Foreign national restrictions : employés et accès aux données sensibles sous ITAR
Un directeur industriel m’a appelée un vendredi soir, la voix tendue. Son meilleur ingénieur venait de recevoir un accès refusé sur un serveur de projet, un projet sur lequel il travaillait depuis huit mois. La raison ? Cet ingénieur, brillant et parfaitement intégré à l’équipe, avait un passeport iranien. Personne n’avait vérifié son statut au regard de l’ITAR avant de l’affecter au programme.
Ce genre de situation, je la rencontre régulièrement. Les restrictions ITAR liées aux « foreign nationals » sont l’un des sujets les plus mal compris par les entreprises qui travaillent avec le marché américain de la défense. Et les conséquences d’une erreur vont bien au-delà d’un simple embarras RH.
Qu’est-ce qu’un « foreign national » au sens de l’ITAR ?
C’est souvent la première question que me posent mes clients. La réponse est plus large qu’on ne le pense.
Au sens de l’ITAR, un « foreign national » (ou « foreign person ») désigne toute personne qui n’est pas citoyen américain, résident permanent (détenteur d’une Green Card) ou réfugié politique reconnu par les États-Unis. Cela inclut les détenteurs de visas de travail H-1B, les stagiaires, les consultants étrangers, et même les employés de longue date qui n’ont jamais obtenu la résidence permanente (source : 22 CFR §120.16, ITAR).
Autrement dit, un ingénieur français travaillant dans votre filiale américaine avec un visa L-1 est un foreign national au sens de l’ITAR. Lui montrer un plan technique contrôlé ITAR constitue un « deemed export », c’est-à-dire un transfert réputé vers la France, même si le document ne quitte jamais le bureau.
Le « deemed export » : pourquoi c’est si dangereux ?
La notion de deemed export est le piège dans lequel tombent la majorité des entreprises. Je me souviens d’un client toulousain qui avait envoyé trois ingénieurs dans sa filiale de Floride pour un programme de co-développement. Ces ingénieurs avaient accès à la même salle de réunion, aux mêmes tableaux blancs, aux mêmes fichiers partagés que leurs collègues américains. Sauf que personne n’avait demandé d’autorisation de transfert technologique.
Le résultat : une violation ITAR découverte lors d’un audit interne, une divulgation volontaire au DDTC, et six mois de procédure pour régulariser la situation. Le tout pour un transfert de données qui n’avait rien d’intentionnel.
Le principe est simple. Quand une donnée technique contrôlée ITAR est accessible à un foreign national sur le sol américain, le gouvernement considère que cette donnée a été « exportée » vers le pays d’origine de cette personne (source : DDTC, Deemed Export FAQ). Pas besoin d’envoyer un email, de copier un fichier ou de poster un colis. La simple possibilité d’accès suffit.
Quelles nationalités posent le plus de problèmes ?
Toutes les nationalités non américaines déclenchent les restrictions foreign national ITAR, mais certaines compliquent davantage les choses. Les pays sous embargo américain (Iran, Corée du Nord, Syrie, Cuba, entre autres) rendent pratiquement impossible l’obtention d’une autorisation de deemed export pour leurs ressortissants.
Pour les ressortissants de pays alliés comme la France, les autorisations sont plus accessibles. La France bénéficie du statut de membre de l’OTAN et de partenaire de longue date en matière de défense. Mais « plus accessible » ne veut pas dire « automatique ». Chaque autorisation doit être demandée individuellement au DDTC via le système de licences.
Je conseille toujours à mes clients de vérifier la nationalité de chaque personne susceptible d’accéder à des données ITAR avant de lancer un projet. Pas après.
Comment gérer concrètement les foreign nationals dans votre entreprise ?
La gestion des foreign national ITAR restrictions repose sur trois piliers : identifier, isoler, autoriser.
Identifier d’abord. Votre service RH doit maintenir une liste à jour de tous les employés, stagiaires, consultants et visiteurs qui sont des foreign nationals. Cette liste doit inclure leur nationalité, leur statut migratoire et les programmes auxquels ils sont affectés. Un processus de vérification doit être intégré au recrutement, pas ajouté après coup.
Isoler ensuite. Les données techniques ITAR doivent être physiquement et numériquement séparées des données accessibles à tous. Cela signifie des serveurs dédiés avec contrôle d’accès par utilisateur, des salles de réunion verrouillées pour les discussions classifiées, et des procédures claires sur ce qui peut ou ne peut pas être partagé lors des réunions mixtes. Pour approfondir les exigences de stockage sécurisé des données ITAR, consultez notre guide dédié.
Autoriser enfin. Si un foreign national doit accéder à des données ITAR pour son travail, vous avez besoin d’un accord de transfert technologique, qu’il s’agisse d’un TAA (Technical Assistance Agreement) ou d’une licence spécifique. Le processus prend 3 à 6 mois selon la complexité (source : DDTC Annual Report). Anticipez.
