ITAR, controles de exportación y tratos de datos para IA: deje fuera el trabajo controlado

Todo lo relacionado con trabajo ITAR, con control de exportación o CUI se queda fuera de un trato de datos para IA. Y eso va más allá de los archivos de ingeniería. También incluye el correo, las unidades compartidas y el papeleo de cada trabajo.

Mostrarlo es exportarlo

No tiene que enviar nada al extranjero para exportar. Bajo ITAR y las reglas de exportación, dejar que una persona extranjera vea datos técnicos controlados cuenta como exportación, aunque esa persona esté sentada en EE. UU.

Un trato de datos para IA pone sus archivos frente a personas que usted nunca va a conocer: los ingenieros del comprador, los contratistas que limpian los datos, la gente a la que le pagan por etiquetarlos y el laboratorio de IA al final. No hemos encontrado ningún comprador que diga en público quiénes son esas personas ni dónde están.

El cifrado no lo resuelve. Para entrenar una IA con sus datos, alguien tiene que abrirlos.

Qué cuenta

• Datos técnicos ITAR: los planos, instrucciones y documentación de cualquier cosa que esté en la Lista de Municiones de EE. UU. En la práctica, eso por lo general son planos, especificaciones, instrucciones de trabajo y planes de inspección.
• Tecnología con control de exportación: datos técnicos de artículos de doble uso que tienen un número de clasificación de exportación.
• CUI: si sus contratos de defensa incluyen DFARS 7012, cubre planos, hojas de proceso y especificaciones, incluidos los que usted hizo para el trabajo.

Lo que le puede costar

Las multas civiles bajo ITAR pueden llegar a unos $1.27 millones por infracción, o al doble del valor del trato. Las sanciones penales llegan hasta $1 millón y 20 años de prisión. Las reglas de exportación para artículos de doble uso tienen sanciones penales parecidas.

Ya ha pasado con un simple correo electrónico. En 2023, 3D Systems pagó una multa de $2.78 millones al Departamento de Comercio después de enviar por correo archivos de diseño a su propia oficina en China para pedir cotizaciones.

Sus contratistas principales ya dijeron que no

Lockheed Martin, Northrop Grumman y L3Harris prohíben a sus proveedores usar su información para entrenar IA. Las condiciones de Lockheed van más allá: aun donde se permite usar IA, la información con control de exportación nunca entra.

La pausa de 2026 en la certificación CMMC por terceros no cambia nada de esto. El Departamento de Defensa dice que las reglas de DFARS 7012 siguen vigentes.

Qué hacer

1. Aísle el trabajo controlado por cliente, programa, número de trabajo, carpeta y buzón. Si un mismo buzón maneja cotizaciones de defensa y comerciales, ese buzón queda fuera.
2. No confíe en “anonimizar”. Quitar nombres y logotipos no quita una tolerancia ni una especificación de material.
3. No envíe una muestra hasta que su responsable de cumplimiento de exportaciones haya aprobado el alcance por escrito.
4. Pregúntele al comprador por escrito: ¿quién va a tocar los datos, son todos personas de EE. UU., y dónde se guardan y se procesan? Si no responden, esa es su respuesta.

Preguntas para su abogado de exportaciones

• ¿Cuáles de los registros que pidieron son ITAR o tienen control de exportación?
• ¿Qué contratos incluyen DFARS 7012, y qué registros cubre?
• ¿Qué promesas por escrito necesitamos del comprador sobre quién ve los datos y dónde?
• ¿Tenemos que actualizar primero nuestro plan de control de tecnología?

Esto no es asesoría legal.