EARとITARの違い：輸出管理規則（EAR）が実際に規制するもの

多くの輸出業者は、輸出規制は明らかに軍事用途の製品、すなわち武器、弾薬、防衛機器などにのみ適用されると誤解しています。しかし、この思い込みは非常に一般的であり、かつ高くつくものです。Export Administration Regulations（EAR、米国輸出管理規則）は、軍事品にとどまらず、軍事転用可能な商業技術などの「デュアルユース品」をも広範に規制しており、そのライセンスおよび執行体制は、より範囲が限定的なITARよりも多くの組織を不意打ちにします。これは、EARの規制範囲が「防衛関連」とは感じにくく、違反して初めてその適用を認識するケースが多いためです。

本ガイドでは、EARが実際に規制する内容、ITARやOFAC制裁との違い、分類やライセンス取得の実務、そして現在の執行状況について解説します。

エグゼクティブサマリー

主なポイント：EARは、商務省産業安全保障局（BIS）が管轄するデュアルユース品（民生・軍事の両方に利用可能な品目）を規制します。ITARは国務省DDTCが防衛専用の物品・サービスを規制し、OFAC制裁は品目の分類に関係なく特定の国・組織・個人との取引を制限します。

なぜ重要か：産業安全保障局（BIS）は、2024会計年度だけで輸出違反に対し15億ドル超の罰金を科しています。品目の誤分類、必要なライセンスの未取得、管理対象技術の外国人への意図しない開示などは、最も一般的かつ高額なコンプライアンス違反であり、EARが自社の商業製品（非武器）には適用されないと誤解した組織で特に多発しています。

主なポイント

1. EARはデュアルユース品を規制し、防衛品そのものを対象とするものではありません。 デュアルユース品は、民生・軍事の両方に利用可能な品目です。たとえば商用ドローン部品、暗号化ソフトウェア、半導体製造装置などは、武器ではなくてもEARの規制対象となり得ます。
2. EARとITARは異なる連邦機関が管轄し、異なる品目カテゴリを対象とします。 EARは商務省産業安全保障局が管轄し、デュアルユース品を対象とします。ITARは国務省防衛貿易管理局が管轄し、防衛品・サービス・軍事用途に特化した技術データを対象とします。品目は基本的にどちらか一方の規制下に置かれますが、商業・防衛両方の製品ラインを持つ組織は、それぞれのコンプライアンスプログラムが必要です。
3. コマース・コントロール・リスト（CCL）での分類がライセンス要否を決定します。多くの品目はEAR99に分類され、ほとんどの場合ライセンス不要です。 EARの対象となる可能性がある品目は、コマース・コントロール・リスト（CCL）で輸出管理分類番号（ECCN）により分類されるか、またはEAR99（特定リストに載っていない品目の包括的な分類）とされます。EAR99の多くは、ほとんどの仕向地でライセンス不要です。
4. EARにはITARと同様の「みなし輸出」規則があります。 管理対象技術やソースコードを米国内の外国人に開示することは、EAR上、その人物の本国への輸出とみなされます。これはITARと同じ原則ですが、対象となる管理品目が異なります。
5. 輸出申告は自動輸出システム（AES）で行い、紙のShipper’s Export Declaration（SED）は廃止されています。 SEDは数年前に廃止されました。現在は、電子輸出情報（EEI）を国勢調査局の外国貿易規則に基づきAESで申告します。これは、1件あたりの出荷価額がSchedule B分類ごとに2,500ドルを超える場合や、ライセンスが必要な場合（価額に関係なく）に求められます。

EARとITAR・OFAC制裁の違い

米国の輸出規制は3つの異なる制度で運用されており、これらを混同することはよくある重大なミスです。EARは商務省産業安全保障局が管轄し、デュアルユース品（商業・軍事両用の物品、ソフトウェア、技術）を15 CFRパート730～774で規制します。ITARは国務省防衛貿易管理局が管轄し、軍事用途に特化した防衛品・サービス・技術データ（米国武器リスト掲載）を規制します。OFAC制裁は財務省外国資産管理局が管轄し、品目の種類に関係なく特定の国・組織・個人との取引を制限・禁止します。

実務上、最も混乱を招く違いは、品目の分類が基本的にどの制度が適用されるかを決定する点です。たとえば米国武器リスト掲載品はITARの対象であり、EARの対象外です。しかし、防衛関連と商業デュアルユース製品の両方を輸出する組織は、両制度のコンプライアンスプログラムを同時に運用し、さらに品目分類に関係なく適用される制裁規制のスクリーニングも必要です。防衛関連の技術データを扱う場合は、ITARコンプライアンスガイドもご参照ください。

