ITARとは?登録要件・コンプライアンス要件・罰則を徹底解説

国際武器取引規則(ITAR: International Traffic in Arms Regulations)は、米国軍需品リスト(USML: United States Munitions List)に掲載された防衛関連品目、防衛関連サービス、および関連する技術データの輸出、一時的な輸入、仲介を規制する米国の法規制です。米国国務省の国防貿易管理局(DDTC: Directorate of Defense Trade Controls)が執行を担っており、ITARの適用範囲は多くの人が想定するよりも広範です。武器製造業者だけでなく、防衛関連品目(それを説明する技術データを含む)を製造、輸出、一時的に輸入、または仲介する米国人・米国企業であれば、誰もが対象となります。

本ガイドでは、ITARの適用対象者、登録およびコンプライアンス維持の具体的な内容、そして違反した場合の現行の罰則リスクについて解説します。

エグゼクティブサマリー

要点: USMLに掲載された防衛関連品目または技術データを製造、輸出、一時的に輸入、または仲介する米国人・米国企業は、DDTCへのITAR登録が義務付けられています。この義務は取引量の閾値ではなく、該当する活動が一度でも発生した時点で生じます。コンプライアンスの実現には、登録、文書化されたコンプライアンスプログラム、そして技術データを外国人とデジタルで共有する場合を含めた慎重な取り扱いが必要です。

重要な理由: ITAR違反に対する罰則は極めて重く、しかも積極的に執行されています。民事制裁金は違反1件あたり127万ドルを超え、刑事罰は違反1件あたり最大100万ドルの罰金と20年の禁錮刑が科される可能性があり、さらに輸出資格の剥奪(デバーメント)により防衛関連取引への参加自体が完全に不可能になることもあります。大手防衛関連企業に対する近年の執行事例からも、DDTCが経営基盤の確立した大企業に対しても厳格に多額の罰則を科していることがわかります。

重要ポイント

1. ITAR登録は取引量の閾値ではなく、該当活動が一度でも発生した時点で義務が生じます。防衛関連品目、またはそれを説明する技術データを製造、輸出、一時的に輸入、または仲介する米国人・米国企業は、実際に海外へ製品を出荷したことが一度もなくても、DDTCへの登録が必要です。
2. 「米国人」の定義は、企業の国籍だけにとどまらない広範なものです。米国人であることに伴う登録・コンプライアンス義務は、米国法人だけでなく、永住権保持者(グリーンカード保持者)や移民法上の「保護対象者」にも及びます。この違いは、ITAR関連業務の人員配置を検討する上で重要な意味を持ちます。
3. 「ITAR認証」というものは存在せず、あるのは登録と継続的なコンプライアンスのみです。DDTCは、組織、ツール、プラットフォームを「ITAR準拠」として公式に認証・認定することは一切行っていません。登録は輸出許可を申請するための前提条件であり、コンプライアンスは一度取得すれば終わりの資格ではなく、組織が継続的に維持し、監査対象となり得る義務です。
4. 民事と刑事、2つの執行トラックは独立しており、同時に適用され得ます。民事制裁金(現行制度では違反1件あたり最大約127万ドル、または取引額の2倍のいずれか高い方)は、故意の有無にかかわらず適用されます。刑事罰(違反1件あたり最大100万ドルの罰金と20年の禁錮刑)は、故意による違反に特に適用されます。同一の行為について、組織が両方の責任を同時に問われる可能性があります。
5. 外国人との技術データの共有は、デジタルであっても、米国内で行われたものであっても、ITAR上の「輸出」に該当します。「みなし輸出(deemed export)」とは、規制対象の技術データが外国人に開示された場合に成立するもので、実際に物理的な品目が国境を越えるかどうかは関係ありません。この規定は、多国籍チームが利用するメール、ファイル共有、コラボレーションツールに関連して、組織が最も見落としやすいポイントです。

DDTCへの登録が必要な対象者

USMLに掲載された防衛関連品目、防衛関連サービス、または関連する技術データを製造、輸出、一時的に輸入、または仲介する米国人・米国企業は、登録が義務付けられています。この義務は広範に適用されます。USML掲載品目を製造する企業は、全製品を国内でのみ販売し、一度も輸出しない場合であっても登録が必要です。なぜなら、輸出活動だけでなく製造行為そのものが登録義務のトリガーとなるためです。

登録・コンプライアンス義務が課される「米国人」というカテゴリーは、企業の設立地よりも広く定義されています。米国市民、永住権保持者(グリーンカード保持者)、および米国移民法上「保護対象者」の地位を認められたその他の個人が含まれます。これは実務上重要な意味を持ちます。ITAR関連業務に外国籍の従業員を雇用している組織は、社内の誰が米国人に該当するのかを正確に把握し、それに応じて規制対象の技術データへのアクセス体制を構築する必要があります。

登録そのものが、あらゆる輸出許可を申請するための前提条件です。組織は、まず登録を完了しない限り、規制対象品目の輸出や、規制対象の技術データを外国人と共有するための許可を申請することはできません。

登録とコンプライアンス維持の具体的な内容

登録は、DDTCの防衛輸出管理・コンプライアンスシステム(DECCS: Defense Export Control and Compliance System)を通じて行われます。組織情報の提出に加え、組織のITAR申請内容の正確性について個人として法的責任を負う「エンパワード・オフィシャル(Empowered Official)」——通常は副社長(VP)クラス以上の上級役員——の指名が必要です。これは形式的な役職ではありません。エンパワード・オフィシャルは、自身の認証のもとで提出された故意の違反について、個人として刑事責任を問われる可能性があります。

