EAR vs. ITAR : Ce que réglementent réellement les Export Administration Regulations
De nombreux exportateurs pensent à tort que les contrôles à l’exportation ne concernent que les biens manifestement militaires — armes, munitions, équipements de défense. Cette idée reçue est fréquente, mais elle coûte cher. Le règlement sur l’administration des exportations (EAR) va bien au-delà des biens militaires, en contrôlant les biens à double usage — technologies commerciales à applications militaires — via un système d’autorisations et de contrôles qui prend souvent les organisations au dépourvu, bien plus que l’ITAR, justement parce que la portée de l’EAR semble moins « liée à la défense » jusqu’à ce qu’une organisation se retrouve déjà en infraction.
Ce guide explique ce que l’EAR contrôle réellement, en quoi il diffère de l’ITAR et des sanctions OFAC, comment fonctionnent la classification et les licences dans la pratique, et à quoi ressemble l’application actuelle de la réglementation.
Résumé Exécutif
Idée principale : L’EAR contrôle les biens à double usage — ceux à la fois civils et militaires — gérés par le Bureau of Industry and Security du département du Commerce. Il se distingue de l’ITAR, qui régit les articles et services spécifiquement liés à la défense sous la supervision du DDTC du département d’État, et des sanctions OFAC, qui restreignent les transactions avec certains pays, entités et individus, indépendamment de la classification des biens.
Pourquoi c’est important : Le Bureau of Industry and Security (BIS) a infligé plus de 1,5 milliard de dollars d’amendes pour des infractions à l’exportation rien qu’au cours de l’exercice 2024. Une mauvaise classification d’un bien, l’absence de licence requise ou la divulgation involontaire de technologies contrôlées à une personne étrangère figurent parmi les erreurs de conformité à l’exportation les plus fréquentes — et les plus coûteuses — qui touchent surtout les organisations pensant que l’EAR ne s’appliquait pas à leurs produits commerciaux non militaires.
Points clés à retenir
- L’EAR régit les biens à double usage — pas spécifiquement les articles de défense. Les biens à double usage ont des applications civiles et militaires : un composant de drone commercial, un logiciel de chiffrement ou un outil de fabrication de semi-conducteurs peuvent tous relever de l’EAR, même s’ils ne sont pas des armes.
- L’EAR et l’ITAR sont gérés par des agences fédérales différentes et couvrent des catégories de biens distinctes. L’EAR est administré par le Bureau of Industry and Security du département du Commerce et couvre les biens à double usage. L’ITAR est administré par la Direction du contrôle du commerce de la défense du département d’État et concerne les articles, services et données techniques spécifiquement destinés à un usage militaire. Un bien relève généralement d’un seul régime, mais les organisations opérant à la fois sur des lignes de produits commerciaux et de défense doivent souvent mettre en place des programmes de conformité pour chaque régime.
- La classification selon la Commerce Control List détermine les besoins en licence — la plupart des biens relèvent de l’EAR99 et ne nécessitent aucune licence. Chaque bien potentiellement soumis à l’EAR doit être classé avec un numéro ECCN (Export Control Classification Number) issu de la Commerce Control List, ou déterminé comme EAR99 — une désignation générique pour les biens non spécifiquement listés, dont la plupart ne nécessitent aucune licence pour la majorité des destinations.
- L’EAR possède sa propre règle de « deemed export », parallèle à celle de l’ITAR. La divulgation de technologies ou de codes sources contrôlés à une personne étrangère présente sur le sol américain est considérée comme une exportation vers le pays d’origine de cette personne selon l’EAR — le même principe que pour l’ITAR, mais pour une autre catégorie de biens contrôlés.
- Les déclarations d’exportation se font via l’Automated Export System (AES), et non plus sur papier. La déclaration papier (SED) a été abandonnée depuis des années. Les informations électroniques d’exportation (EEI) sont désormais transmises via l’AES selon la réglementation du Foreign Trade du Census Bureau, généralement requises lorsque la valeur de l’envoi dépasse 2 500 $ par classification Schedule B ou lorsqu’une licence est nécessaire, quelle que soit la valeur.
En quoi l’EAR diffère de l’ITAR et des sanctions OFAC
Les contrôles à l’exportation américains reposent sur trois régimes distincts, et les confondre est une erreur fréquente et lourde de conséquences. L’EAR, administré par le Bureau of Industry and Security du département du Commerce, régit les biens à double usage — biens, logiciels et technologies à applications commerciales et militaires, contrôlés selon les parties 730 à 774 du 15 CFR. L’ITAR, administré par la Direction du contrôle du commerce de la défense du département d’État, couvre les articles, services et données techniques spécifiquement conçus ou modifiés pour un usage militaire, listés sur la United States Munitions List. Les sanctions OFAC, administrées par l’Office of Foreign Assets Control du département du Trésor, restreignent ou interdisent les transactions avec certains pays, entités et individus — indépendamment de la nature du bien concerné.
