Ningú a la teva empresa treballa en exportacions. No hi ha moll de càrrega, ni agent de duanes, ni departament d'exportació. I no obstant això, en el moment en què un client en un altre país descarrega la teva aplicació mòbil, integra el teu SDK o obté accés a l'API a la característica equivocada, el teu negoci SaaS pot acabar de fer una exportació segons la llei dels EUA — amb obligacions de llicència, cribratge i manteniment de registres adjuntes. Aquí tens com saber quan passa això i què fer-hi.
Els Dos Règims en 90 Segons
Els controls d'exportació dels EUA funcionen a través de dos sistemes separats, administrats per dues agències diferents. L'ordre importa: comproves el primer abans que el segon.
ITAR — articles de defensa. Les Regulacions Internacionals de Tràfic d'Armes, administrades per la Direcció de Controls de Comerç de Defensa (DDTC) del Departament d'Estat, controlen articles de defensa, serveis de defensa i dades tècniques relacionades llistades a la Llista de Municions dels EUA (USML). Si el teu programari va ser específicament dissenyat o modificat per a una aplicació militar — guia, orientació, comunicacions militars o similar — ets en territori ITAR, on les llicències són difícils d'obtenir, s'apliquen poques excepcions i les penalitats civils arriben a xifres de set dígits per violació. La majoria del SaaS comercial mai no hi arriba, però primer ho has de descartar, perquè ITAR pren jurisdicció quan s'aplica.
EAR — tot la resta. Les Regulacions d'Administració d'Exportacions, administrades per l'Oficina d'Indústria i Seguretat (BIS) del Departament de Comerç, cobreixen tots els altres articles d'origen dels EUA, incloent-hi programari i tecnologia comercial. Els articles controlats apareixen a la Llista de Control de Comerç (CCL) sota un Número de Classificació de Control d'Exportacions (ECCN); els articles subjectes a l'EAR però no llistats enlloc es designen com a EAR99. La majoria del programari empresarial ordinari és EAR99 o un ECCN de baixa sensibilitat, cosa que significa que la majoria de destinacions no necessiten llicència — però "EAR99" encara és una classificació sota les regulacions, no una exempció d'elles. Destinacions restringides, parts restringides i usos finals prohibits encara poden activar un requisit de llicència.
Una característica incòmoda abasta ambdós règims: moltes violacions administratives no requereixen intenció criminal. Enviar — o transmetre, o concedir accés a — un article controlat al lloc o persona equivocats pot crear responsabilitat fins i tot quan ningú pretenia infringir les regles. Per això l'hàbit de compliment que més importa és classificar abans de transmetre, no explicar després que arribi una carta d'aplicació.
Per què Els Fundadors de SaaS Assumeixen Que Això No Els Aplica
La suposició sembla raonable. Res no surt del país en una caixa; el codi roman en un centre de dades dels EUA i els clients estrangers simplement hi interactuen a través d'un navegador. Durant anys, la guia del BIS va donar suport a una visió estreta d'aquest punt de vista:
- Una opinió consultiva de 2009 va establir que un proveïdor de núvol generalment no és l'"exportador" quan els seus clients utilitzen capacitat de computació llogada per crear o moure tecnologia controlada — el client ho és.
- Una opinió de 2011 va concloure que el proveïdor, per tant, no necessita llicències d'exportació presumida per al seu propi personal informàtic de nacionalitat estrangera que pugui trobar dades de clients a la xarxa.
- Una opinió àmpliament utilitzada de 2014 va establir que donar accés als usuaris a una "botiga en núvol" — el que ara anomenem SaaS — no és una exportació del programari en si, sempre que els usuaris no el descarreguin.
Aquesta opinió de 2014 és una gran raó per la qual la indústria SaaS va poder escalar globalment sense tractar cada inici de sessió com un esdeveniment d'exportació. Però és estreta: cobreix l'ús sense descàrrega, és específica dels fets i no diu res sobre les cinc situacions següents, on les empreses SaaS creuen habitualment la línia. I el terreny s'està movent — més sobre això en un moment.
