ITAR, contrôle des exportations et transactions de données pour l'IA : tenez le travail contrôlé à l'écart

Tout ce qui touche à l'ITAR, au contrôle des exportations ou aux CUI (informations non classifiées contrôlées) reste hors d'une transaction de données pour l'IA. Et pas seulement les fichiers d'ingénierie : les e-mails, les disques partagés et les documents de commande aussi.

Montrer, c'est exporter

Pas besoin d'expédier quoi que ce soit à l'étranger pour exporter. Selon l'ITAR et les règles d'exportation, laisser une personne étrangère voir des données techniques contrôlées compte comme une exportation, même si cette personne se trouve aux États-Unis.

Une transaction de données pour l'IA met vos fichiers sous les yeux de personnes que vous ne rencontrerez jamais : les ingénieurs de l'acheteur, les sous-traitants qui nettoient les données, les personnes payées pour les annoter et le laboratoire d'IA au bout de la chaîne. Nous n'avons trouvé aucun acheteur qui dise publiquement qui sont ces personnes ni où elles se trouvent.

Le chiffrement ne règle rien. Pour entraîner une IA sur vos données, il faut bien que quelqu'un les ouvre.

Ce qui est concerné

Données techniques ITAR : les plans, instructions et documents de tout ce qui figure sur la US Munitions List (liste américaine des matériels de guerre). En pratique, il s'agit généralement de plans, de spécifications, d'instructions de travail et de plans de contrôle.
Technologies soumises au contrôle des exportations : les données techniques des biens à double usage qui portent un numéro de classification à l'export.
CUI : si vos contrats de défense incluent la clause DFARS 7012, elle couvre les plans, les fiches de procédé et les spécifications, y compris ceux que vous avez créés pour la commande.

Ce que cela peut coûter

Les sanctions civiles prévues par l'ITAR peuvent atteindre environ 1,27 million de dollars par infraction, ou deux fois la valeur de la transaction. Les sanctions pénales vont jusqu'à 1 million de dollars et 20 ans de prison. Les règles d'exportation sur les biens à double usage prévoient des sanctions pénales similaires.

C'est déjà arrivé par simple e-mail. En 2023, 3D Systems a payé une amende de 2,78 millions de dollars au Département du Commerce après avoir envoyé par e-mail des fichiers de conception à son propre bureau en Chine pour obtenir des devis.

Vos donneurs d'ordre ont déjà dit non

Lockheed Martin, Northrop Grumman et L3Harris interdisent tous à leurs fournisseurs d'utiliser leurs informations pour entraîner l'IA. Les conditions de Lockheed vont plus loin : même là où l'usage de l'IA est autorisé, les informations soumises au contrôle des exportations n'y entrent jamais.

La pause de 2026 sur la certification CMMC par des tiers n'y change rien. Le Département de la Défense indique que les règles DFARS 7012 s'appliquent toujours.

Que faire

Isolez le travail contrôlé par client, programme, numéro de commande, dossier et boîte mail. Si une même boîte mail traite à la fois des devis défense et des devis commerciaux, cette boîte mail est exclue.
Ne comptez pas sur l'« anonymisation ». Retirer les noms et les logos n'enlève ni une tolérance ni une spécification de matériau.
N'envoyez pas d'échantillon tant que votre responsable de la conformité export n'a pas validé le périmètre par écrit.
Demandez à l'acheteur par écrit : qui aura accès aux données, ces personnes sont-elles toutes des US persons (citoyens ou résidents permanents américains), et où les données sont-elles stockées et traitées ? S'il refuse de répondre, vous avez votre réponse.

Questions pour votre avocat spécialisé en contrôle des exportations

Parmi les documents demandés, lesquels relèvent de l'ITAR ou du contrôle des exportations ?
Quels contrats contiennent la clause DFARS 7012, et quels documents couvre-t-elle ?
De quels engagements écrits de l'acheteur avons-nous besoin sur qui voit les données, et où ?
Devons-nous d'abord mettre à jour notre plan de contrôle des technologies ?

Ceci n'est pas un avis juridique.