El ITAR (International Traffic in Arms Regulations) es el conjunto de regulaciones del Departamento de Estado de Estados Unidos que controla el flujo internacional de tecnología militar y de defensa. Cubre la exportación, la importación temporal y la reexportación de artículos, servicios y datos técnicos enumerados en la USML (United States Munitions List). Está codificado en 22 CFR Partes 120-130 e implementa la Arms Export Control Act (22 USC § 2778). Lo administra la DDTC (Directorate of Defense Trade Controls).
Una empresa no americana puede quedar sujeta al ITAR aunque nunca haya operado en territorio estadounidense. La regla es funcional: si el producto, dato o servicio está en la USML, el ITAR lo sigue allá donde vaya. Reexportar un componente USML, transferirlo a un tercer país o dar acceso a datos técnicos a una persona no americana puede configurar una violación. Las sanciones civiles alcanzan en 2025 los 1.271.078 dólares por infracción.
Qué es el ITAR y cuál es su marco legal
El ITAR es uno de los dos grandes regímenes de control de exportaciones de Estados Unidos y regula el flujo internacional de tecnología militar y de defensa estadounidense.. Forma parte del Título 22 del Code of Federal Regulations (CFR), que cubre las relaciones exteriores de Estados Unidos. Su finalidad declarada es proteger la seguridad nacional y los objetivos de política exterior del país.
El ITAR no funciona de forma aislada. Se apoya en tres pilares legales: la AECA (Arms Export Control Act) como ley habilitante, la USML como lista de bienes y datos controlados, y la DDTC como autoridad administrativa.
La AECA y el origen del ITAR
La AECA (22 USC § 2778) es la ley federal que autoriza al Presidente a controlar la exportación e importación de artículos y servicios de defensa. Fue aprobada en 1976, en plena Guerra Fría, para canalizar las exportaciones de armamento estadounidense hacia objetivos diplomáticos coherentes. El ITAR es el reglamento ejecutivo que desarrolla las disposiciones de la AECA.
La distinción es relevante. Cuando una empresa habla de «violación del ITAR» técnicamente está incumpliendo dos normas a la vez: la regulación administrativa (ITAR) y la ley estatutaria (AECA). Esto explica por qué los comunicados oficiales del Departamento de Estado citan siempre ambas.
La DDTC: la entidad que administra el ITAR
La DDTC (Directorate of Defense Trade Controls) es la oficina del Departamento de Estado de Estados Unidos responsable de administrar el ITAR. Forma parte del Bureau of Political-Military Affairs. Sus funciones principales son tres: clasificar artículos en la USML, conceder licencias de exportación de defensa y aplicar sanciones civiles y administrativas por incumplimiento.
La DDTC opera a través del DECCS (Defense Export Control and Compliance System), la plataforma digital donde las empresas se registran y solicitan licencias. La aplicación física de las normas ITAR la realizan agentes especiales de Homeland Security Investigations.
Qué regula el ITAR: las tres categorías de actividad controlada
El ITAR regula tres tipos de actividad. La exportación de artículos de defensa físicos, la prestación de servicios de defensa y la transferencia de datos técnicos vinculados a la USML. Las tres categorías están sujetas al mismo régimen de licencias y a las mismas sanciones civiles y penales.
Artículos de defensa (defense articles)
Los artículos de defensa son bienes físicos diseñados, desarrollados, configurados, adaptados o modificados específicamente para una aplicación militar. La definición está en 22 CFR § 120.31. Incluye armamento, plataformas, componentes y subcomponentes que aparecen en cualquiera de las 21 categorías de la USML.
El ITAR no exige que el artículo se haya usado nunca en un contexto militar. Basta con que haya sido diseñado para esa finalidad. Un componente electrónico desarrollado originalmente para un misil queda sujeto al ITAR aunque después se intente vender en un mercado civil.
Servicios de defensa (defense services)
Los servicios de defensa son cualquier asistencia, formación o consultoría prestada a una persona extranjera en relación con un artículo de defensa. La definición está en 22 CFR § 120.32. Cubre el diseño, desarrollo, fabricación, modificación, reparación, mantenimiento y uso del artículo.
