Un seul fil, deux drapeaux : la frontière de données réservée aux US-persons dans une opération de défense à maison mère étrangère

La phrase qui réorganise tout ce problème est courte, et la plupart des maisons mères l'entendent pour la première fois bien trop tard. Au titre de l'ITAR (le contrôle américain des exportations d'armement), votre maison mère est une foreign person (une personne étrangère au sens de l'ITAR) à l'égard des données techniques de votre filiale américaine. Pas un partenaire avec un peu de paperasse en plus. Une foreign person : la même catégorie que n'importe quelle autre entreprise à l'étranger ne détenant pas de licence.

La réglementation y parvient par la constitution en société, pas par la détention du capital. Une US person (une personne américaine au sens de l'ITAR) comprend toute entité « constituée pour exercer des activités aux États-Unis » (incorporated to do business in the United States, 22 CFR 120.62). Une foreign person comprend toute entité « non constituée ni organisée pour exercer des activités aux États-Unis » (not incorporated or organized to do business in the United States, 22 CFR 120.63). Votre entité du Delaware ou du Massachusetts est une US person. Votre maison mère à Ottawa, à Brescia ou à Stuttgart est une foreign person. Que la maison mère détienne 100 pour cent de la filiale ne fait franchir la ligne ni à l'une ni à l'autre. Il n'y a pas d'exception familiale dans le texte, parce que le texte ne pose jamais la question de la famille.

Les dirigeants entendent cela comme une insulte à une relation d'entreprise qu'ils ont mis des décennies à bâtir. Ce n'en est pas une. C'est un énoncé sur les données, et sur les données seulement. La maison mère détient toujours l'entreprise, nomme le conseil, fixe la stratégie et perçoit le profit. Ce que la maison mère cesse d'obtenir automatiquement, c'est le plan.

Le même réflexe se manifeste autour du statut d'allié, autant le refermer maintenant. Chaque pays que je sers est un pays qualifié au sens du DFARS (supplément à la réglementation fédérale américaine sur les acquisitions de défense), dans le cadre d'un accord réciproque sur les marchés de défense conclu avec le Department of Defense (DFARS 225.003). Ce statut est une préférence dans les marchés publics, portant sur les produits finis et les composants. Il ne lève pas l'ITAR, il ne lève pas la CMMC, et il ne règle pas la question FOCI. Le statut d'allié fait passer vos pièces à travers l'analyse Buy American. Il ne fait pas passer votre maison mère à travers la frontière de données.

L'ITAR définit bien la détention étrangère et le contrôle étranger, pour ses propres besoins, au 22 CFR 120.65. La détention étrangère, c'est plus de 50 pour cent des titres de vote en circulation. Le contrôle étranger, c'est l'autorité ou la capacité d'établir ou d'orienter les politiques générales ou les opérations quotidiennes, et il est présumé lorsque des personnes étrangères détiennent 25 pour cent ou plus des titres de vote en circulation, sauf si une US person en contrôle un pourcentage égal ou supérieur. Ces définitions comptent pour ce que vous déclarez à la DDTC (direction américaine du contrôle du commerce de défense). Elles appartiennent à l'ITAR, et elles ne sont pas le cadre FOCI (propriété, contrôle ou influence étrangers) de la DCSA (l'agence américaine de contre-espionnage et de sécurité de la défense), lequel fonctionne selon des règles distinctes. Gardez les deux séparés, et laissez le conseil en contrôle des exportations et un spécialiste des relations avec la DCSA porter chacun leur moitié.

Avant de pouvoir tracer une frontière, il faut savoir ce qu'elle contient. Deux populations de données sont en jeu. Elles se recouvrent largement, et la plupart des ateliers se trompent sur les deux exactement de la même manière : ils attendent un marquage.

