Ninguém na sua empresa trabalha com exportação. Não há doca de carregamento, despachante aduaneiro ou departamento de exportação. E ainda assim, no momento em que um cliente em outro país baixa seu aplicativo móvel, integra seu SDK ou obtém acesso via API ao recurso errado, seu negócio de SaaS pode ter acabado de realizar uma exportação sob a lei dos EUA — com obrigações de licenciamento, triagem e manutenção de registros anexadas. Veja como saber quando isso acontece e o que fazer a respeito.
Os Dois Regimes em 90 Segundos
Os controles de exportação dos EUA operam por meio de dois sistemas separados, administrados por duas agências diferentes. A ordem importa: você verifica o primeiro antes do segundo.
ITAR — artigos de defesa. Os Regulamentos de Tráfego Internacional de Armas (International Traffic in Arms Regulations), administrados pela Diretoria de Controles de Comércio de Defesa (DDTC) do Departamento de Estado, controlam artigos de defesa, serviços de defesa e dados técnicos relacionados listados na Lista de Munições dos EUA (USML). Se seu software foi especificamente projetado ou modificado para uma aplicação militar — orientação, direcionamento, comunicações militares ou similar — você está em território ITAR, onde licenças são difíceis de obter, poucas exceções se aplicam e as penalidades civis chegam a sete dígitos por violação. A maioria dos SaaS comerciais nunca chega aqui, mas você deve descartar essa possibilidade primeiro, porque o ITAR assume jurisdição sempre que se aplica.
EAR — todo o resto. Os Regulamentos de Administração de Exportação (Export Administration Regulations), administrados pelo Bureau de Indústria e Segurança (BIS) do Departamento de Comércio, cobrem todos os outros itens de origem dos EUA, incluindo software e tecnologia comerciais. Itens controlados aparecem na Lista de Controle de Comércio (CCL) sob um Número de Classificação de Controle de Exportação (ECCN); itens sujeitos ao EAR mas não listados em nenhum lugar são designados como EAR99. A maioria dos softwares empresariais comuns é EAR99 ou um ECCN de baixa sensibilidade, o que significa que a maioria dos destinos não precisa de licença — mas "EAR99" ainda é uma classificação sob os regulamentos, não uma isenção deles. Destinos restritos, partes restritas e usos finais proibidos ainda podem acionar um requisito de licença.
Uma característica desconfortável abrange ambos os regimes: muitas violações administrativas não exigem intenção criminosa. Enviar — ou transmitir, ou conceder acesso a — um item controlado para o lugar ou pessoa errados pode gerar responsabilidade mesmo quando ninguém pretendia quebrar as regras. É por isso que o hábito de conformidade que mais importa é classificar antes de transmitir, não explicar depois que uma carta de execução chega.
Por Que Fundadores de SaaS Assumem Que Isso Não se Aplica a Eles
A suposição parece razoável. Nada sai do país em uma caixa; o código está em um data center dos EUA e clientes estrangeiros apenas interagem com ele por meio de um navegador. Por anos, a orientação do BIS apoiou uma versão estreita dessa visão:
- Uma opinião consultiva de 2009 estabeleceu que um provedor de nuvem geralmente não é o "exportador" quando seus clientes usam capacidade de computação alugada para criar ou mover tecnologia controlada — o cliente é.
- Uma opinião de 2011 concluiu que o provedor, portanto, não precisa de licenças de exportação presumida para sua própria equipe de TI de nacionalidade estrangeira que possa encontrar dados de clientes na rede.
- Uma opinião de 2014 amplamente utilizada sustentou que dar aos usuários acesso a uma "vitrine baseada em nuvem" — o que hoje chamamos de SaaS — não é uma exportação do software em si, desde que os usuários não o baixem.
Essa opinião de 2014 é uma grande razão pela qual a indústria de SaaS pôde escalar globalmente sem tratar cada login como um evento de exportação. Mas ela é restrita: cobre uso-sem-download, é específica dos fatos e não diz nada sobre as cinco situações abaixo, onde empresas de SaaS rotineiramente cruzam a linha. E o terreno está mudando — mais sobre isso em um momento.