Este punto es crítico para empresas no americanas con ingenieros que asesoran a clientes de defensa, instalan equipos USML o forman a operadores. Un técnico que viaja a configurar un sistema clasificado como artículo de defensa está prestando un servicio de defensa. La obligación aplica aunque ni el viaje ni la formación impliquen mover hardware.
Datos técnicos (technical data)
Los datos técnicos son la información requerida para el diseño, desarrollo, producción, fabricación, ensamblaje, operación, reparación, ensayo, mantenimiento o modificación de artículos de defensa. La definición operativa está en 22 CFR § 120.33. Incluye planos, dibujos técnicos, software, documentación, fórmulas, manuales y, en general, cualquier información clasificable como know-how.
El concepto que más sorprende a empresas no americanas es la «deemed export». Compartir datos técnicos USML con una persona no americana, aunque ocurra dentro de Estados Unidos o por correo electrónico, equivale a una exportación. Un ingeniero brasileño contratado por una filial estadounidense puede recibir datos técnicos solo si la empresa cuenta con la licencia o exención correspondiente.
Qué es la USML y cómo saber si tu producto está incluido
La USML (United States Munitions List) es la lista codificada en 22 CFR § 121.1 que enumera los artículos, servicios y datos técnicos sujetos al ITAR. Está dividida en 21 categorías. Si un producto, software o documento técnico encaja en cualquiera de ellas, queda automáticamente bajo jurisdicción ITAR.
Las 21 categorías de la USML
Las categorías de la USML cubren el espectro completo del armamento moderno y de las tecnologías con aplicación militar exclusiva:
- I: Armas de fuego y armamento ligero
- II: Cañones y artillería
- III: Munición
- IV: Vehículos de lanzamiento, misiles balísticos, cohetes, torpedos, bombas y minas
- V: Materiales energéticos y propulsores
- VI: Buques de guerra y equipo naval
- VII: Vehículos militares terrestres
- VIII: Aeronaves militares y equipos asociados
- IX: Equipos militares de entrenamiento
- X: Equipo de protección personal
- XI: Equipo electrónico militar
- XII: Equipos de control de fuego, láseres, óptica
- XIII: Materiales y equipos auxiliares de defensa
- XIV: Agentes toxicológicos y equipos químico-biológicos
- XV: Naves espaciales y equipos asociados
- XVI: (Reservada)
- XVII: Artículos clasificados, datos técnicos y servicios de defensa no enumerados
- XVIII: Armas de energía dirigida
- XIX: Motores de turbina de gas y equipo asociado
- XX: Vehículos sumergibles y equipo oceanográfico
- XXI: Artículos, datos técnicos y servicios no enumerados específicamente
Sectores civiles que pueden quedar afectados
El ITAR no afecta solo a fabricantes de armamento. Empresas en sectores aparentemente civiles pueden tocar la USML por la naturaleza de sus componentes o procesos. Las áreas con mayor exposición indirecta son cuatro: la electrónica especializada (categoría XI), la aeroespacial (categorías VIII y XV), los motores de turbina (categoría XIX) y las tecnologías ópticas y de imagen (categoría XII).
Hasta 1996 incluso la criptografía civil estaba clasificada como artículo de defensa USML. La reclasificación de tecnologías es continua: lo que hoy está bajo el EAR puede pasar mañana al ITAR, y al revés. Cualquier empresa con productos en la frontera entre civil y militar debe revalidar la jurisdicción de forma periódica.
Cuándo aplica el ITAR a una empresa no americana
El ITAR aplica a una empresa no americana cuando obtiene, utiliza, reexporta o retransfiere artículos USML, presta servicios de defensa, accede a datos técnicos USML o intermedia en operaciones de defensa. La jurisdicción es funcional, no territorial: importa lo que se hace con el bien o el dato, no dónde está la empresa.
Las empresas no americanas suelen subestimar este punto porque asocian la regulación estadounidense con la presencia física en Estados Unidos. La AECA y el ITAR fueron diseñados precisamente para cubrir las operaciones internacionales de los artículos de defensa de origen americano.