Cinc Maneres Com Les Empreses SaaS Realment Es Converteixen en Exportadores
1. Descàrregues, SDKs i Aplicacions Mòbils
L'opinió de 2014 protegeix l'accés sense descàrrega. En el moment en què una persona estrangera descarrega el teu programari — una aplicació mòbil, un client d'escriptori, un SDK, un agent on-prem, fins i tot una imatge de contenidor — això és una exportació de manual de programari al país d'aquesta persona. Cada destinació de descàrrega necessita llavors l'anàlisi estàndard: classificació, país, usuari final, ús final.
Conseqüència pràctica: si el teu producte té qualsevol component descarregable, mantén una determinació ECCN o EAR99 actualitzada per a cada artefacte descarregable, i assegura't que els teus termes de distribució i llicència tinguin en compte destinacions sancionades en lloc de descobrir el buit durant la diligència deguda per a una ronda de finançament.
2. Compartir Codi Font i Dades Tècniques Amb Persones Estrangeres
Sota l'EAR, alliberar tecnologia controlada o codi font a un nacional estranger dins dels EUA és una "exportació presumida" al país de ciutadania o residència permanent més recent d'aquesta persona — es requereix una llicència si exportar la mateixa tecnologia a aquest país en requeriria una. ITAR té una regla paral·lela i més estricta per a dades tècniques.
Aquesta és la trampa que més probablement atrapa un equip petit:
- Un enginyer de nacionalitat estrangera a la teva nòmina dels EUA que pot navegar per tot el monorepo pot necessitar una anàlisi d'exportació presumida per a cada àrea de tecnologia controlada a la qual pugui accedir.
- Un contractista offshore amb accés a GitHub al codi font de xifratge o algoritmes controlats està rebent tecnologia al seu país, no simplement "ajudant".
- Una pantalla compartida de suport que guia un client estranger a través d'una configuració controlada pot ser un alliberament de tecnologia.
Les solucions són operatives, no exòtiques: classifica la teva tecnologia, segmenta l'accés al repositori per projecte, marca la tecnologia controlada i examina la decisió d'accés de la mateixa manera que examinaries un enviament. Els professionals del comerç anomenen la versió escrita d'això un pla de control de tecnologia, i els seus ingredients són poc glamurosos — seguretat de transmissió, seguretat física, controls d'accés informàtic, marcatge i procediments de disposició.
3. Xifratge al Teu Producte
Gairebé cada producte SaaS utilitza xifratge — TLS en trànsit, AES en repòs, biblioteques com OpenSSL o API de criptografia de plataforma. El programari i la tecnologia de xifratge estan controlats per raons de seguretat nacional, típicament sota ECCN com 5D002 (programari) i 5E002 (tecnologia).
La bona notícia és que BIS va construir una rampa d'accés àmplia per a la criptografia comercial ordinària:
- La majoria de productes de xifratge de mercat massiu qualifiquen per a un tractament relaxat (el grup 5x992) en lloc d'una sol·licitud de llicència.
- L'Excepció de Llicència ENC (15 CFR § 740.17) autoritza l'exportació i reexportació d'articles de xifratge elegibles sense llicència, i una regla de 2021 va eliminar diverses càrregues heretades, incloent-hi la majoria de prenotificacions per a codi font de xifratge públicament disponible.
- Ja no es requereix cap registre de xifratge amb BIS.
L'obligació restant que les startups més sovint es perden és paperassa, no permís: els exportadors que autoclassifiquen productes de xifratge sota l'Excepció de Llicència ENC(b)(1) generalment han de presentar un informe anual d'autoclassificació amb BIS que cobreixi l'any natural anterior, degut l'1 de febrer. Posa-ho al calendari de compliment al costat dels teus terminis fiscals, i mantén una llista de classificació d'exportació permanent per a cada producte i component perquè l'informe s'escrigui sol.
