Kiedy oprogramowanie podlega pod dual use? Praktyczny test przed podpisaniem kontraktu eksportowego
Kryptografia, cyberbezpieczeństwo, AI do analizy obrazu. Produkty z tych obszarów mogą wymagać zezwolenia na eksport. Jak to sprawdzić krok po kroku.
Software house sprzedaje oprogramowanie klientowi spoza UE i nikt w firmie nie zadaje pytania o kontrolę eksportu. To częstsza sytuacja, niż mogłoby się wydawać. Za eksport produktu podwójnego zastosowania bez zezwolenia grozi odpowiedzialność karna zarządu i utrata kontraktu.
Czym są technologie dual use
Technologie podwójnego zastosowania to produkty cywilne, które mogą mieć zastosowanie wojskowe. W przypadku oprogramowania chodzi najczęściej o trzy obszary: kryptografię, narzędzia cyberbezpieczeństwa (zwłaszcza ofensywne) oraz systemy analizy danych możliwe do wykorzystania wojskowo, na przykład rozpoznawanie obiektów na zdjęciach satelitarnych.
Podstawą prawną w całej UE jest rozporządzenie 2021/821. Załącznik I do tego rozporządzenia to lista kontrolna: jeśli produkt pasuje do któregoś z opisów, jego eksport poza UE wymaga zezwolenia.
Trzy pytania, które trzeba zadać
Po pierwsze: czy produkt wykorzystuje kryptografię? Kategoria 5 część 2 załącznika obejmuje produkty wykorzystujące szyfrowanie. Większość typowego oprogramowania łapie się na wyłączenia, na przykład dla produktów powszechnie dostępnych. Ale to trzeba sprawdzić i udokumentować, a nie założyć.
Po drugie: dokąd trafia produkt? Eksport wewnątrz UE jest co do zasady wolny. Schody zaczynają się przy krajach trzecich, a szczególnie przy krajach objętych sankcjami lub embargiem.
Po trzecie: kto i do czego będzie używał produktu? Nawet jeśli produkt nie znajduje się na liście, organ może objąć go kontrolą, gdy istnieje ryzyko wykorzystania wojskowego. To tak zwana klauzula catch-all i to ona najczęściej zaskakuje founderów.
Co z tym zrobić w praktyce
Klasyfikację produktu warto przeprowadzić raz, porządnie, z dokumentacją. Potem wystarczy ją aktualizować przy większych zmianach w produkcie. Jeśli produkt podlega kontroli, w Polsce zezwolenia wydaje minister właściwy do spraw gospodarki, a samo postępowanie da się zaplanować tak, żeby nie blokowało sprzedaży.
Najgorszy scenariusz to nie robić nic i dowiedzieć się o problemie od klienta, banku albo organu.