Reexport y retransfer (transferencias entre terceros países)
El reexport ocurre cuando una empresa fuera de Estados Unidos envía un artículo USML a un tercer país. El retransfer ocurre cuando ese mismo artículo cambia de usuario final dentro del mismo país no estadounidense. Ambas operaciones requieren autorización previa de la DDTC.
Una empresa europea que recibe componentes USML de un proveedor americano no puede revenderlos libremente. Cualquier movimiento posterior está sometido a la condición original de exportación y a la posible obligación de obtener una nueva licencia ITAR.
Acceso a datos técnicos por foreign persons
El acceso a datos técnicos USML por personas no estadounidenses es una de las violaciones más frecuentes documentadas por la DDTC. La regla aplica a empleados, contratistas, becarios e incluso visitantes con acceso a archivos digitales o documentación impresa.
Una empresa no americana con plantilla multinacional debe segregar el acceso a datos técnicos USML por nacionalidad. La autorización para que un foreign person acceda a datos técnicos requiere normalmente una licencia DDTC específica o una exención documentada.
Brokering de artículos de defensa (ITAR Part 129)
El brokering, regulado en 22 CFR Part 129, es la actividad de intermediación en operaciones de artículos o servicios de defensa, incluida la financiación, transporte, reaseguro o promoción comercial. Las obligaciones bajo el ITAR con respecto al brokering aplican principalmente a entidades americanas, entidades ubicadas en EE. UU., y entidades no americanas controladas por U.S. persons. En estos casos, los brokers no americanos también deben registrarse en la DDTC y obtener autorización para sus operaciones.
El registro como broker es independiente del registro como manufacturer o exporter. Una empresa puede ser únicamente intermediaria y aun así estar plenamente sujeta al ITAR.
Caso real: el acuerdo RTX de 2024
En agosto de 2024 el Departamento de Estado de Estados Unidos cerró con RTX Corporation (anteriormente Raytheon) un acuerdo administrativo para resolver 750 violaciones de la AECA y el ITAR. La sanción civil acordada fue de 200 millones de dólares, de los cuales 100 millones quedaron suspendidos a cambio de medidas correctivas en el programa de cumplimiento de la empresa. El acuerdo, de 36 meses de duración, exigió la designación de un Special Compliance Officer externo y al menos una auditoría externa del programa ITAR.
El caso ilustra dos puntos clave para cualquier empresa expuesta al ITAR. Primero, la magnitud económica: 200 millones de dólares en una sola actuación administrativa. Segundo, las consecuencias estructurales. Las sanciones del ITAR rara vez son solo monetarias. Casi siempre incluyen supervisión externa prolongada y cambios obligatorios en la organización interna.
EAR e ITAR: diferencia clave para empresas no americanas
La diferencia principal entre EAR e ITAR está en la naturaleza del artículo controlado. El EAR (Export Administration Regulations) cubre artículos de doble uso, con aplicación civil y militar, bajo la autoridad del Departamento de Comercio. El ITAR cubre artículos exclusivamente de defensa, bajo la autoridad del Departamento de Estado. Las dos regulaciones funcionan en paralelo y rara vez se solapan.
| Criterio | EAR | ITAR |
|---|---|---|
| Agencia administradora | BIS (Bureau of Industry and Security), Departamento de Comercio | DDTC (Directorate of Defense Trade Controls), Departamento de Estado |
| Lista de control | CCL (Commerce Control List) | USML (United States Munitions List) |
| Tipo de artículo | Doble uso (civil-militar) | Exclusivamente de defensa |
| Marco legal | ECRA (50 USC §§ 4801-4852) | AECA (22 USC § 2778) |
| Sanción civil máxima por violación (2025) | $374.474 o doble del valor de la transacción | $1.271.078 o doble del valor de la transacción |
| Sanción penal máxima | $1.000.000 + 20 años de prisión | $1.000.000 + 20 años de prisión |
| Regla de minimis para foreign-made items | Sí (10% o 25% según destino) | No (la USML controla el componente independientemente del porcentaje) |
La otra rama del sistema funciona con lógica distinta. Para profundizar en el régimen específico del EAR y la lista CCL, conviene revisar el artículo dedicado a las Export Administration Regulations.