4. Accés a l'API a Tecnologia Controlada — Incloent-hi Models d'IA
Per a característiques SaaS ordinàries, l'accés mitjançant navegador i API sense descàrrega encara roman sota l'opinió de 2014. Però els reguladors han començat a retallar la tecnologia de més alta sensibilitat. El Departament de Comerç s'ha mogut per tractar l'accés remot, basat en API, a models d'IA avançats com un "alliberament" controlat del model — una ruptura brusca amb la posició històrica que la interacció remota sense transferència de tecnologia no és una exportació.
I el Congrés pot anar més enllà. El gener de 2026, la Cambra va aprovar la Llei de Seguretat d'Accés Remot (RASA), que donaria a BIS autoritat per regular l'accés remot per part de persones estrangeres a articles controlats per l'EAR mitjançant serveis d'Internet o de núvol — tancant el que els promotors anomenen el "forat del núvol". En el moment d'escriure això, el projecte de llei espera l'acció del Senat. Si es converteix en llei, la càrrega de compliment per a les empreses que operen al núvol s'expandeix substancialment, i la zona de confort d'ús sense descàrrega de 2014 s'estreny.
Què fer mentre la llei està en moviment: inventaria quines de les teves API exposen tecnologia controlada (xifratge, computació d'alt rendiment, models IA/ML, característiques geoespacials o de fusió de sensors són els sospitosos habituals), registra qui hi accedeix des d'on, i estructura els teus termes i controls d'accés perquè puguis restringir destinacions i usuaris si la regla canvia sota teu.
5. Clients, Destinacions i Usos Finals
Fins i tot el programari EAR99 necessita una llicència — o està directament prohibit — per a certes destinacions, parts i propòsits:
- Destinacions sancionades canvien amb la política exterior; vendre o proporcionar accés a països embargats sense autorització està prohibit, i les restriccions regionals (Rússia, Bielorússia, regions ocupades d'Ucraïna) ara arriben fins i tot al programari empresarial EAR99 ordinari.
- Parts restringides han de ser examinades operació per operació. Comprova cada client, revenedor i soci d'integració contra les llistes consolidades de parts restringides del govern abans de provisionar l'accés, i reexamina periòdicament — les llistes canvien, i també ho fan les estructures de propietat dels teus clients.
- Usos finals prohibits inclouen aplicacions militars, de propulsió nuclear i certes aplicacions de vigilància. Una eina genèrica de gestió de projectes venuda amb coneixement que donarà suport a un ús final militar en una destinació restringida pot encara violar les regles.
Res d'això requereix un departament de compliment empresarial. Requereix una llista de verificació que s'executi abans de la primera factura: classifica l'article, examina la part, comprova la destinació, confirma l'ús final i anota la resposta.
Quant Custa Equivocar-se
Les penalitats estan dissenyades per superar el benefici de l'operació per ordres de magnitud:
- Sota l'EAR, les violacions criminals poden comportar fins a 1 milió de dòlars per violació i fins a 20 anys de presó per a individus; les penalitats administratives arriben a centenars de milers de dòlars per violació i s'ajusten per inflació cada any.
- Les penalitats criminals ITAR arriben a la mateixa escala d'1 milió/20 anys, amb penalitats civils en xifres de set dígits per violació.
- Més enllà de les multes, BIS pot denegar completament els privilegis d'exportació — una sentència de mort per a una empresa el producte de la qual es distribueix globalment — i les violacions poden sortir a la llum anys després durant la diligència deguda d'adquisició, quan el comprador descompta el preu de compra per l'exposició estimada.
L'exemple titular: el 2023, un fabricant de discs durs va acordar un acord BIS de 300 milions de dòlars per enviaments lligats a un fabricant restringit d'equips de telecomunicacions xinès — la penalitat administrativa autònoma més gran que BIS havia imposat mai. La teva empresa és més petita, però l'aritmètica escala cap avall, no desapareix.
