ITAR : enregistrement, exigences et sanctions expliqués

L’International Traffic in Arms Regulations (ITAR) encadre l’exportation, l’importation temporaire et le courtage d’articles de défense, de services de défense et des données techniques associées figurant sur la United States Munitions List (USML). Appliqué par la Directorate of Defense Trade Controls (DDTC), rattachée au Département d’État américain, l’ITAR concerne un éventail d’organisations bien plus large qu’on ne le pense généralement — pas seulement les fabricants d’armement, mais toute personne ou entreprise américaine qui fabrique, exporte, importe temporairement ou négocie des articles de défense, y compris les données techniques qui les décrivent.

Ce guide détaille les entités concernées par l’ITAR, ce qu’impliquent concrètement l’enregistrement et le maintien de la conformité, ainsi que les sanctions encourues en cas de manquement.

Devenir conforme à l'ITAR pour les exportateurs de défense

Résumé exécutif

L’essentiel : l’enregistrement auprès de la DDTC est obligatoire pour toute personne ou entreprise américaine qui fabrique, exporte, importe temporairement ou négocie des articles de défense ou des données techniques inscrits sur l’USML — cette obligation est déclenchée par une seule activité couverte, et non par un seuil de volume. La conformité exige un enregistrement, un programme de conformité documenté et une gestion rigoureuse des données techniques, y compris lorsqu’elles sont partagées numériquement avec des personnes étrangères.

Pourquoi c’est important : les sanctions ITAR sont sévères et activement appliquées — amendes civiles pouvant dépasser 1,27 million de dollars par infraction, sanctions pénales pouvant atteindre 1 million de dollars et 20 ans d’emprisonnement par infraction, et une exclusion (« debarment ») pouvant mettre fin, purement et simplement, à la capacité d’une entreprise à participer au commerce de la défense. Les actions récentes menées contre de grands sous-traitants de la défense montrent que la DDTC n’hésite pas à imposer des sanctions considérables, même à des organisations établies et disposant de ressources importantes.

Points clés à retenir

L’enregistrement ITAR est déclenché par une seule activité couverte, et non par un seuil de volume. Toute personne ou entreprise américaine qui fabrique, exporte, importe temporairement ou négocie un article de défense — ou les données techniques qui le décrivent — doit s’enregistrer auprès de la DDTC, même si elle n’expédie jamais réellement un article à l’étranger.
La notion de « personne américaine » (U.S. person) est définie plus largement que la seule nationalité de l’entreprise. Les obligations d’enregistrement et de conformité qui découlent de ce statut s’étendent aux résidents permanents légaux et à d’autres individus protégés au titre du droit de l’immigration, et pas uniquement aux entités constituées aux États-Unis — une distinction essentielle pour les décisions de staffing sur les travaux liés à l’ITAR.
Il n’existe pas de « certification ITAR » à proprement parler — seulement un enregistrement et une conformité continue. La DDTC ne certifie ni n’accrédite aucune organisation, aucun outil ni aucune plateforme comme étant « conforme ITAR ». L’enregistrement est un prérequis pour demander des licences d’exportation, et la conformité est une obligation continue que l’organisation doit maintenir et qui peut faire l’objet d’un audit — ce n’est pas un label obtenu une fois pour toutes.
Les procédures civiles et pénales sont indépendantes et peuvent s’appliquer simultanément. Les sanctions civiles (actuellement jusqu’à environ 1,27 million de dollars par infraction, ou le double de la valeur de la transaction si ce montant est supérieur) s’appliquent indépendamment de toute intention. Les sanctions pénales (jusqu’à 1 million de dollars et 20 ans d’emprisonnement par infraction) visent spécifiquement les infractions délibérées. Une organisation peut être exposée aux deux procédures simultanément pour les mêmes faits.
Le partage de données techniques avec une personne étrangère, même par voie numérique et même sur le sol américain, constitue une exportation au sens de l’ITAR. On parle d’« exportation réputée » (deemed export) lorsque des données techniques contrôlées sont divulguées à une personne étrangère, qu’un article physique franchisse ou non une frontière. C’est la disposition la plus susceptible de prendre les organisations au dépourvu, notamment autour des e-mails, du partage de fichiers et des outils de collaboration utilisés par des équipes multinationales.