Consecuencias del incumplimiento del ITAR
El incumplimiento del ITAR genera tres tipos de consecuencias: sanciones civiles administrativas, sanciones penales con prisión y debarment (inhabilitación) que prohíbe operar en el comercio de defensa. Las tres pueden imponerse de forma combinada para los mismos hechos.
Sanciones civiles (multas administrativas)
La DDTC impone sanciones civiles bajo la AECA sin necesidad de probar intencionalidad. La cuantía máxima por violación, ajustada a 2025, es de 1.271.078 dólares o el doble del valor de la transacción, lo que sea mayor. Cada operación no autorizada cuenta como una violación independiente, lo que permite acumular cifras millonarias rápidamente.
La mayoría de las sanciones civiles se cierran mediante un Consent Agreement, un acuerdo administrativo que combina la multa con medidas correctivas obligatorias. Estos acuerdos suelen durar entre 30 y 48 meses e incluyen la designación de un compliance officer externo y auditorías independientes.
Sanciones penales (procesamiento por DOJ)
Las sanciones penales se aplican a violaciones willful, es decir, con conocimiento o desconsideración deliberada de la ilegalidad. El Department of Justice (DOJ) las persigue bajo la AECA. La pena máxima por violación es de 1.000.000 de dólares y hasta 20 años de prisión.
Los procesos penales por ITAR suelen acumularse con cargos por conspiración, declaraciones falsas o contrabando, lo que eleva el riesgo penal global. Las empresas extranjeras no quedan al margen: el DOJ ha procesado a directivos y entidades fuera de Estados Unidos por esquemas de reexportación o adquisición fraudulenta de tecnología USML.
Statutory debarment vs administrative debarment
El debarment es la inhabilitación que prohíbe a una persona física o jurídica participar, directa o indirectamente, en el comercio de artículos o servicios de defensa. Existen dos modalidades. El statutory debarment es automático y obligatorio tras una condena penal por violación de la AECA. El administrative debarment es discrecional y lo impone la DDTC tras un proceso administrativo, sin necesidad de condena penal previa.
Para una empresa especializada en defensa, el debarment equivale al cierre operativo en el mercado estadounidense y, por extensión, en cualquier mercado dependiente de tecnología de origen americano. La reinstauración de privilegios de exportación no es automática: requiere una petición formal al Departamento de Estado.
Voluntary disclosure como factor mitigador
La voluntary disclosure es la comunicación voluntaria de una violación al DDTC antes de que la agencia la detecte por sus propios medios. La DDTC reconoce expresamente esta figura como factor mitigador en la determinación de sanciones administrativas. La regulación está en 22 CFR § 127.12.
La declaración voluntaria no garantiza la exoneración, pero puede reducir significativamente la cuantía de la sanción y, en algunos casos, evitar la apertura de procedimiento penal. Las empresas con programas de cumplimiento maduros suelen utilizarla cuando una auditoría interna detecta una infracción no advertida previamente.
Pasos básicos para una empresa no americana expuesta al ITAR
Una empresa no americana con potencial exposición al ITAR debe verificar la jurisdicción de sus productos, mapear su cadena de suministro y formalizar un programa de cumplimiento básico. La secuencia importa: empezar por las licencias antes de saber si el producto está bajo USML es una de las causas más frecuentes de error.
Análisis jurisdiccional de los productos
El primer paso es determinar si los productos, software o datos técnicos de la empresa están en la USML, en la CCL o fuera de ambas. Esta clasificación no es opcional: orienta toda la estructura de cumplimiento posterior y define qué agencia tiene jurisdicción.
En casos de duda, el ITAR permite solicitar una Commodity Jurisdiction (CJ) determination al DDTC. Es el procedimiento formal para obtener una respuesta vinculante sobre si un producto concreto está sujeto al ITAR o al EAR.
Mapeo de la cadena de suministro
El segundo paso es identificar todos los puntos donde la empresa toca artículos USML, datos técnicos USML o servicios de defensa. Esto incluye proveedores, distribuidores, filiales, integradores y socios tecnológicos. Cada nodo es un punto potencial de exposición y debe quedar reflejado en la matriz de riesgos.
