あなたの会社で輸出業務を担当している人はいません。配送ドックもなく、通関業者もなく、輸出部門もありません。それなのに、他国の顧客があなたのモバイルアプリをダウンロードし、SDKを統合し、あるいは間違った機能へのAPIアクセスを取得した瞬間、あなたのSaaSビジネスは米国法の下で輸出を行ったことになる可能性があります。ライセンス、スクリーニング、記録保持の義務を伴います。ここでは、それがいつ発生するかを見分ける方法と、それにどう対処すべきかを説明します。
2つの規制制度を90秒で解説
米国の輸出規制は、2つの異なる機関によって管理される2つの独立したシステムを通じて運用されています。順序が重要です。最初に前者をチェックしてから、後者をチェックします。
ITAR — 防衛物資。 国際武器取引規制（ITAR）は、国務省の国防貿易統制局（DDTC）によって管理され、米国軍需品リスト（USML）に掲載されている防衛品目、防衛サービス、および関連する技術データを規制します。あなたのソフトウェアが軍事用途（誘導、標的設定、軍事通信など）向けに特別に設計または改造されている場合、あなたはITARの領域にいます。そこではライセンスの取得は困難で、適用される例外はほとんどなく、民事罰則は違反1件につき7桁に達します。ほとんどの商用SaaSはここに該当することはありませんが、ITARが適用される場合は常に管轄権を持つため、最初にそれを除外する必要があります。
EAR — その他すべて。 輸出管理規則（EAR）は、商務省の産業安全保障局（BIS）によって管理され、商用ソフトウェアや技術を含む、その他のすべての米国原産品目を対象としています。規制品目は輸出管理分類番号（ECCN）の下で商業管理リスト（CCL）に記載されます。EARの対象となるがどこにも記載されていない品目はEAR99に指定されます。ほとんどの一般的なビジネスソフトウェアはEAR99または低感応度のECCNであり、ほとんどの仕向地ではライセンスは不要ですが、「EAR99」は依然として規制上の分類であり、規制の免除ではありません。制限された仕向地、制限された当事者、および禁止された最終用途は、依然としてライセンス要件を引き起こす可能性があります。
両方の制度に当てはまる厄介な特徴が1つあります。多くの行政違反は犯罪の意図を必要としません。規制品目を間違った場所や人物に輸送、送信、またはアクセスを許可することは、誰も規則を破るつもりがなかった場合でも責任を生じさせる可能性があります。そのため、最も重要なコンプライアンス習慣は、送信後に説明することではなく、送信前に分類することです。
SaaS創業者がこれが自分たちに適用されないと考える理由
その前提はもっともらしく聞こえます。何も箱に入れて国外に出ることはなく、コードは米国のデータセンターにあり、外国の顧客はブラウザを通じてそれと対話するだけです。長年にわたり、BISのガイダンスはその見解の限定的なバージョンを支持していました。
- 2009年の勧告的意見により、クラウドプロバイダーは、顧客がレンタルしたコンピューティング容量を使用して規制技術を作成または移動する場合、一般的に「輸出者」ではないと確立されました。輸出者は顧客です。
- 2011年の意見では、プロバイダーはネットワーク上で顧客データに遭遇する可能性のある自社の外国人ITスタッフに対して、みなし輸出ライセンスを必要としないと結論付けました。
- 広く頼りにされている2014年の意見では、ユーザーがダウンロードしない限り、「クラウドベースの店頭」—現在SaaSと呼ぶもの—へのアクセスをユーザーに提供することは、ソフトウェア自体の輸出ではないとされました。
その2014年の意見は、SaaS業界がすべてのログインを輸出イベントとして扱うことなくグローバルに拡大できた大きな理由です。しかし、それは限定的です。ダウンロードを伴わない使用を対象としており、事実に基づいており、以下で説明する、SaaS企業が日常的に一線を越える5つの状況については何も述べていません。そして、状況は変化しています—それについては後ほど詳しく説明します。
SaaS企業が実際に輸出者になる5つの方法
1. ダウンロード、SDK、モバイルアプリ
2014年の意見は、ダウンロードを伴わないアクセスを保護します。外国人があなたのソフトウェア（モバイルアプリ、デスクトップクライアント、SDK、オンプレミスエージェント、コンテナイメージでさえ）をダウンロードした瞬間、それはその人の国へのソフトウェアの典型的な輸出です。次に、各ダウンロード先について標準的な分析（分類、国、エンドユーザー、最終用途）が必要です。
実際的な結果：あなたの製品にダウンロード可能なコンポーネントがある場合、すべてのダウンロード可能な成果物について最新のECCNまたはEAR99の判定を維持し、資金調達ラウンドのデューデリジェンス中にギャップを発見するのではなく、配布およびライセンス条件が制裁対象の仕向地を考慮していることを確認してください。
2. 外国人のためのソースコードと技術データの共有
EARの下では、米国内の外国人に規制技術またはソースコードをリリースすることは、その人の直近の市民権または永住権の国への「みなし輸出」とみなされます。同じ技術をその国に輸出するためにライセンスが必要な場合、ライセンスが必要です。ITARには、技術データに関する並行するより厳格な規則があります。