登録には年間手数料がかかり、近年その額は上昇傾向にあります。現行の公表ガイドラインによれば、登録区分に応じて年間2,250ドルから4,000ドルの範囲とされていますが、手数料は定期的に改定されるため、最新の料金体系については必ずDDTCに直接確認することをお勧めします。

登録に加え、ITARでは組織に対し、内部モニタリング、記録管理、従業員研修を含む文書化されたコンプライアンスプログラムの整備を義務付けています。これには、ITAR規制対象の全取引について、該当する許可の有効期限または取引日から最低5年間の記録保持が含まれます。さらに、ITAR対象の技術データを適切にマーキング・分類し、従業員が組織のコンプライアンスポリシーに従って容易に識別・取り扱いできるようにすることも求められます。

技術データ、みなし輸出、デジタル共有

ITARの中でも特に重大でありながら見落とされがちな規定の一つが「みなし輸出(deemed export)」ルールです。これは、ITAR規制対象の技術データを外国人に開示することが、たとえその開示が完全に米国内で行われ、物理的な品目の移動が一切伴わない場合であっても、ITAR上の「輸出」とみなされるというものです。規制対象の技術データを含む会話、メールで送付した文書、共有ファイルなどは、規制対象品目を物理的に出荷する場合と同様に、輸出管理上の義務を発生させる可能性があります。

これは、回路図、設計仕様書、ソースコードといったITAR規制対象の技術データを扱う際、組織がデジタルコラボレーションをどのように運用すべきかに直接関わってきます。重要なのは、データがどこに保存されているかだけでなく、誰がそのデータにアクセスできるか、そしてそのアクセスが認可された米国人に適切に制限されているかどうかです。コラボレーション・ファイル共有プラットフォームにとって具体的に何を意味するのか——政府機関がいかなるプラットフォームも公式に「ITAR承認済み」として認定することはないという重要なポイントも含めて——詳しくは、ITAR準拠のコラボレーションプラットフォームに関するガイドをご覧ください。

ITAR違反の現行罰則

ITARの執行は、同一の行為に対して同時に適用され得る2つの独立したトラックで運用されています。

民事制裁金は故意の有無にかかわらず適用され、22 CFR § 127.10のインフレ調整スケジュールに基づき、現行制度では違反1件あたり最大約127万ドル、または当該取引額の2倍のいずれか高い方に設定されています。この金額は定期的にインフレ調整されるため、組織は固定的な数値をいつまでも参照するのではなく、DDTCが公表する最新のスケジュールで上限額を直接確認する必要があります。

刑事罰は故意による違反に適用され、違反1件あたり最大100万ドルの罰金、最大20年の禁錮刑、またはその両方が科されます。武器輸出管理法(Arms Export Control Act)違反による有罪判決を受けた場合、最低3年間の法定資格剥奪(デバーメント)が自動的に発生します。また、DDTCは刑事有罪判決がなくても、独自の執行手続きを通じて行政上のデバーメントを科すことができます。

デバーメント(資格剥奪)は、組織を防衛関連取引から完全に排除するものであり、多くの防衛関連企業にとって、金銭的な制裁そのものよりもはるかに大きな事業上の影響を及ぼすため、しばしば運用面で最も深刻な結果となります。近年の執行事例は、その規模の大きさを物語っています。2024年10月には、大手防衛関連企業が武器輸出管理法違反やITAR違反を含む複数の政府調査を解決するため、9億5,000万ドルを超える支払いに合意しました。さらに直近のDDTCの執行措置でも、経営基盤の確立した製造企業に対して数百万ドル規模の制裁金が引き続き科されています。

KiteworksによるITAR関連データガバナンスの支援

Kiteworksは、ITAR規制対象の技術データを管理する組織向けに、ガバナンスと保護機能を提供しています。輸出規制対象データとCUI(管理対象非機密情報)の両方を扱う防衛関連企業にとって、ITAR義務としばしば重複するNIST SP 800-171およびCMMCの具体的要件にも対応しています。

統合データポリシーエンジンにより、セキュアメール、セキュアファイル共有、マネージドファイル転送、SFTPにわたって、きめ細かなロールベースのアクセス制御を実施できます。これは、ITAR規制対象の技術データへのアクセスを検証済みの米国人のみに制限できるため、みなし輸出違反の防止に直接関わる機能です。FIPS 140-3検証済みの暗号化モジュールによるAES-256暗号化が、保存中および転送中の技術データを保護し、単一かつ改ざん不可能な統合監査証跡が、ITARコンプライアンスプログラムに求められる記録管理の証跡——誰が、いつ、規制対象データにアクセス、編集、アップロードしたか——を提供します。

Kiteworksはまた、2017年6月以降継続的に第三者評価を受けているFedRAMP中程度認証(Moderate Authorization)を取得しており、CMMC 2.0レベル2要件の約90%を標準機能で満たしています。これは、防衛関連企業においてITAR規制対象の技術データとCMMCが管理するCUIが頻繁に重複することを踏まえると、重要なポイントです。ITAR規制対象データを扱う上で防御力のあるコラボレーションプラットフォームに具体的に何が求められるかについては、専用ガイドであるITAR準拠のコラボレーションプラットフォームガイドをご覧ください。

Kiteworksが貴社のITAR関連データガバナンスをどのように支援できるか、ぜひカスタムデモにてご確認ください。

リスク＆コンプライアンス用語集に戻る