Cinco Maneiras Pelas Quais Empresas de SaaS Realmente se Tornam Exportadoras
1. Downloads, SDKs e Aplicativos Móveis
A opinião de 2014 protege o acesso sem download. No momento em que uma pessoa estrangeira baixa seu software — um aplicativo móvel, um cliente de desktop, um SDK, um agente on-premise, até mesmo uma imagem de contêiner — isso é uma exportação clássica de software para o país dessa pessoa. Cada destino de download então precisa da análise padrão: classificação, país, usuário final, uso final.
Consequência prática: se seu produto tem qualquer componente baixável, mantenha uma determinação atual de ECCN ou EAR99 para cada artefato baixável e certifique-se de que seus termos de distribuição e licenciamento considerem destinos sancionados, em vez de descobrir a lacuna durante a due diligence para uma rodada de financiamento.
2. Compartilhamento de Código-Fonte e Dados Técnicos com Pessoas Estrangeiras
Sob o EAR, liberar tecnologia controlada ou código-fonte para um nacional estrangeiro dentro dos Estados Unidos é uma "exportação presumida" para o país de cidadania mais recente ou residência permanente dessa pessoa — uma licença é necessária se a exportação da mesma tecnologia para aquele país exigisse uma. O ITAR tem uma regra paralela e mais estrita para dados técnicos.
Esta é a armadilha mais provável de pegar uma equipe pequena:
- Um engenheiro de nacionalidade estrangeira na folha de pagamento dos EUA que pode navegar por todo o monorepositório pode precisar de uma análise de exportação presumida para cada área de tecnologia controlada à qual tem acesso.
- Um contratante offshore com acesso ao GitHub para código-fonte de criptografia ou algoritmos controlados está recebendo tecnologia em seu país, não apenas "ajudando".
- Um compartilhamento de tela de suporte que orienta um cliente estrangeiro por uma configuração controlada pode ser uma liberação de tecnologia.
As correções são operacionais, não exóticas: classifique sua tecnologia, segmente o acesso ao repositório por projeto, marque tecnologia controlada e monitore a decisão de acesso da mesma forma que monitoraria um envio. Os profissionais de comércio chamam a versão escrita disso de plano de controle de tecnologia, e seus ingredientes são pouco glamourosos — segurança de transmissão, segurança física, controles de acesso de TI, marcação e procedimentos de descarte.
3. Criptografia no Seu Produto
Quase todo produto SaaS usa criptografia — TLS em trânsito, AES em repouso, bibliotecas como OpenSSL ou APIs de criptografia de plataforma. Software e tecnologia de criptografia são controlados por razões de segurança nacional, tipicamente sob ECCNs como 5D002 (software) e 5E002 (tecnologia).
A boa notícia é que o BIS construiu uma ampla via de acesso para criptografia comercial comum:
- A maioria dos produtos de criptografia de mercado de massa qualifica-se para tratamento simplificado (o grupo 5x992) em vez de um pedido de licença.
- A Exceção de Licença ENC (15 CFR § 740.17) autoriza exportação e reexportação de itens de criptografia elegíveis sem licença, e uma regra de 2021 removeu vários encargos legados, incluindo a maioria das pré-notificações para código-fonte de criptografia publicamente disponível.
- Nenhum registro de criptografia no BIS é mais necessário.
A obrigação restante que as startups mais frequentemente perdem é papelada, não permissão: exportadores que autoclassificam produtos de criptografia sob a Exceção de Licença ENC(b)(1) geralmente devem apresentar um relatório anual de autoclassificação ao BIS cobrindo o ano-calendário anterior, com vencimento em 1º de fevereiro. Coloque-o no calendário de conformidade ao lado de seus prazos fiscais e mantenha uma lista de classificação de exportação permanente para cada produto e componente, para que o relatório se escreva sozinho.
