ITAR, Exportkontrolle und KI-Datengeschäfte: Kontrollierte Arbeit bleibt draußen

Alles, was mit ITAR, Exportkontrolle oder CUI zu tun hat, bleibt aus einem KI-Datengeschäft draußen. Das betrifft nicht nur die technischen Dateien, sondern auch die E-Mails, die gemeinsamen Laufwerke und die Auftragsunterlagen.

Zeigen ist schon Exportieren

Sie müssen nichts ins Ausland schicken, um zu exportieren. Nach ITAR und den Exportvorschriften gilt es schon als Export, wenn eine ausländische Person kontrollierte technische Daten sehen kann, selbst wenn diese Person in den USA sitzt.

Ein KI-Datengeschäft legt Ihre Dateien Menschen vor, die Sie nie treffen werden: den Ingenieuren des Käufers, den Auftragnehmern, die die Daten bereinigen, den Leuten, die für das Beschriften bezahlt werden, und am Ende dem KI-Labor. Wir haben keinen Käufer gefunden, der öffentlich sagt, wer diese Leute sind oder wo sie sitzen.

Verschlüsselung löst das Problem nicht. Um eine KI mit Ihren Daten zu trainieren, muss jemand sie öffnen.

Was darunter fällt

Technische Daten unter ITAR: die Zeichnungen, Anleitungen und Dokumentation zu allem, was auf der US Munitions List (Liste der US-Rüstungsgüter) steht. In der Praxis sind das meist Zeichnungen, Spezifikationen, Arbeitsanweisungen und Prüfpläne.
Exportkontrollierte Technologie: technische Daten zu Dual-Use-Gütern, die eine Exportklassifizierungsnummer tragen.
CUI: Wenn Ihre Verteidigungsaufträge DFARS 7012 enthalten, fallen Zeichnungen, Prozessblätter und Spezifikationen darunter, auch die, die Sie selbst für den Auftrag erstellt haben.

Was es kosten kann

Zivilrechtliche Strafen nach ITAR können rund 1,27 Millionen $ pro Verstoß erreichen oder das Doppelte des Geschäftswerts. Strafrechtlich drohen bis zu 1 Million $ und 20 Jahre Haft. Die Exportvorschriften für Dual-Use-Güter sehen ähnliche strafrechtliche Sanktionen vor.

Es ist schon über ganz normale E-Mails passiert. 2023 zahlte 3D Systems eine Strafe von 2,78 Millionen $ an das US-Handelsministerium, nachdem die Firma Konstruktionsdateien per E-Mail an ihr eigenes Büro in China geschickt hatte, um Preisangebote einzuholen.

Ihre Hauptauftraggeber haben schon Nein gesagt

Lockheed Martin, Northrop Grumman und L3Harris verbieten Zulieferern, ihre Informationen zum Trainieren von KI zu verwenden. Die Bedingungen von Lockheed gehen noch weiter: Selbst wo KI erlaubt ist, kommen exportkontrollierte Informationen nie hinein.

Die Pause bei der CMMC-Zertifizierung durch Dritte im Jahr 2026 ändert daran nichts. Das US-Verteidigungsministerium sagt, dass die Regeln aus DFARS 7012 weiter gelten.

Was Sie tun sollten

Schotten Sie kontrollierte Arbeit ab, nach Kunde, Programm, Auftragsnummer, Ordner und Postfach. Wenn in einem Postfach sowohl Rüstungs- als auch zivile Angebote laufen, bleibt dieses Postfach draußen.
Verlassen Sie sich nicht auf „Anonymisieren“. Wer Namen und Logos entfernt, entfernt damit keine Toleranzangabe und keine Werkstoffangabe.
Schicken Sie keine Probe, bis die für Exportkontrolle zuständige Person den Umfang schriftlich freigegeben hat.
Fragen Sie den Käufer schriftlich: Wer wird mit den Daten arbeiten, sind das alles US persons (US-Personen im Sinne der Exportregeln), und wo werden die Daten gespeichert und verarbeitet? Wenn er nicht antwortet, ist das Ihre Antwort.

Fragen an Ihren Anwalt für Exportrecht

Welche der verlangten Unterlagen fallen unter ITAR oder die Exportkontrolle?
Welche Verträge enthalten DFARS 7012, und welche Unterlagen erfasst das?
Welche schriftlichen Zusicherungen brauchen wir vom Käufer dazu, wer die Daten sieht und wo?
Müssen wir vorher unseren technology control plan (Technologiekontrollplan) aktualisieren?

Das ist keine Rechtsberatung.