Les données techniques au sens de l'ITAR sont les informations requises pour la conception, le développement, la production, la fabrication, l'assemblage, l'exploitation, la réparation, l'essai, la maintenance ou la modification d'un article de défense, y compris les informations sous forme de plans, de dessins, de photographies, de schémas, d'instructions ou de documentation (22 CFR 120.33(a)). Relisez cette définition et remarquez ce qui lui manque. Il n'y a aucun marquage dedans. Les données techniques se définissent par ce que l'information permet de faire, et non par le fait qu'un tampon ait atterri dans le coin de la page. Un fichier de FAO que personne n'a étiqueté est une donnée technique s'il est requis pour fabriquer la pièce.

Les informations de défense couvertes obéissent à une logique parallèle. Au titre du DFARS 252.204-7012, ce sont les informations techniques contrôlées non classifiées, ou d'autres informations du CUI Registry, qui exigent une protection et qui sont soit marquées ou identifiées dans le contrat, soit « collectées, développées, reçues, transmises, utilisées ou stockées par le contractant ou pour son compte dans le cadre de l'exécution du contrat ». Ce second volet n'exige pas davantage de marquage.

Ainsi, l'instruction selon laquelle vivent vos équipes, protéger ce qui est marqué, est la mauvaise instruction. Deux régimes, deux définitions, et aucun des deux n'attend d'autocollant. Tous deux s'attachent à la fonction et au contexte, ce qui est précisément la raison pour laquelle ils ne peuvent pas être délégués à qui manie le tampon.

C'est la partie qui frappe le plus fort dans la salle. Le principal obstacle entre un fabricant allié et un contrat du DoD n'est généralement pas la réglementation. C'est l'architecture IT de groupe que la maison mère a passé quinze ans à normaliser, et dont elle est fière à juste titre.

Au titre du 22 CFR 120.56(a)(3), une donnée technique est communiquée par l'usage d'informations d'accès permettant de faire en sorte qu'une foreign person accède à des données techniques non chiffrées, les consulte ou les détienne, ou la mettant en mesure de le faire. Lisez le verbe. Mettre en mesure. La clause est écrite sur la capacité, pas sur l'intention, ni sur le fait que quelqu'un ait ouvert le fichier. Au titre du 22 CFR 120.56(b), une autorisation est requise pour fournir ces informations d'accès à une foreign person en premier lieu. La question que posent l'avocat en contrôle des exportations comme l'évaluateur n'est donc pas de savoir si la maison mère a regardé. C'est de savoir si la maison mère pouvait être mise en mesure de l'atteindre.

Cinq schémas rendent compte de l'essentiel de ce que je trouve lors d'une première visite :

La première idée que tout directeur technique compétent apporte à ce problème est le chiffrement, et l'intuition est juste. L'ITAR accorde au chiffrement une véritable exclusion. Cette exclusion est à la fois plus utile et plus étroite que presque tout le monde ne le croit, et l'écart entre ces deux lectures est l'endroit où les programmes deviennent coûteux.

Voici ce qu'elle accorde. Au titre du 22 CFR 120.54(a)(5), envoyer, emporter ou stocker des données techniques n'est pas une exportation lorsque les données sont non classifiées, sécurisées par un chiffrement de bout en bout, et sécurisées au moyen de modules cryptographiques conformes au FIPS 140-2 ou à ses successeurs, ou par d'autres moyens cryptographiques offrant une force de sécurité au moins comparable au minimum de 128 bits atteint par l'AES-128, et qu'elles ne sont ni intentionnellement envoyées à une personne se trouvant dans un pays proscrit au titre du 22 CFR 126.1, ni stockées dans un tel pays, ni envoyées depuis un tel pays. La règle règle même directement l'angoisse du routage : les données en transit par internet ne sont pas réputées stockées dans un pays qu'elles traversent. Et le 22 CFR 120.54(c) énonce clairement que la capacité d'accéder à des données techniques sous forme chiffrée répondant à ces critères ne constitue ni une communication ni une exportation.

Lisez maintenant la définition sur laquelle repose l'exclusion. À cette fin, le chiffrement de bout en bout exige que les données ne se trouvent pas sous forme non chiffrée entre l'expéditeur et le destinataire prévu, et que « les moyens de déchiffrement ne soient fournis à aucun tiers » (22 CFR 120.54(b)(1)). Le destinataire prévu doit être l'expéditeur, une US person se trouvant aux États-Unis, ou une personne par ailleurs autorisée à recevoir les données techniques (22 CFR 120.54(b)(2)).