4. Acesso via API a Tecnologia Controlada — Incluindo Modelos de IA
Para recursos SaaS comuns, acesso via navegador e API sem download ainda está sob a opinião de 2014. Mas os reguladores começaram a abrir exceções para a tecnologia de maior sensibilidade. O Departamento de Comércio passou a tratar o acesso remoto, baseado em API, a modelos avançados de IA como uma "liberação" controlada do modelo — uma ruptura acentuada com a posição histórica de que interação remota sem transferência de tecnologia não é uma exportação.
E o Congresso pode ir mais longe. Em janeiro de 2026, a Câmara aprovou a Lei de Segurança de Acesso Remoto (RASA), que daria ao BIS autoridade para regular o acesso remoto de pessoas estrangeiras a itens controlados pelo EAR por meio de serviços de internet ou nuvem — fechando o que os patrocinadores chamam de "brecha da nuvem". No momento em que este texto foi escrito, o projeto aguarda ação do Senado. Se se tornar lei, o ônus de conformidade para empresas que operam na nuvem expande substancialmente, e a zona de conforto de uso-sem-download de 2014 se estreita.
O que fazer enquanto a lei está em movimento: faça um inventário de quais de suas APIs expõem tecnologia controlada (criptografia, computação de alto desempenho, modelos de IA/ML, recursos geoespaciais ou de fusão de sensores são os suspeitos usuais), registre quem acessa a partir de onde e estruture seus termos e controles de acesso para que você possa restringir destinos e usuários se a regra mudar sob seus pés.
5. Clientes, Destinos e Usos Finais
Até mesmo software EAR99 precisa de licença — ou é totalmente proibido — para certos destinos, partes e propósitos:
- Destinos sancionados mudam com a política externa; vender ou fornecer acesso a países embargados sem autorização é proibido, e restrições regionais (Rússia, Bielorrússia, regiões ocupadas da Ucrânia) agora alcançam até mesmo software empresarial EAR99 comum.
- Partes restritas devem ser triadas negócio a negócio. Verifique cada cliente, revendedor e parceiro de integração contra as listas consolidadas de partes restritas do governo antes de provisionar acesso e re-trie periodicamente — as listas mudam, e a estrutura de propriedade de seus clientes também.
- Usos finais proibidos incluem aplicações militares, de propulsão nuclear e certas aplicações de vigilância. Uma ferramenta genérica de gerenciamento de projetos vendida com o conhecimento de que apoiará um uso final militar em um destino restrito ainda pode violar as regras.
Nada disso exige um departamento de conformidade empresarial. Exige um checklist que roda antes da primeira fatura: classifique o item, trie a parte, verifique o destino, confirme o uso final e anote a resposta.
O Que Custa Errar
As penalidades são projetadas para exceder o lucro do negócio por ordens de magnitude:
- Sob o EAR, violações criminais podem trazer até US$ 1 milhão por violação e até 20 anos de prisão para indivíduos; penalidades administrativas chegam a centenas de milhares de dólares por violação e são ajustadas pela inflação todos os anos.
- Penalidades criminais do ITAR alcançam a mesma escala de US$ 1 milhão/20 anos, com penalidades civis em sete dígitos por violação.
- Além de multas, o BIS pode negar privilégios de exportação inteiramente — uma sentença de morte para uma empresa cujo produto é distribuído globalmente — e violações podem surgir anos depois durante a due diligence de aquisição, quando o comprador desconta o preço de compra pela exposição estimada.
O exemplo de manchete: em 2023, um fabricante de discos rígidos concordou com um acordo de US$ 300 milhões com o BIS por remessas ligadas a um fabricante chinês restrito de equipamentos de telecomunicações — a maior penalidade administrativa independente que o BIS já impôs. Sua empresa é menor, mas a aritmética escala para baixo, não desaparece.