També hi ha una pastanaga genuïna. La política de BIS tracta una autodenúncia voluntària (VSD) com una mitigació sòlida que guanya una penalitat fortament reduïda — mentre que la no divulgació deliberada d'una possible violació significativa és un factor agreujant que l'augmenta. Una regla final de 2024 va codificar aquest incentiu de doble cara. El missatge pràctic: quan trobis una violació passada, investiga ràpidament amb assessoria legal, arregla el buit de procés i divulga. Enterrar-la és l'única resposta que les directrius castiguen deliberadament.
Una Llista de Verificació de Compliment d'Exportació per a Petites Empreses
No necessites un departament de dret comercial. Necessites aquests set hàbits, dimensionats per a un equip sense un:
- Descarta ITAR primer. Confirma per escrit que res del que vens, allotges o comparteixes no va ser dissenyat per a ús militar ni apareix a la USML. Si la resposta no és clara, obtén una determinació de jurisdicció abans d'enviar res.
- Classifica tot sota l'EAR. Assigna a cada producte, component descarregable i àrea de tecnologia un ECCN o una determinació EAR99, i mantén la llista actualitzada. Quan l'autoclassificació sigui incerta, BIS accepta sol·licituds de classificació de mercaderies.
- Tracta el xifratge deliberadament. Determina si cada article de xifratge és de mercat massiu, elegible per ENC o requereix llicència; presenta l'informe anual d'autoclassificació abans de l'1 de febrer si els teus articles ho requereixen.
- Examina cada transacció estrangera. Comprova clients, revenedors i contractistes contra llistes de parts restringides; verifica destinacions contra sancions actuals; documenta la revisió d'ús final prohibit. Automatitza-ho en el provisionament, no en la memòria d'algú.
- Controla l'accés a la tecnologia. Segmenta repositoris de codi, marca tecnologia controlada i fes comprovacions d'exportació presumida abans de concedir als nacionals estrangers (empleats inclosos) accés a codi font o dades tècniques.
- Conserva registres durant cinc anys. L'EAR requereix que els registres d'exportació generalment es conservin durant cinc anys des de la transacció. Emmagatzema classificacions, resultats de cribratge, determinacions de llicència i registres d'enviament o accés on un auditor — o l'equip de diligència d'un comprador — pugui trobar-los.
- Forma els constructors. Els desenvolupadors, DevOps i enginyers de suport creen esdeveniments d'exportació diàriament (concedir accés al repositori, compartir una compilació de depuració, compartir pantalla en una configuració). Formació anual més una guia d'una pàgina "pregunta abans de compartir" prevé la majoria d'alliberaments inadvertits.
Mantén Els Costos de Compliment Visibles als Teus Llibres
El compliment d'exportació apareix a les teves finances molt abans que aparegui en una acció d'aplicació: assessoria legal externa per a revisions de classificació, subscripcions de cribratge de parts restringides, controls d'exportació presumida al teu procés de contractació de RRHH, les hores de personal darrere del teu informe anual de xifratge i — si mai en presentes un — el cost legal d'una autodenúncia voluntària. Segueix-los com a la seva pròpia categoria de despesa en lloc d'enterrar-los en despesa legal o de programari general, perquè puguis veure quant costa realment servir cada mercat i línia de producte. Combina això amb el rastre de registres de cinc anys anterior — classificacions, registres de cribratge i determinacions de llicència presentats per transacció — i tant els teus auditors com l'equip de diligència de qualsevol futur adquirent obtenen respostes netes en lloc d'arqueologia. Els teus documents sobre retenció de registres i els panells a /fava/ són llars naturals per a aquest rastre de paperassa.
Mantén Els Teus Registres Financers A punt per a l'Auditoria Des del Primer Dia
Mentre obres el teu SaaS a clients a tot el món, mantenir registres financers clars — incloent-hi cada dòlar de compliment i cada determinació d'exportació — és essencial. Beancount.io proporciona comptabilitat de text pla que et dóna transparència i control complets sobre les teves dades financeres, amb registres controlats per versions que un auditor pot seguir realment. Comença gratis i veu per què desenvolupadors i professionals financers estan canviant a la comptabilitat de text pla.
