ITAR、輸出規制、CUI（管理対象非機密情報）に関わるものは、すべてAIデータ取引から除外します。対象は設計・技術ファイルだけではありません。メール、共有ドライブ、案件の書類も含まれます。
見せることは輸出にあたる
海外に何かを送らなくても、輸出になることがあります。ITARと輸出規制では、規制対象の技術データを外国人に見せることも輸出とみなされます。その人が米国内にいても同じです。
AIデータ取引では、会うこともない人たちの目に御社のファイルが触れます。買い手のエンジニア、データを整える委託先、ラベル付けを請け負う作業者、そして最後にはAI開発企業。そうした人たちが誰で、どこにいるのかを公表している買い手は、私たちが調べた限り見つかっていません。
暗号化しても解決しません。データでAIを学習させるには、誰かがそれを開く必要があるからです。
何が該当するのか
- ITARの技術データ：米国軍需品リスト（US Munitions List）に載っている品目の図面、指示書、文書。実際には、図面、仕様書、作業指示書、検査計画書であることがほとんどです。
- 輸出規制対象の技術：輸出管理分類番号が付いたデュアルユース（軍民両用）品目の技術データ。
- CUI：防衛関連の契約にDFARS 7012が含まれている場合、図面、工程シート、仕様書が対象になります。その案件のために御社が作成したものも含みます。
どれだけの代償になり得るか
ITARに基づく民事制裁金は、違反1件あたり約127万ドル、または取引額の2倍に達することがあります。刑事罰は最大100万ドルの罰金と20年の禁錮です。デュアルユース品目の輸出規制にも、同様の刑事罰があります。
ごく普通のメールで起きたこともあります。2023年、3Dシステムズ（3D Systems）は、見積もりを取るために設計ファイルを中国にある自社拠点へメールで送ったとして、米国商務省に278万ドルの制裁金を支払いました。
元請けの大手はすでに禁止している
ロッキード・マーティン、ノースロップ・グラマン、L3ハリスは、いずれもサプライヤーが自社の情報をAIの学習に使うことを禁じています。ロッキードの条件はさらに踏み込んでおり、AIの利用が認められている場合でも、輸出規制対象の情報は決して入力してはならないとしています。
2026年に第三者によるCMMC認証が一時停止されましたが、この点は何も変わりません。米国国防総省は、DFARS 7012の規則は引き続き適用されるとしています。
やるべきこと
- 規制対象の業務を切り分ける。顧客、プログラム、案件番号、フォルダ、メールボックスごとに分けます。1つの受信箱で防衛関連と民間の見積もりの両方を扱っているなら、その受信箱は丸ごと除外です。
- 「匿名化」に頼らない。名前やロゴを消しても、公差や材料の指定は消えません。
- サンプルを送らない。輸出管理の担当者が対象範囲を書面で承認するまでは送らないでください。
- 買い手に書面で尋ねる。誰がデータに触れるのか、全員が米国人（US person）なのか、データはどこで保管・処理されるのか。答えないなら、それが答えです。
輸出管理に詳しい弁護士への質問
- 求められている記録のうち、ITARや輸出規制の対象となるのはどれか？
- DFARS 7012を含む契約はどれで、どの記録が対象になるか？
- 誰がどこでデータを見るかについて、買い手からどのような書面の約束が必要か？
- 先に技術管理計画（technology control plan）を見直す必要があるか？
これは法的助言ではありません。