これは、小規模チームを最も捕らえやすい罠です：
- 米国の給与で働く外国人のエンジニアがモノレポ全体を閲覧できる場合、アクセスできるすべての規制技術分野についてみなし輸出分析が必要になる可能性があります。
- GitHubへのアクセスを持つオフショアの請負業者が暗号化ソースコードまたは規制アルゴリズムにアクセスする場合、それは単に「手伝っている」のではなく、自国で技術を受け取っていることになります。
- 外国人の顧客に規制された設定を案内するサポートの画面共有は、技術のリリースになり得ます。
修正策は運用上のものであり、特別なものではありません。技術を分類し、プロジェクトごとにリポジトリへのアクセスをセグメント化し、規制技術をマークし、アクセス決定を出荷と同じようにスクリーニングします。貿易実務家は、これを文書化したものを技術管理計画と呼び、その要素は派手ではありません—伝送セキュリティ、物理的セキュリティ、ITアクセス制御、マーキング、廃棄手順です。
3. 製品における暗号化
ほとんどすべてのSaaS製品は暗号化を使用しています—転送中のTLS、保存時のAES、OpenSSLやプラットフォームの暗号化APIなどのライブラリ。暗号化ソフトウェアと技術は、国家安全保障上の理由から、通常5D002（ソフトウェア）や5E002（技術）などのECCNの下で規制されています。
良いニュースは、BISが通常の商用暗号化のための広範な導入経路を構築したことです：
- ほとんどのマスマーケット暗号化製品は、ライセンス申請ではなく、緩和された扱い（5x992グループ）の対象となります。
- License Exception ENC（15 CFR § 740.17）は、適格な暗号化品目のライセンスなしの輸出および再輸出を許可し、2021年の規則により、公に利用可能な暗号化ソースコードの事前通知など、いくつかの従来の負担が撤廃されました。
- BISへの暗号化登録はもう必要ありません。
スタートアップが最も見逃しがちな残りの義務は、許可ではなく書類です。License Exception ENC(b)(1)に基づいて暗号化製品を自己分類する輸出者は、一般に、前暦年を対象とした年次自己分類レポートをBISに提出する必要があり、期限は2月1日です。税務申告の期限の横のコンプライアンスカレンダーにそれを入れ、すべての製品とコンポーネントの恒常的な輸出分類リストを維持して、レポートが自動作成されるようにしてください。
4. 規制技術へのAPIアクセス—AIモデルを含む
通常のSaaS機能の場合、ダウンロードを伴わないブラウザおよびAPIアクセスは、依然として2014年の意見の下にあります。しかし、規制当局は最高感応度の技術を切り分け始めています。商務省は、高度なAIモデルへのリモートのAPIベースのアクセスをモデルの規制された「リリース」として扱う方向に動いています。これは、技術移転を伴わないリモートインタラクションは輸出ではないという歴史的な立場からの大きな転換です。
そして、議会はさらに進める可能性があります。2026年1月、下院はRemote Access Security Act（RASA）を可決しました。これは、BISに、インターネットまたはクラウドサービスを通じたEAR規制品目への外国人のリモートアクセスを規制する権限を与えるもので、提案者が「クラウドの抜け穴」と呼ぶものを塞ぐことになります。本稿執筆時点では、この法案は上院での審議待ちです。これが法律になれば、クラウドで事業を展開する企業のコンプライアンス負担は大幅に拡大し、2014年のダウンロードなし使用の快適ゾーンは狭まります。
法律が動いている間にすべきこと：どのAPIが規制技術（暗号化、ハイパフォーマンスコンピューティング、AI/MLモデル、地理空間またはセンサーフュージョン機能が通常の容疑者です）を公開しているかをインベントリし、誰がどこからアクセスしているかを記録し、規制があなたの下で変わった場合に仕向地とユーザーを制限できるように、条件とアクセス制御を構成します。
5. 顧客、仕向地、最終用途
EAR99ソフトウェアでさえ、特定の仕向地、当事者、目的にはライセンスが必要—または完全に禁止されています：
- 制裁対象の仕向地は外交政策に応じて変わります。禁輸国への販売またはアクセス提供は許可なく禁止されており、地域的制限（ロシア、ベラルーシ、ウクライナ占領地域）は現在、通常のEAR99ビジネスソフトウェアにも及びます。
- 制限された当事者は取引ごとにスクリーニングする必要があります。アクセスをプロビジョニングする前に、政府の統合された制限当事者リストに対してすべての顧客、再販業者、および統合パートナーをチェックし、定期的に再スクリーニングします—リストは変更され、顧客の所有構造も変更されます。
- 禁止された最終用途には、軍事、原子力推進、および特定の監視アプリケーションが含まれます。制限された仕向地での軍事最終用途を支援することを知りながら販売された一般的なプロジェクト管理ツールは、それでも規則に違反する可能性があります。