C'est là que cela s'effondre pour la plupart des architectures de groupe. Les informations d'accès sont définies au 22 CFR 120.55 comme les informations permettant d'accéder à des données techniques chiffrées sous forme non chiffrée, et la réglementation en nomme elle-même les exemples : les clés de déchiffrement, les codes d'accès réseau et les mots de passe. Fournissez-les à une foreign person et le 22 CFR 120.56(b) exige une autorisation pour le faire. Utilisez-les pour mettre une foreign person en mesure d'atteindre des données non chiffrées et vous êtes à l'intérieur du 22 CFR 120.56(a)(3), une communication. Et le 22 CFR 120.50(a)(6) fait de la communication de données techniques précédemment chiffrées une exportation à part entière.

L'architecture découle donc du texte, et c'est la thèse de ce document. Le chiffré peut traverser l'infrastructure du groupe. Les clés ne peuvent pas passer à la maison mère. Votre maison mère peut détenir le stockage, porter le trafic, posséder le tuyau et faire tourner la réplication, pour autant que ce qu'elle détient lui reste illisible et que les moyens de déchiffrement restent à l'intérieur de la frontière réservée aux US-persons. Cette seule asymétrie est ce qui permet à une entreprise de conserver une relation IT unique et deux drapeaux.

Deux mises en garde, et je les pense toutes les deux. Les conditions du 22 CFR 120.54(a)(5), auxquelles s'ajoute la définition du (b), sont cumulatives : elles doivent toutes tenir, sur vos faits réels, en même temps. Et le point de savoir si votre architecture précise remplit les conditions est une qualification juridique que fait votre conseil en contrôle des exportations, pas un architecte des opérations. Mon travail est de construire l'environnement de sorte que cette qualification soit nette, documentée et facile à trancher par l'affirmative. La qualification elle-même reste au conseil juridique, et je le dis lors de la première réunion plutôt que lors de la dernière.

La plupart des ateliers à maison mère étrangère mènent l'ITAR et la CMMC comme deux projets, avec deux prestataires et deux budgets, et souvent un troisième pour la construction du réseau. C'est un seul chantier. Comprendre pourquoi économise les six mois que ces programmes perdent d'ordinaire.

Le NIST SP 800-171 (le référentiel fédéral de protection des informations non classifiées contrôlées) est aveugle à la nationalité. Ses contrôles d'accès demandent si un utilisateur est autorisé. Ils ne demandent pas quel passeport il détient. Ce n'est pas une lacune de la norme, c'est une division du travail. L'ITAR est le régime qui décide qui peut être autorisé pour des données techniques sous contrôle d'exportation. Le NIST SP 800-171 est la machinerie qui applique la décision, la journalise et génère la preuve. La CMMC Level 2 est le Department of Defense qui vérifie que la machinerie est réelle.

Ce qui fixe la séquence. L'ITAR trace la frontière. Les contrôles 800-171 la tiennent. L'évaluateur la note. Construisez-les dans cet ordre et chacun alimente le suivant : la matrice d'accès que vous rédigez pour la question export devient le contrôle d'accès que l'évaluateur teste. Construisez-les comme trois conversations parallèles avec des prestataires et vous obtenez trois réponses qui se contredisent au moment du jalon.

Une définition à l'intérieur du DFARS 252.204-7012 met fin au plan le plus courant que j'entends, à savoir que le service informatique du groupe pilotera simplement le site américain comme il pilote tous les autres sites. Un covered contractor information system y est défini comme « un système d'information non classifié qui est détenu par un contractant, ou exploité par lui ou pour son compte » (owned, or operated by or for, a contractor) et qui traite, stocke ou transmet des informations de défense couvertes. Exploité par lui ou pour son compte. Si le service informatique de votre maison mère exploite vos systèmes américains, ces systèmes sont des covered contractor information systems, et l'environnement de la maison mère n'est pas hors de votre évaluation. Il est dedans. Confier le travail au groupe ne délocalise pas l'obligation. Cela fait entrer le groupe dans le périmètre.

