføringen av denne forordningen har nok gått litt under radaren mens debatten har rast om AI Act, men Data Act nedfeller noen nye og svært viktige prinsipper om tilgang til data, flytting av data og interoperabilitet.
Hva betyr dette – kort fortalt
Rett til egne IoT-data: Brukere (bedrifter og forbrukere) skal få tilgang til data de selv skaper ved bruk av «tilkoblede produkter.» Det vil si sensorer og annen maskinvare som genererer datastrømmer, samt «tilhørende tjenester;» programvare som selges med utstyret som genererer dataene. Og brukerne skal kunne dele dataene videre med tredjepart.
Rimelige B2B-vilkår: Ubalanserte eller urimelige avtalebestemmelser kan settes til side. Dette gjelder særlig vilkår for tilgang eller deling av IoT-data fra sensorene. Samtidig har leverandøren av IoT-produktene et visst vern for egne forretningshemmeligheter ved deling av data. Merk også at mottager av IoT-data fra bruker kun skal bruke dataene til brukerens angitte formål og har heller ikke anledning til å videredele slike data uten eksplisitt samtykke fra bruker.
Cloud-bytte uten «innlåsing»: Forordningen nedfeller en plikt til å legge til rette for portabilitet og interoperabilitet, med kostbaserte begrensninger i mulighetene for skyleverandør å ta egress-gebyrer (dataeksportavgift). Fra 12. januar 2027 skal bytte være gratis.
Interoperabilitet på tvers av datasområder og skyleverandører styrkes gjennom felles krav og standarder.
Offentlig tilgang i unntakstilfeller: Offentlige myndigheter kan be om tilgang til visse data ved ekstraordinære behov (f.eks. kriser), men da under tydelige vilkår og vern.
Hva er den største nyvinningen i dette regelsettet?
Kombinasjonen av lovfestet rett til IoT-data for brukeren og krav til redusert innlåsning hos skyleverandørene (gratis bytte/egress innen 2027) er et tydelig brudd med tidligere praksis.
Tidligere har tilgangen til datastrømmer vært basert på rene kommersielle avtaler, da data ikke har opphavsrett (selv om strukturert data kan ha databasevern). Forordningen flytter dermed verdien av industridata nærmere brukeren og åpner markedet for nye ettermarkedstjenester – fra vedlikehold og forsikring til helt nye dataprodukter. De som i dag har kontroll over slike datastrømmer må nå sikre seg anledning til fortsatt bruk av brukerdata via lisensavtaler, og disse må oppfylle ganske strenge formkrav. Ikke minst for trening av maskinlæringssystemer (KI) vil dataforordningen skape muligheter for andre enn produsentene av de tilkoblede produktene.
Hva er status for Norge (EØS)?
Forordningen er EØS-relevant og til vurdering i EFTA. Gjennomføring i norsk rett krever lovendringer og Stortingets samtykke. Dette kommer nok til å ta noe tid, da endringsprosessene er ennå ikke startet. Norske virksomheter som opererer i EU-markedet, må likevel forholde seg til reglene der de gjelder. Siden det dreier seg om en forordning, skal regelverket gjennomføres ordrett slik det står.
Som med AI Act er det lagt opp til en gradvis innfasing av reglene: Krav knyttet til nye, tilkoblede produkter som settes på markedet gjelder fra 12. september 2026, og deler av kontraktsreglene får også virkning for eldre langtidsavtaler fra 12. september 2027.
Hva bør norske selskaper gjøre nå:
- Kartlegg hvilke produkter/tjenester som genererer brukerdata, og hvordan data gjøres tilgjengelig. Vurder om dine tjenester kan nyttiggjøre seg dataene og hvem som er brukere som nå kan kreve tilgang til dataene.
- Revider kontrakter (B2B/B2C) for urimelige dataklausuler. Sørg for å dekke egne behov for lisens til brukerdata hvis du er produktleverandør og planlegg tvisteløsningsmekanismer. Tilpass avtaler særlig med EU-baserte selskaper.
- Gå gjennom skyavtaler: Etabler rutiner for portering, frister for overgang der det kreves, og plan for gebyrfri overgang innen 2027 om det er aktuelt.
- Vern av forretningshemmeligheter og personvern: sett Iverksett opp tekniske og /juridiske tiltak for å dele data uten å røpe hemmeligheter eller underminere egen forretningsmodell. I den grad persondata skulle være omfattet, avklar forholdet til GDPR. Er du produsenten av de tilkoblede produktet bør du trekke grensen for hva du må og bør dele.
- Vurder mulighetene standardene for interoperabilitet gir – både umiddelbart for eksisterende skyavtaler men også på sikt. I lys av den operasjonelle usikkerheten Trump-administrasjonen har introdusert for amerikanskbaserte tjenester, er forenklet overgang til andre og sikrere plattformer velkomment.
KI kan gjøre rekruttering mer effektivt og rettferdig