Há também uma verdadeira cenoura. A política do BIS trata uma autodivulgação voluntária (VSD) como forte atenuante que rende uma penalidade drasticamente reduzida — enquanto a não divulgação deliberada de uma possível violação significativa é um fator agravante que a aumenta. Uma regra final de 2024 codificou esse incentivo de dois lados. A mensagem prática: quando você encontrar uma violação passada, investigue prontamente com advogado, corrija a lacuna no processo e divulgue. Enterrá-la é a única resposta que as diretrizes punem de propósito.
Um Checklist de Conformidade de Exportação para Pequenas Empresas
Você não precisa de um departamento de direito comercial. Você precisa desses sete hábitos, dimensionados para uma equipe sem um:
- Descarte o ITAR primeiro. Confirme por escrito que nada que você vende, hospeda ou compartilha foi projetado para uso militar ou aparece na USML. Se a resposta não for clara, obtenha uma determinação de jurisdição antes de enviar qualquer coisa.
- Classifique tudo sob o EAR. Atribua a cada produto, componente baixável e área de tecnologia um ECCN ou uma determinação EAR99 e mantenha a lista atualizada. Quando a autoclassificação for incerta, o BIS aceita solicitações de classificação de mercadorias.
- Lide com a criptografia deliberadamente. Determine se cada item de criptografia é de mercado de massa, elegível para ENC ou requer licença; apresente o relatório anual de autoclassificação até 1º de fevereiro se seus itens exigirem.
- Trie cada transação estrangeira. Verifique clientes, revendedores e contratantes contra listas de partes restritas; verifique destinos contra sanções atuais; documente a revisão de uso final proibido. Automatize isso no provisionamento, não na memória de alguém.
- Controle o acesso à tecnologia. Segmente repositórios de código, marque tecnologia controlada e execute verificações de exportação presumida antes de conceder a nacionais estrangeiros (incluindo funcionários) acesso a código-fonte ou dados técnicos.
- Mantenha registros por cinco anos. O EAR exige que registros de exportação sejam geralmente retidos por cinco anos a partir da transação. Armazene classificações, resultados de triagem, determinações de licença e logs de envio ou acesso onde um auditor — ou a equipe de due diligence de um comprador — possa encontrá-los.
- Treine os construtores. Desenvolvedores, DevOps e engenheiros de suporte criam eventos de exportação diariamente (concedendo acesso a repositórios, compartilhando uma build de debug, compartilhando tela de uma configuração). Treinamento anual mais um guia de uma página "pergunte antes de compartilhar" previne a maioria das liberações inadvertidas.
Mantenha os Custos de Conformidade Visíveis em Seus Livros
A conformidade de exportação aparece em suas finanças muito antes de aparecer em uma ação de execução: consultores jurídicos externos para revisões de classificação, assinaturas de triagem de partes restritas, controles de exportação presumida no seu onboarding de RH, as horas de equipe por trás do seu relatório anual de criptografia e — se você algum dia apresentar um — o custo legal de uma autodivulgação voluntária. Rastreie-os como sua própria categoria de despesa em vez de enterrá-los em gastos gerais legais ou de software, para que você possa ver o que cada mercado e linha de produto realmente custa para atender. Combine isso com a trilha de registros de cinco anos acima — classificações, logs de triagem e determinações de licença arquivadas por transação — e tanto seus auditores quanto a equipe de due diligence de qualquer futuro adquirente obterão respostas limpas em vez de arqueologia. Sua documentação sobre retenção de registros e dashboards em /fava/ são lares naturais para essa trilha de papel.
Mantenha Seus Registros Financeiros Prontos para Auditoria Desde o Primeiro Dia
Ao abrir seu SaaS para clientes em todo o mundo, manter registros financeiros claros — incluindo cada dólar de conformidade e cada determinação de exportação — é essencial. O Beancount.io fornece contabilidade em texto simples que dá a você transparência completa e controle sobre seus dados financeiros, com registros com controle de versão que um auditor pode realmente seguir. Comece gratuitamente e veja por que desenvolvedores e profissionais de finanças estão mudando para a contabilidade em texto simples.