La clause porte le reste de la forme qu'il faut anticiper :

Tout ce qui précède est facile à se représenter comme un problème de bureau. Des partages de fichiers, des boîtes aux lettres, un ERP, un support. Ce cadrage est précisément la manière dont les ateliers à maison mère étrangère échouent, car la donnée contrôlée effectue ses voyages les plus dangereux à l'atelier.

Dès l'instant où un plan quitte l'ERP et devient une instruction de travail à la machine, la donnée technique est passée d'un système que vous traitez comme protégé à un système que vous avez historiquement traité comme une machine plutôt que comme un ordinateur. Le fichier de FAO sur un PC d'atelier partagé. Le programme posé sur l'automate. L'historien qui journalise des données de procédé rattachées à une pièce contrôlée, puis se synchronise vers un serveur que tout le bureau peut atteindre. Pour un atelier domestique, ce passage est déjà le point de contrôle le plus négligé du bâtiment. Pour un atelier à maison mère étrangère, chacun de ces passages porte une seconde question empilée sur la première : non seulement s'agit-il d'une donnée contrôlée, mais qui, au niveau du groupe, peut atteindre le système sur lequel elle a atterri ?

L'exemple qui rend cela concret n'est pas un méchant. C'est votre meilleur ingénieur automaticien. Une ligne tombe à Nashua à 2 heures du matin. L'ingénieur de contrôle-commande de la maison mère, à Turin, a mis en service exactement cette cellule quatre fois et peut la remettre en marche en vingt minutes par une session à distance. Il est une foreign person. L'automate détient un programme dérivé de données techniques contrôlées. Cette session à distance, c'est toute la réglementation en un seul partage d'écran, et le responsable d'équipe va prendre cette décision à 2 heures du matin, à moins que l'architecture ne l'ait déjà prise pour lui.

La frontière se conçoit donc à l'intérieur de l'atelier plutôt qu'autour. Segmentez le réseau OT pour qu'un poste de bureau accessible ne soit pas un chemin vers un automate. Acheminez les transferts nécessaires par un conduit contrôlé et journalisé plutôt que par une clé USB. Décidez d'avance, par écrit, quelles cellules détiennent des programmes contrôlés et qui peut les atteindre, afin que la décision de 2 heures du matin soit une consultation et non un arbitrage. Et là où le support d'ingénierie du groupe est réellement la bonne réponse, faites-le autoriser dans les règles par le conseil juridique pendant que la ligne tourne encore, plutôt que de découvrir la question pendant un incident.

C'est pourquoi je traite la frontière de données et le modèle opérationnel comme un seul problème de conception et non deux. Le même fil convergé qui donne à un évaluateur un chemin auditable unique du contrat jusqu'à la coupe est le fil qui donne au compte de résultat une vue honnête de ce que fait réellement l'atelier. Construit une fois, il est la preuve de l'auditeur et le tableau de bord du dirigeant. Construit deux fois, ce sont deux systèmes qui se contredisent.

Chaque maison mère entend la frontière de données réservée aux US-persons comme un mur entre elle et l'entreprise qu'elle détient. Cette lecture tue plus de ces projets que n'importe quel contrôle, et elle est fausse. Bien construite, la maison mère ne perd presque rien de ce dont elle a réellement besoin.

Revenez à la définition. La donnée technique au sens de l'ITAR est l'information requise pour concevoir, fabriquer, tester, réparer ou modifier un article de défense, et le 22 CFR 120.33(b) exclut expressément les informations commerciales de base sur la fonction ou la finalité ainsi que les descriptions générales de systèmes. Les comptes consolidés ne sont pas des données techniques. Les prises de commandes, le carnet de commandes, la ponctualité de livraison, le taux de rebut, le débit, les effectifs, les investissements, les indicateurs qualité et le tableau SQDIP (sécurité, qualité, délais, en-cours, productivité) ne sont pas des données techniques. Presque rien de ce que le conseil d'une maison mère examine réellement un mardi n'est une donnée technique.