Les erreurs les plus fréquentes que je constate sur le terrain
Après quinze ans à accompagner des entreprises sur le marché américain, je peux dresser un palmarès des erreurs récurrentes liées aux foreign national ITAR restrictions.
La première : croire que seuls les documents marqués « ITAR » sont concernés. En réalité, toute donnée technique liée à un article inscrit sur l’USML (United States Munitions List) est contrôlée, qu’elle porte un marquage ou non. Un échange verbal lors d’une réunion technique peut constituer un transfert de données contrôlé. Pour vérifier si vos produits sont concernés, consultez la liste des produits et technologies contrôlées.
La deuxième : négliger les visiteurs. Un sous-traitant étranger qui visite votre usine et aperçoit un prototype sur une ligne de production peut constituer une violation. Les visites doivent être planifiées avec des itinéraires qui évitent les zones sensibles.
La troisième : confondre citoyenneté et résidence. Un ingénieur qui vit aux États-Unis depuis vingt ans avec un visa de travail reste un foreign national tant qu’il n’a pas obtenu la Green Card ou la citoyenneté. La durée de résidence ne change rien au statut ITAR.
Les sanctions en cas de violation : ce que risque vraiment votre entreprise
Les sanctions pour violation des restrictions foreign national sous ITAR ne sont pas théoriques. Le Department of State a imposé plus de 120 millions de dollars d’amendes au titre de violations ITAR entre 2018 et 2023 (source : DDTC Consent Agreements, données publiques). Parmi les violations les plus fréquemment sanctionnées : les deemed exports non autorisés vers des foreign nationals.
Au-delà des amendes, une violation peut entraîner la révocation de votre enregistrement ITAR, l’exclusion des contrats gouvernementaux et des poursuites pénales (jusqu’à 20 ans de prison selon l’AECA). La confiance, une fois perdue auprès du DoD, se reconstruit très lentement. Le processus d’habilitation de sécurité devient quasi impossible après un incident non résolu.
Mettre en place un programme « foreign national » efficace
Un programme de gestion des foreign nationals ne doit pas être un document de 200 pages qui prend la poussière dans un tiroir. Il doit être vivant, pratique et intégré aux opérations quotidiennes.
Commencez par nommer un responsable. Cette personne doit avoir l’autorité pour refuser l’accès à un programme si les vérifications n’ont pas été faites, quel que soit le niveau hiérarchique de la personne concernée. Je me souviens d’un cas où le directeur commercial d’une PME avait insisté pour qu’un partenaire coréen assiste à une démonstration technique sans autorisation préalable. Le compliance officer a dit non. Le directeur commercial était furieux. Six mois plus tard, quand l’entreprise a passé son audit DDTC sans incident, il a compris.
Formez ensuite tous vos employés, pas seulement les ingénieurs. Les assistantes qui gèrent les badges visiteurs, les techniciens qui ouvrent les portes des ateliers, les commerciaux qui organisent des réunions avec des partenaires étrangers — chacun a un rôle dans la conformité. Selon une étude du Bureau of Industry and Security, 78 % des violations de contrôle export impliquent des employés qui ne savaient pas qu’ils enfreignaient la réglementation (source : BIS Annual Report 2023).
Enfin, documentez tout. Chaque décision d’accès, chaque refus, chaque vérification de nationalité. En cas d’audit ou d’incident, cette documentation est votre meilleure défense.
Peut-on employer des foreign nationals sur des programmes ITAR ?
Oui, mais sous conditions strictes. La réglementation ITAR n’interdit pas d’employer des foreign nationals. Elle interdit de leur donner accès à des données techniques contrôlées sans autorisation préalable.
Dans la pratique, cela signifie que vous pouvez employer un ingénieur français sur des programmes non-ITAR sans restriction particulière. Vous pouvez aussi l’employer sur un programme ITAR si vous disposez de l’autorisation appropriée (TAA, licence) ou si son rôle ne nécessite pas d’accès aux données techniques contrôlées.
Certaines entreprises créent des « clean teams » composées exclusivement de citoyens américains pour les programmes sensibles. D’autres mettent en place des versions expurgées des documents techniques. Les deux approches fonctionnent, et les normes CMMC de cybersécurité viennent s’ajouter à ces exigences pour les fournisseurs du DoD.
Votre prochaine étape
La gestion des foreign national ITAR restrictions n’est pas un exercice administratif. C’est un enjeu stratégique qui touche au recrutement, à l’organisation des équipes et à la capacité même de travailler sur certains programmes. Les entreprises qui intègrent cette dimension dès le départ construisent un avantage durable sur le marché américain de la défense.
Si vous préparez votre entrée sur ce marché ou si vous avez des doutes sur la conformité de votre organisation actuelle, je peux vous aider à structurer votre approche. Réservez un appel découverte pour faire le point sur votre situation, ou explorez notre méthode CAAPS pour comprendre comment nous accompagnons les entreprises françaises dans leur expansion américaine.