EARの分類とライセンス取得の実際

EARの下で品目が輸出ライセンスを必要とするかどうかは、以下の3つの実務的なステップで判断します。

品目を分類する。 コマース・コントロール・リスト（CCL）を確認し、品目が特定の輸出管理分類番号（ECCN）を持つかどうかを判断します。ECCNは、なぜその品目が規制されるのか（国家安全保障、テロ対策など）や、どのような条件下で規制されるのかを示す5桁のコードです。CCLに特定記載がない品目は、一般的にEAR99として分類されます。EAR99品目の多くは、ほとんどの仕向地でライセンス不要ですが、仕向地やエンドユーザー、用途によってはライセンスが必要な場合もあります。

コマース・カントリーチャートを確認する。 特定のECCNがある場合、コマース・カントリーチャートで規制理由と仕向国を照合し、その輸出にライセンスが必要かどうかを判断します。

関係者全員を制限対象リストでスクリーニングする。 品目の分類に関係なく、輸出者はエンドユーザー、その組織、仲介業者などをBISの制限・拒否対象リストでスクリーニングしなければなりません。リスト掲載者が関与する場合、ライセンスが必要となったり、品目自体が規制対象外でも取引が全面的に禁止されることがあります。

ライセンス要否の最終判断は、用途（エンドユース）、エンドユーザー、仕向地の3要素の組み合わせによって決まります。同じ品目でも、これらの組み合わせ次第でライセンスが必要な場合と不要な場合があります。

EARにおけるみなし輸出

EARの「みなし輸出」規則は、ITARと同じ原則に基づいています。米国内で管理対象技術やソースコードを外国人に開示することは、その人物の本国への輸出とみなされます。実際に国境を越えて物理的に移動しなくても、技術仕様書やソースコード、独自の製造プロセスを外国籍の従業員・委託業者・訪問者と共有すること（社内会議や共有ドキュメントなど日常的な場面も含む）は、対象技術が規制されている場合、EARの「みなし輸出」規定に該当する可能性があります。

このため、EAR管理技術を扱う組織は、デジタルコラボレーションの際、単なる雇用ステータスだけでなく、国籍や認可状況に基づいて技術データへのアクセス制御を行う必要があります。

申告要件：AESでの電子申告、SEDは不要

輸出申告は自動輸出システム（AES）で行われ、電子輸出情報（EEI）は国勢調査局の外国貿易規則（15 CFRパート30）に基づき収集されます。紙のShipper’s Export Declaration（SED）は数年前に廃止されており、SEDへの言及は古いガイダンスです。

AES/EEI申告は、1件あたりの出荷価額がSchedule B分類ごとに2,500ドルを超える場合、またはライセンスが必要な場合（価額に関係なく）に一般的に必要です。申告は出荷前（事前申告）に行う必要がありますが、特定の条件下では承認企業が出荷後申告を認められる場合もあります。米国主要関係者（USPPI）は、貨物運送業者などの代理人が申告を行う場合でも、申告内容の正確性について最終的な法的責任を負います。

現在のEAR執行状況

BISによる執行活動は近年非常に活発であり、2024会計年度だけで15億ドル超の罰金が科されています。執行対象は、必要なライセンスなしでの管理品目輸出、ライセンス要件回避のための品目誤分類、制限・拒否対象者との取引、外国人への管理技術の無許可開示（みなし輸出違反）など、EARの全義務範囲に及びます。

違反に対しては、多額の民事罰金、故意違反の場合の刑事訴追、輸出特権の剥奪（ITARの資格剥奪と同様、金銭的罰則に関係なく輸出活動自体が不可能になる）などの厳しい制裁が科されます。

KiteworksによるEAR関連データガバナンス支援

Kiteworksは、EAR管理技術・技術データを扱う組織向けに、特にみなし輸出リスク防止に関するガバナンス・アクセス制御機能を提供します。

統合データポリシーエンジンにより、セキュアメール、セキュアなファイル共有、セキュアマネージドファイル転送、セキュアファイル転送プロトコル（SFTP）全体で、認可状況に基づくきめ細かなロールベースアクセス制御を実現し、みなし輸出リスクを未然に防ぎます。FIPS 140-3認証済み暗号モジュールによるAES-256暗号化で、管理技術データを保存時・転送時ともに保護。単一・統合・改ざん不可の監査証跡により、誰がいつ管理技術にアクセス・編集・共有したかを記録し、輸出コンプライアンスプログラムが必要とする証跡管理を実現します。

Kiteworksはまた、FedRAMP中程度相当性認証（2017年6月以降独立評価済み）を取得しており、EARコンプライアンスと連邦契約要件が重なる組織にも適しています。EARとITAR双方の義務を管理する組織は、防衛専用品・技術データに適用される並行要件についてITARコンプライアンスガイドもご参照ください。

Kiteworksが貴社の輸出管理データガバナンスをどのように支援できるか、カスタムデモを予約してご確認ください。

追加リソース

• ブログ記事 データをめぐる綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護
• ブリーフ 主なFERPA違反3例とその回避方法
• ブログ記事 大規模な米国人個人データ保護のための大統領令14117号
• ブログ記事 NIS2コンプライアンスが必要ですか？まずはISO 27001から