On associe spontanément le contrôle des exportations à des caisses qui franchissent une frontière. Pourtant, l'un des manquements les plus fréquents que je rencontre en audit ne passe par aucune douane : c'est la technologie qui voyage par e-mail, par un dépôt SharePoint, par un accès distant ouvert à un ingénieur d'une filiale étrangère, ou par une démonstration en visioconférence.
Ce que dit le droit européen
Le règlement (UE) 2021/821 définit l'exportation de biens à double usage de façon à couvrir explicitement la transmission de logiciels ou de technologies par voie électronique — télécopie, téléphone, courrier électronique ou tout autre moyen — vers une destination située hors du territoire douanier de l'Union, y compris la simple mise à disposition sous forme électronique à des personnes physiques ou morales établies hors de l'Union. La personne qui décide de cette transmission ou de cette mise à disposition est l'exportateur, avec les responsabilités qui s'y attachent. La circulaire de la DGDDI du 16 novembre 2021 le rappelle : l'autorisation est obligatoire qu'il s'agisse d'une exportation matérielle ou d'une transmission immatérielle de données.
La fourniture d'assistance technique (instructions, conseil, formation, transmission de connaissances, y compris de vive voix ou par voie électronique) fait par ailleurs l'objet d'un contrôle propre depuis 2021 (article 8 du règlement), dans certaines situations sensibles.
Deux conséquences pratiques. D'abord, héberger de la technologie contrôlée sur un serveur situé hors de l'Union, ou l'y rendre accessible, est une exportation — quel que soit le lieu où se trouve l'utilisateur. Ensuite, donner accès à distance à un salarié ou un prestataire situé hors de l'Union, même au sein du groupe, est une exportation ; l'autorisation générale de l'Union EU007 (transferts intra-groupe de logiciels et technologies) peut, sous conditions et vers certaines destinations, en faciliter l'encadrement.
Ce que disent les règles américaines
Les régimes ITAR et EAR vont plus loin, avec la notion d'exportation réputée (deemed export) : révéler une technologie contrôlée à un ressortissant étranger, y compris sur le territoire des États-Unis ou au sein d'une entreprise européenne détenant des données ITAR, constitue une exportation vers le pays de cette personne. Pour une entreprise française qui détient des données techniques ITAR ou de la technologie EAR, l'accès d'un salarié de nationalité tierce, d'un stagiaire ou d'un prestataire informatique est donc un événement de conformité en soi.
Les deux régimes prévoient en revanche une exception utile : le transit ou le stockage de données techniques chiffrées de bout en bout, selon des standards reconnus, sans que le prestataire cloud ni aucun tiers ne détienne les moyens de déchiffrement, n'est pas considéré comme une exportation, sous réserve que les données ne soient pas stockées dans certains pays. C'est la pierre angulaire d'une politique cloud conforme.
Où se cachent les transferts intangibles
Les outils collaboratifs (SharePoint, Teams, Google Workspace) dont l'hébergement ou les réplicas sont hors de l'Union ; les plateformes de PLM et de gestion documentaire accessibles depuis des sites étrangers ; les tickets de support technique adressés à un éditeur ou à un centre de services offshore, avec fichiers de conception en pièce jointe ; les démonstrations commerciales et les réponses à appels d'offres ; les assistants d'IA générative auxquels on soumet un plan, un code source ou une spécification pour « résumer » ou « traduire » ; et, plus classiquement, les clés USB et ordinateurs portables emportés en déplacement.
Une méthode pour reprendre la main
Classer la technologie, pas seulement les produits. Déterminer quelles données techniques sont contrôlées (annexe I du règlement 2021/821, USML, CCL) et les marquer. Une donnée non marquée sera partagée.
Cartographier les accès et les flux. Qui, depuis où, accède à quoi ? Quels systèmes répliquent des données hors de l'Union ? Quels prestataires ont un accès administrateur ?
Encadrer. Procédures d'autorisation préalable pour l'ouverture d'accès à des personnes ou sites étrangers, recours aux licences (individuelle, globale, EU007), chiffrement de bout en bout pour le cloud, clauses contractuelles avec les prestataires informatiques et les éditeurs, charte d'usage des outils d'IA.
Former et contrôler. Les ingénieurs et les commerciaux sont les premiers exportateurs de technologie ; ils doivent savoir reconnaître un transfert intangible. Des revues périodiques des journaux d'accès complètent le dispositif.
J'audite régulièrement les transferts intangibles d'éditeurs de logiciels, d'entreprises de cybersécurité et d'industriels, et je construis avec eux les procédures et les demandes de licence adaptées.
Sources
- Circulaire DGDDI du 16 novembre 2021 relative au contrôle à l'exportation des biens à double usage
- Règlement (UE) 2021/821 (EUR-Lex)
Information générale, ne constitue pas un conseil juridique. Suivre mes analyses sur LinkedIn →