これにはエンタープライズコンプライアンス部門は必要ありません。最初の請求書の前に実行されるチェックリストが必要です。品目を分類し、当事者をスクリーニングし、仕向地を確認し、最終用途を確認し、回答を書き留めます。
間違えた場合のコスト
罰則は、取引の利益を桁違いに超えるように設計されています：
- EARの下では、犯罪違反は最大で1件あたり100万ドル、個人は最長20年の懲役につながる可能性があります。行政罰則は1件あたり数十万ドルに達し、毎年インフレ調整されます。
- ITARの刑事罰則は同じ100万ドル/20年の規模に達し、民事罰則は1件あたり7桁です。
- 罰金に加えて、BISは輸出特権を完全に拒否できます—製品がグローバルに配布されている企業にとっては死刑宣告です—そして、違反は買収デューデリジェンス中に数年後に表面化する可能性があり、買い手は推定エクスポージャーによって購入価格を値引きします。
代表的な例：2023年、ハードドライブメーカーが、制限された中国の通信機器メーカーに関連する出荷について、BISがこれまでに課した最大の単独行政罰則である3億ドルのBIS和解に合意しました。あなたの会社はより小さいですが、その算術はスケールダウンするだけで、消え去るわけではありません。
また、真のニンジンもあります。BISの方針は、自主的開示（VSD）を大幅に減額された罰則を得る強力な軽減要因として扱います—一方、重要な可能性のある違反の意図的な非開示は、それを増加させる加重要因です。2024年の最終規則は、その両面のインセンティブを成文化しました。実際的なメッセージ：過去の違反を見つけたときは、弁護士とともに迅速に調査し、プロセスのギャップを修正し、開示してください。埋もれさせることは、ガイドラインが意図的に罰する唯一の対応です。
小規模ビジネスの輸出コンプライアンスチェックリスト
貿易法部門は必要ありません。この7つの習慣が必要です。それを備えていないチームの規模に合わせて調整されています：
- 最初にITARを除外します。 販売、ホスト、共有するもののいずれも軍事用に設計されておらず、USMLに掲載されていないことを書面で確認します。回答が不明な場合は、何かを出荷する前に管轄判定を取得します。
- EARの下ですべてを分類します。 各製品、ダウンロード可能なコンポーネント、技術分野にECCNまたはEAR99の判定を割り当て、リストを最新に保ちます。自己分類が不確かな場合、BISは商品分類リクエストを受け付けます。
- 暗号化を意図的に処理します。 各暗号化品目がマスマーケット、ENC適格、またはライセンス必須のいずれであるかを判断し、品目が必要とする場合は、2月1日までに年次自己分類レポートを提出します。
- すべての外国取引をスクリーニングします。 制限当事者リストに対して顧客、再販業者、請負業者をチェックし、現在の制裁に対して仕向地を検証し、禁止された最終用途のレビューを文書化します。これを誰かの記憶ではなく、プロビジョニングで自動化します。
- 技術アクセスを制御します。 コードリポジトリをセグメント化し、規制技術をマークし、外国人（従業員を含む）にソースコードまたは技術データへのアクセスを許可する前にみなし輸出チェックを実行します。
- 5年間記録を保持します。 EARは、輸出記録を取引から一般的に5年間保持することを要求しています。分類、スクリーニング結果、ライセンス判定、出荷またはアクセスログを、監査人—または買い手のデューデリジェンスチーム—が見つけられる場所に保存します。
- ビルダーをトレーニングします。 開発者、DevOps、サポートエンジニアは毎日輸出イベントを作成します（リポジトリへのアクセス権の付与、デバッグビルドの共有、設定の画面共有）。毎年のトレーニングと「共有する前に尋ねる」の1ページガイドにより、ほとんどの偶発的リリースを防ぎます。
コンプライアンスコストを帳簿で可視化する
輸出コンプライアンスは、執行措置のずっと前に財務に現れます。分類レビューの外部弁護士費用、制限当事者スクリーニングのサブスクリプション、人事オンボーディングにおけるみなし輸出管理、年次暗号化レポートの背後にあるスタッフ時間、そして—提出することがあれば—自主的開示の法務費用です。これらを一般的な法務またはソフトウェア支出に埋めるのではなく、独自の費用カテゴリとして追跡し、各市場と製品ラインに実際にサービスを提供するコストを把握できるようにします。それを上記の5年間の記録トレイル（分類、スクリーニングログ、取引ごとにファイルされたライセンス判定）と組み合わせると、監査人と将来の買収者のデューデリジェンスチームの両方が、発掘作業ではなく明確な回答を得られます。記録保持に関するドキュメントと/fava/のダッシュボードは、そのトレイルの自然な保管場所です。
初日から財務記録を監査対応にする
SaaSを世界中の顧客に開放するにつれて、明確な財務記録—すべてのコンプライアンス資金とすべての輸出判定を含む—を維持することが不可欠です。Beancount.ioは、監査人が実際に追跡できるバージョン管理された記録を備えた、財務データに対する完全な透明性と制御を提供するプレーンテキスト会計を提供します。無料で始めると、開発者と財務専門家がプレーンテキスト会計に切り替えている理由がわかります。