Qui doit s’enregistrer auprès de la DDTC

L’enregistrement est requis pour toute personne ou entreprise américaine qui fabrique, exporte, importe temporairement ou négocie des articles de défense, des services de défense ou des données techniques associées figurant sur l’USML. Cette obligation s’applique largement : un fabricant produisant un article inscrit sur l’USML doit s’enregistrer même si la totalité des unités est vendue sur le marché intérieur et qu’aucune n’est jamais exportée, car la fabrication elle-même — et pas seulement l’activité d’exportation — déclenche l’obligation.

La notion de « personne américaine » (U.S. person), catégorie à laquelle se rattachent les obligations d’enregistrement et de conformité, est définie plus largement que le seul statut juridique de l’entreprise. Elle englobe les citoyens américains, les résidents permanents légaux (titulaires d’une green card) et d’autres personnes bénéficiant du statut de « protected individual » au titre du droit de l’immigration américain. Cette distinction a des implications opérationnelles concrètes : une organisation employant des ressortissants étrangers sur des travaux liés à l’ITAR doit savoir précisément qui, parmi ses effectifs, relève du statut de personne américaine, et structurer en conséquence l’accès aux données techniques contrôlées.

L’enregistrement lui-même est un prérequis pour toute demande de licence d’exportation — une organisation ne peut pas solliciter l’autorisation d’exporter un article contrôlé ou de partager des données techniques contrôlées avec une personne étrangère sans être préalablement enregistrée.

Ce qu’impliquent l’enregistrement et le maintien de la conformité

L’enregistrement s’effectue via le Defense Export Control and Compliance System (DECCS) de la DDTC, qui exige la soumission d’informations sur l’organisation et la désignation d’un « Empowered Official » — généralement un cadre dirigeant, au niveau vice-président ou supérieur — qui engage sa responsabilité juridique personnelle quant à l’exactitude des déclarations ITAR de l’organisation. Il ne s’agit pas d’une simple formalité : un Empowered Official peut être tenu pénalement responsable, à titre individuel, en cas d’infractions délibérées commises sous sa certification.

L’enregistrement s’accompagne de frais annuels, qui ont augmenté ces dernières années — les barèmes actuellement publiés situent ces frais entre 2 250 et 4 000 dollars par an selon le niveau d’enregistrement, mais il est conseillé aux organisations de vérifier directement auprès de la DDTC les tarifs en vigueur, ceux-ci faisant l’objet d’ajustements périodiques.

Au-delà de l’enregistrement, l’ITAR exige des organisations qu’elles mettent en place un programme de conformité documenté couvrant la surveillance interne, la tenue de registres et la formation des employés. Cela implique notamment de conserver les enregistrements de toutes les transactions soumises à l’ITAR pendant une durée minimale de cinq ans à compter de l’expiration de la licence concernée ou de la date de la transaction, ainsi que de marquer et classifier correctement les données techniques soumises à l’ITAR afin que les employés puissent facilement les identifier et les traiter conformément aux politiques de conformité de l’organisation.

Données techniques, exportations réputées et partage numérique

L’une des dispositions les plus lourdes de conséquences — et les plus souvent sous-estimées — de l’ITAR est la règle de l’« exportation réputée » (deemed export) : divulguer des données techniques contrôlées par l’ITAR à une personne étrangère constitue une exportation au sens de l’ITAR, même si cette divulgation a lieu entièrement sur le territoire américain et ne s’accompagne d’aucun transfert physique d’article. Une conversation, un document envoyé par e-mail ou un fichier partagé contenant des données techniques contrôlées peuvent déclencher les mêmes obligations de contrôle des exportations que l’expédition physique d’un article contrôlé.