La distinction pratique qui piège le plus souvent : la classification d’un bien détermine généralement quel régime s’applique — un article figurant sur la U.S. Munitions List relève de l’ITAR, pas de l’EAR — mais une organisation exportant à la fois des produits liés à la défense et des biens à double usage commerciaux doit souvent gérer des programmes de conformité couvrant les deux régimes, en plus du filtrage des sanctions qui s’appliquent indépendamment de la classification du bien. Si votre organisation travaille avec des données techniques liées à la défense, consultez notre guide de conformité ITAR pour connaître les exigences spécifiques à ce régime, à appliquer seul ou en parallèle de l’EAR.
Quelles normes de conformité des données sont importantes ?
Pour en savoir plus :
Comment fonctionnent la classification et les licences EAR dans la pratique
Déterminer si un bien nécessite une licence d’exportation selon l’EAR repose sur trois étapes pratiques.
Classifiez le bien. Consultez la Commerce Control List (CCL) pour savoir si le bien possède un numéro ECCN (Export Control Classification Number) spécifique — un code à cinq caractères identifiant la raison du contrôle (sécurité nationale, lutte contre le terrorisme, etc.) et les conditions d’application. Les biens non listés sur la CCL sont généralement classés EAR99, une désignation générique. La plupart des biens EAR99 ne nécessitent pas de licence pour la majorité des destinations, mais une licence peut être requise selon la destination, l’utilisateur final ou l’usage final.
Consultez le Commerce Country Chart. Pour les biens dotés d’un ECCN spécifique, le Commerce Country Chart croise les raisons du contrôle avec le pays de destination afin de déterminer si une licence est requise pour cette exportation précise.
Filtrez toutes les parties prenantes via les listes de parties restreintes. Quelle que soit la classification du bien, les exportateurs doivent vérifier l’utilisateur final, l’organisation de l’utilisateur final et tout intermédiaire via les listes de parties restreintes ou interdites du BIS, car une transaction impliquant une partie listée peut nécessiter une licence ou être interdite, même pour un bien non restreint par ailleurs.
Les décisions de licence reposent finalement sur trois facteurs combinés : l’usage final (à quoi servira le bien), l’utilisateur final (qui le recevra) et la destination (où il sera expédié) — un même bien peut nécessiter une licence pour une combinaison de ces facteurs et pas pour une autre.
Deemed exports selon l’EAR
La règle de « deemed export » de l’EAR reprend le même principe que celle de l’ITAR : la divulgation de technologies ou de codes sources contrôlés à une personne étrangère présente aux États-Unis est considérée comme une exportation vers le pays d’origine de cette personne, même si rien ne franchit physiquement une frontière. Partager des spécifications techniques, du code source ou des procédés de fabrication propriétaires avec un salarié, un prestataire ou un visiteur étranger — même lors d’une réunion interne ou via un document partagé — peut déclencher l’application de la règle de « deemed export » de l’EAR si la technologie concernée est contrôlée.
Cela a des conséquences directes sur la gestion de la collaboration numérique impliquant des technologies soumises à l’EAR : l’accès aux données techniques contrôlées doit être restreint selon la nationalité et le niveau d’autorisation, et non simplement selon le statut d’employé dans l’organisation.
Obligations de déclaration : AES, plus SED
Les déclarations d’exportation sont effectuées via l’Automated Export System (AES), qui collecte les informations électroniques d’exportation (EEI) selon la réglementation Foreign Trade du Census Bureau (15 CFR Part 30). Cela a remplacé la déclaration papier (SED) depuis des années — toute référence à la SED relève donc d’une documentation obsolète.
La déclaration AES/EEI est généralement requise lorsque la valeur de l’envoi dépasse 2 500 $ par classification Schedule B, ou lorsqu’une licence d’exportation est nécessaire, quelle que soit la valeur. La déclaration doit être faite avant le départ de l’envoi (pré-départ), bien que certaines entreprises agréées puissent bénéficier d’une déclaration post-départ dans des cas spécifiques. La responsabilité légale finale de l’exactitude de la déclaration incombe à l’USPPI (U.S. Principal Party in Interest), même si un agent autorisé tel qu’un transitaire effectue la déclaration pour son compte.
Application actuelle de l’EAR
L’activité de contrôle du BIS a été intense ces dernières années — l’agence a infligé plus de 1,5 milliard de dollars d’amendes pour des infractions à l’exportation rien qu’en 2024. Les contrôles couvrent l’ensemble des obligations de l’EAR : exportation de biens contrôlés sans licence requise, mauvaise classification pour éviter les exigences de licence, transactions avec des parties restreintes ou interdites, et violations de la règle de « deemed export » impliquant la divulgation non autorisée de technologies contrôlées à des personnes étrangères.
Les sanctions peuvent inclure d’importantes amendes civiles, des poursuites pénales pour infraction délibérée, et le retrait des privilèges d’exportation — une conséquence qui, à l’instar de la radiation ITAR, peut mettre fin à la capacité d’une organisation à exporter, quel que soit le montant de l’amende.