La tâche de conception est donc précise, et c'est une tâche opérationnelle plutôt que juridique : donner à la maison mère chaque chiffre auquel elle a droit, et aucun des plans auxquels elle n'a pas droit. En pratique, la couche de reporting est construite pour franchir la frontière et la couche d'ingénierie est construite pour ne pas la franchir. Cette distinction est toute l'architecture, et c'est pourquoi cela se décide au moment de la conception, où cela coûte une conversation, plutôt qu'au moment de l'évaluation, où cela coûte une refonte de plateforme.

Je suis le partenaire des opérations, et je suis précis sur la limite de ce rôle. Je mets en place et je pilote l'opération américaine conforme : l'atelier, le modèle opérationnel, la construction de l'environnement IT et OT, la frontière de données réservée aux US-persons, et les preuves de préparation pour le jalon que vous cherchez à franchir. La constitution de l'entité, l'enregistrement ITAR et DDTC, l'atténuation FOCI, les qualifications de licence et d'exemption, et les questions CFIUS (le contrôle fédéral des investissements étrangers aux États-Unis) restent du ressort de votre conseil juridique d'entreprise et de votre conseil en contrôle des exportations. Je me coordonne avec eux et j'assume le résultat opérationnel.

Cette ligne n'est pas de la modestie, c'est la raison pour laquelle le chantier tient. Savoir si une architecture précise remplit les conditions de l'exclusion du 22 CFR 120.54, si un transfert précis exige une licence, si votre structure de détention déclenche une notification à la DDTC : ce sont des qualifications juridiques aux conséquences juridiques. Un architecte des opérations qui y répond à votre place vous vend un passif d'une voix assurée. Ce que je fais, c'est construire l'opération de sorte que ces qualifications soient nettes, documentées et faciles, et que la preuve existe avant que quiconque ne la demande.

Ce chantier n'est ni théorique ni rare. En avril 2026, American Rheinmetall a obtenu la certification CMMC Level 2 sur l'ensemble de ses sites de production américains : une opération américaine à maison mère allemande qui tient la posture, sur le registre public. J'ai moi-même été l'opérateur de la maison mère étrangère aux États-Unis, en dirigeant les opérations nord-américaines d'une multinationale italienne de capteurs, et je mets actuellement en place des opérations américaines de fabrication de défense pour la filiale d'une maison mère canadienne. La voie existe et des gens l'empruntent. Ce qui est rare, c'est l'opérateur qui l'emprunte avec vous. Six catégories de cabinets aideront un fabricant étranger à entrer sur le marché américain, du conseil juridique FOCI à la structuration Big Four en passant par le conseil en implantation et les prestataires IT spécialisés CMMC, et chacun d'eux vous remet un document, un bâtiment ou un certificat. Le Standards Guide for Foreign Partners du Chief Information Officer du DoD est ce qui se rapproche le plus d'une synthèse officielle, et c'est un référentiel de contrôles plutôt que la séquence d'un opérateur. Il reste à quelqu'un à mettre en place et à piloter l'opération. Cette couche est le travail, et c'est celle que j'assume.

La conclusion est dans le titre. Votre maison mère est une foreign person à l'égard des données techniques de votre filiale américaine : les plans, les fichiers dérivés et les clés restent donc à l'intérieur d'une frontière réservée aux US-persons, tandis que le chiffré, les comptes et la gouvernance la franchissent librement. L'ITAR trace cette frontière, le NIST SP 800-171 la tient, et la CMMC Level 2 prouve qu'elle tient. Construisez les trois en un seul fil et l'évaluateur trouve les contrôles déjà en fonctionnement, parce qu'ils sont la manière dont le travail se fait. Construisez-les comme trois conversations avec des prestataires et vous apprenez laquelle était fausse au moment du jalon, le contrat sur la table. Un seul fil. Deux drapeaux.