Cette règle a des implications directes sur la manière dont les organisations gèrent la collaboration numérique impliquant des données techniques contrôlées par l’ITAR — schémas, spécifications de conception, code source et documents similaires. La question déterminante n’est pas seulement l’endroit où les données sont stockées, mais qui peut y accéder, et si cet accès est bien restreint aux personnes américaines autorisées. Pour un examen détaillé de ce que cela implique concrètement pour les plateformes de collaboration et de partage de fichiers — y compris ce point essentiel : aucun organisme gouvernemental ne certifie officiellement une plateforme comme « conforme ITAR » — consultez notre guide sur les plateformes de collaboration conformes à l’ITAR.

Sanctions ITAR actuelles

L’application de l’ITAR repose sur deux procédures indépendantes, susceptibles de s’appliquer simultanément aux mêmes faits.

Les sanctions civiles s’appliquent indépendamment de toute intention et sont actuellement fixées, selon le barème ajusté à l’inflation prévu au 22 CFR § 127.10, à environ 1,27 million de dollars par infraction, ou au double de la valeur de la transaction sous-jacente si ce montant est supérieur. Ces montants sont révisés périodiquement pour tenir compte de l’inflation ; les organisations doivent donc vérifier le plafond en vigueur directement auprès du barème publié par la DDTC plutôt que de se fier indéfiniment à un chiffre figé.

Les sanctions pénales s’appliquent aux infractions délibérées et comprennent des amendes pouvant atteindre 1 million de dollars par infraction, une peine d’emprisonnement pouvant aller jusqu’à 20 ans, ou les deux. Une condamnation au titre de l’Arms Export Control Act entraîne également une exclusion légale automatique (debarment) d’une durée minimale de trois ans — la DDTC peut par ailleurs imposer une exclusion administrative dans le cadre de ses propres procédures de mise en application, même en l’absence de condamnation pénale.

L’exclusion (debarment) constitue souvent la conséquence la plus lourde sur le plan opérationnel, puisqu’elle empêche totalement une organisation de participer au commerce de la défense — un impact commercial généralement bien plus important, pour la plupart des sous-traitants de la défense, que la sanction financière elle-même. Les précédents récents illustrent l’ampleur des enjeux : en octobre 2024, un grand sous-traitant de la défense a accepté de verser plus de 950 millions de dollars pour résoudre plusieurs enquêtes gouvernementales, notamment pour des infractions à l’Arms Export Control Act et à l’ITAR, et des actions plus récentes de la DDTC ont continué d’imposer des sanctions se chiffrant en millions de dollars à des fabricants pourtant bien établis.

Comment Kiteworks soutient la gouvernance des données liées à l’ITAR

Kiteworks propose des capacités de gouvernance et de protection adaptées aux organisations qui gèrent des données techniques contrôlées par l’ITAR, répondant aux exigences spécifiques du NIST SP 800-171 et du CMMC — des référentiels qui recoupent fréquemment les obligations ITAR pour les sous-traitants de la défense traitant à la fois des CUI et des données soumises au contrôle des exportations.

Un moteur de politiques de données (Data Policy Engine) unifié applique des contrôles d’accès granulaires, basés sur les rôles, à travers la messagerie sécurisée, le partage sécurisé de fichiers, le transfert de fichiers géré et le SFTP — un point directement pertinent pour prévenir les infractions liées aux exportations réputées, puisque l’accès aux données techniques contrôlées par l’ITAR peut être restreint spécifiquement aux personnes américaines vérifiées. Le chiffrement AES-256, associé à des modules cryptographiques validés FIPS 140-3, protège les données techniques au repos comme en transit, et une piste d’audit unique, consolidée et immuable fournit les preuves de traçabilité exigées par les programmes de conformité ITAR — en enregistrant qui a consulté, modifié ou téléversé des données contrôlées, et à quel moment.