Comment Kiteworks contribue à la gouvernance des données soumises à l’EAR
Kiteworks propose des fonctions de gouvernance et de contrôle d’accès pertinentes pour les organisations gérant des technologies et données techniques soumises à l’EAR, notamment pour prévenir les risques de « deemed export » lors de la collaboration numérique.
Un moteur de règles de données unifié applique des contrôles d’accès granulaires, basés sur les rôles, sur la messagerie électronique, le partage sécurisé de fichiers, le transfert sécurisé de fichiers et SFTP — ce qui permet de restreindre l’accès aux technologies soumises à l’EAR selon le niveau d’autorisation, et ainsi d’éviter toute exposition involontaire à la règle de « deemed export ». Le chiffrement AES-256 avec modules cryptographiques validés FIPS 140-3 protège les données techniques contrôlées au repos et en transit, et une piste d’audit consolidée, immuable et centralisée fournit la preuve documentaire indispensable à tout programme de conformité à l’exportation — en assurant la traçabilité de qui a accédé, modifié ou partagé une technologie contrôlée, et à quel moment.
Kiteworks détient également l’agrément FedRAMP Moderate, évalué de façon indépendante depuis juin 2017, ce qui concerne les organisations dont le programme de conformité à l’EAR recoupe des exigences fédérales. Pour les organisations gérant à la fois des obligations EAR et ITAR, consultez notre guide de conformité ITAR pour les exigences parallèles applicables aux articles et données techniques spécifiquement liés à la défense.
Pour découvrir comment Kiteworks accompagne la gouvernance de vos données soumises aux contrôles à l’exportation, réservez une démo personnalisée.
Foire aux questions
L’EAR, administré par le Bureau of Industry and Security du département du Commerce, régit les biens à double usage — biens, logiciels et technologies à applications civiles et militaires. L’ITAR, administré par la Direction du contrôle du commerce de la défense du département d’État, couvre les articles, services et données techniques spécifiquement conçus ou modifiés pour un usage militaire et listés sur la U.S. Munitions List. La classification d’un bien détermine généralement quel régime s’applique, mais les organisations opérant à la fois sur des lignes de produits commerciaux et de défense doivent souvent mettre en place des programmes de conformité pour chaque régime.
Non. La plupart des biens, une fois classés, relèvent de la désignation générique EAR99 et ne nécessitent pas de licence pour la majorité des destinations. Les exigences en matière de licence dépendent de la combinaison du numéro ECCN (ou de son absence), du pays de destination, de l’utilisateur final et de l’usage final — un même bien peut nécessiter une licence pour une combinaison de ces facteurs et pas pour une autre. Consulter la Commerce Control List, le Commerce Country Chart et les listes de parties restreintes constitue la méthode standard en trois étapes pour déterminer si une exportation nécessite une licence.
Un « deemed export » a lieu lorsqu’une technologie ou un code source contrôlé est divulgué à une personne étrangère présente aux États-Unis — cela est considéré comme une exportation vers le pays d’origine de cette personne, même si rien ne franchit physiquement une frontière. Ce principe, identique à celui de l’ITAR, s’applique ici aux technologies à double usage contrôlées par l’EAR et non aux articles de défense. Partager des spécifications techniques ou des procédés propriétaires avec un salarié ou un prestataire étranger peut déclencher cette règle si la technologie concernée est contrôlée, ce qui impose de restreindre l’accès selon la nationalité dans les organisations gérant des données techniques soumises à l’EAR.
Non. La déclaration d’exportation papier (SED) a été abandonnée et remplacée par la déclaration électronique via l’Automated Export System (AES). Les exportateurs transmettent désormais les informations électroniques d’exportation (EEI) via l’AES, conformément à la réglementation Foreign Trade du Census Bureau, généralement requise lorsque la valeur de l’envoi dépasse 2 500 $ par classification Schedule B ou lorsqu’une licence d’exportation est nécessaire, quelle que soit la valeur. Toute documentation actuelle mentionnant la SED est donc obsolète.
Le contrôle de l’EAR est actif et les sanctions financières sont importantes — le Bureau of Industry and Security a infligé plus de 1,5 milliard de dollars d’amendes pour des infractions à l’exportation rien qu’en 2024. Les infractions peuvent entraîner d’importantes amendes civiles, des poursuites pénales pour infraction délibérée et le retrait des privilèges d’exportation, ce qui peut mettre fin à la capacité d’une organisation à exporter, indépendamment du montant de l’amende. Les infractions courantes incluent l’exportation sans licence requise, la mauvaise classification de biens, les transactions avec des parties restreintes et les violations de la règle de « deemed export » impliquant une divulgation non autorisée à des personnes étrangères.
Ressources complémentaires
- Article de blog La bataille autour de vos données : comment les lois CLOUD et SHIELD opposent sécurité et confidentialité
- Article de blog Sécurisez les données sensibles en alignant le DSPM sur vos objectifs de conformité
- Brief Top 3 des violations FERPA et comment les éviter
- Article de blog Executive Order 14117 : Protéger les données personnelles sensibles des Américains
- Article de blog Besoin de conformité NIS2 ? Commencez par l’ISO 27001