La cadena no termina en el cliente final: la cláusula contractual de re-export y retransfer obliga a controlar lo que ocurre con el bien después de la entrega. Las violaciones más graves suelen producirse en estas operaciones posteriores.
Programa de cumplimiento básico
El tercer paso es formalizar un programa de cumplimiento ITAR. Los componentes mínimos son cinco: compromiso de la dirección, evaluación de riesgos, controles internos, auditoría interna y formación periódica. La estructura coincide con los cinco componentes del programa de cumplimiento OFAC y BIS, lo que permite integrar los tres regímenes en una arquitectura única.
La selección y obtención de las licencias específicas para cada operación regulada es el siguiente paso lógico, una vez que el programa básico está en marcha. Cubrimos ese proceso en un artículo dedicado a las licencias de exportación de la BIS y la DDTC [2.4].
Preguntas frecuentes sobre el ITAR
¿Qué pasa si una empresa europea recibe datos técnicos de un proveedor americano sujeto al ITAR?
La empresa europea queda obligada a tratar esos datos conforme al ITAR. No puede compartirlos con personas no americanas sin la autorización correspondiente, ni reexportarlos a terceros países sin una nueva licencia DDTC. La condición original de la exportación viaja con el dato y se mantiene de forma indefinida hasta que cambie la clasificación o se obtenga una autorización específica.
¿Es lo mismo «estar certificado por el ITAR» que cumplir con el ITAR?
No. La certificación ITAR no existe como tal. Lo que existe es la obligación de registrarse en el DDTC u obtener autorizaciones del DDTC (si aplica) y de cumplir las obligaciones materiales del régimen. Cualquier proveedor que ofrezca «certificación ITAR» como producto comercial está usando una etiqueta sin respaldo regulatorio. El cumplimiento se demuestra con un programa documentado, no con un sello.
¿Cuándo es obligatoria una declaración voluntaria al DDTC?
La voluntary disclosure es, por definición, voluntaria. Sin embargo, el ITAR sí impone obligaciones de notificación específica en dos supuestos: violaciones que afectan a países proscritos del 22 CFR § 126.1 (entre ellos países bajo embargo de armas) y exportaciones temporales no devueltas en los plazos previstos. En esos casos la comunicación al DDTC deja de ser estratégica y se convierte en obligación regulatoria.
¿El ITAR tiene una regla de minimis como el EAR?
No. La regla de minimis del EAR permite excluir productos extranjeros con 10% o 25% o menos de contenido controlado de origen estadounidense. El ITAR no contempla esa figura. Si un componente USML está integrado en un producto extranjero, el producto resultante queda sujeto al ITAR con independencia del porcentaje que represente el componente USML sobre el valor total.
Descarga gratuita: Guía OFAC/BIS/DOJ para empresas no americanas
El análisis oficial de las tres agencias estadounidenses sobre cómo aplican sus regulaciones de sanciones y controles de exportación a empresas extranjeras. Casos reales de enforcement, criterios de jurisdicción y advertencias específicas para foreign companies.
Conclusión: el ITAR como riesgo estratégico, no técnico
El ITAR no es solo un asunto operativo de exportación. Es una jurisdicción extraterritorial con sanciones civiles que superan el millón de dólares por violación. Sus consecuencias estructurales —debarment, monitoreo externo, cláusulas contractuales perpetuas— afectan al modelo de negocio completo. Una empresa no americana expuesta al ITAR debe tratarlo como riesgo estratégico, integrarlo en la arquitectura de cumplimiento general y revisar periódicamente la clasificación jurisdiccional de sus productos.
En Burke Compliance acompañamos a empresas no americanas en tres frentes. La evaluación de su exposición al ITAR, el diseño de programas de cumplimiento integrados con OFAC y EAR, y la gestión de procesos de voluntary disclosure ante la DDTC. Si tu empresa opera con tecnología, datos o componentes con potencial nexo de defensa, una evaluación jurisdiccional inicial puede evitar exposiciones desproporcionadas frente al coste del análisis.