Kiteworks détient également l’autorisation FedRAMP Moderate, évaluée de manière indépendante depuis juin 2017, et couvre nativement près de 90 % des exigences de niveau 2 du CMMC 2.0 — un atout pertinent compte tenu de la fréquence avec laquelle les données techniques contrôlées par l’ITAR et les CUI régies par le CMMC se recoupent pour les sous-traitants de la défense. Pour approfondir ce qu’exige concrètement une plateforme de collaboration défendable pour les données contrôlées par l’ITAR, consultez notre guide dédié aux plateformes de collaboration conformes à l’ITAR.

Pour découvrir comment Kiteworks peut soutenir la gouvernance des données liées à l’ITAR au sein de votre organisation, planifiez une démonstration personnalisée.

Questions fréquentes

Toute personne ou entreprise américaine qui fabrique, exporte, importe temporairement ou négocie des articles de défense, des services de défense ou des données techniques associées figurant sur la United States Munitions List doit s’enregistrer auprès de la Directorate of Defense Trade Controls. Cette obligation est déclenchée par une seule activité couverte — un fabricant doit s’enregistrer même s’il n’exporte jamais la moindre unité, car la seule fabrication sur le territoire américain d’un article inscrit sur l’USML crée cette obligation.

Non. La DDTC ne certifie ni n’accrédite officiellement aucune organisation, plateforme logicielle ou produit comme étant « approuvé ITAR » ou « certifié ITAR ». Les organisations s’enregistrent auprès de la DDTC et sont responsables du maintien d’un programme de conformité continu — il n’existe aucun label ou certification à obtenir. Toute allégation commerciale d’un fournisseur prétendant à une certification ou une approbation ITAR officielle doit être considérée avec prudence, car aucune désignation gouvernementale de ce type n’existe.

Une exportation réputée se produit lorsque des données techniques contrôlées par l’ITAR sont divulguées à une personne étrangère, que cette divulgation ait lieu ou non sur le territoire américain, et qu’elle implique ou non un transfert physique d’article. Partager un schéma, une spécification de conception ou toute autre donnée technique contrôlée avec un ressortissant étranger — même par e-mail ou via un fichier partagé, et même sur le sol américain — constitue une exportation au sens de l’ITAR et requiert la même autorisation qu’une exportation physique. Cette disposition est souvent sous-estimée dans les contextes de collaboration numérique impliquant des équipes multinationales.

L’application de l’ITAR repose sur deux procédures pouvant s’appliquer simultanément. Les sanctions civiles, qui s’appliquent indépendamment de toute intention, atteignent actuellement environ 1,27 million de dollars par infraction, ou le double de la valeur de la transaction sous-jacente si ce montant est supérieur, selon le barème ajusté à l’inflation prévu au 22 CFR § 127.10. Les sanctions pénales, qui visent les infractions délibérées, peuvent atteindre 1 million de dollars d’amende et 20 ans d’emprisonnement par infraction. Une condamnation pénale au titre de l’Arms Export Control Act entraîne également une exclusion automatique d’une durée minimale de trois ans, et la DDTC peut également imposer une exclusion administrative séparément, sans condamnation pénale, dans le cadre de ses propres procédures de mise en application.

Oui, de manière substantielle, pour les sous-traitants de la défense qui traitent à la fois des données techniques soumises au contrôle des exportations et des Controlled Unclassified Information (CUI). Bon nombre des mêmes mesures techniques — contrôles d’accès restreints au personnel autorisé, chiffrement des données sensibles au repos et en transit, et journalisation d’audit complète — satisfont à la fois aux exigences de protection des données de l’ITAR et à l’ensemble de contrôles du NIST SP 800-171 qui sous-tend le CMMC. Les organisations soumises à ces deux obligations tirent généralement avantage d’une approche unifiée de la gouvernance des données plutôt que de programmes de conformité distincts et déconnectés pour chaque référentiel.

Retour au glossaire Risque & Conformité