権利·2026年6月4日

輸出管理が自分に効くか — 外為法と海外規制の切り分け入門

GitHub 公開・海外協業・規制対象技術の海外提供でソフトが輸出管理に触れることがある。多くは公知例外で外れるが「自分に効くか」の切り分けが最初の仕事。デュアルユースと役務の考え方・5カテゴリ+海外トリガ・自己診断チェックリストを外為法主軸で示す入門。

輸出管理外為法デュアルユース暗号個人開発OSS

この記事の要点

暗号や AI を含むソフトを国境を越えて出す(GitHub 公開・海外協業・規制対象技術の海外提供)とき、外為法の該非判定(規制リストに該当するか否かの照合)を意識すべき場合があります。ポイントは『サーバが海外にあるか』ではなく『規制対象の技術を、誰が取得・利用できる形にしたか』です。ただし大半の OSS 公開は公知技術の例外に収まり、まず必要なのは「自分に効くか」を切り分けることです。
対象読者: 個人開発・OSS 公開をする方を主軸に、企業で輸出管理を担う方も対象とする日本在住の方。前提知識は不要です。
得られる成果: ソフトが対象になりうる仕組み(デュアルユースと「役務」扱い) + 自分に効くかを見る 5 カテゴリ + 海外公開/協業トリガ + 海外規制(米 EAR・EU・中国)の最小知識 + 国境を越える前の自己診断チェックリスト。
扱わないこと(別途、CISTEC・経産省・輸出管理弁護士へ): 個別案件の該非判定の確定 / 許可申請の代行 / 制裁(SDN リスト)の詳細運用 / 個人情報の越境移転(GDPR・個人情報保護法。これは輸出規制とは別軸です)。

Key Points (for international readers)

This is a primer on Japan's Foreign Exchange and Foreign Trade Act (FEFTA): shipping software across borders — by publishing on GitHub, collaborating overseas, or making controlled technology accessible to non-residents — can trigger an export-control "classification determination," though most open-source publication falls under a publicly-available exemption.
The method is portable: dual-use logic (a tool usable for both civilian and military ends), the five sensitive software categories (cryptography / AI / quantum / EDA / intrusion software), and the publicly-available exemption appear in the US EAR and EU Dual-Use rules too — but the scope, exemptions, and procedures differ by jurisdiction (e.g., the EU's Article 5 cyber-surveillance catch-all has no exact EAR counterpart, and AI model weights are controlled differently in each regime — the US added a model-weight control (ECCN 4E091) under the 2025 AI Diffusion Rule, currently under a non-enforcement posture but still on the books in the CFR — GAO B-337935 held that the non-enforcement announcement is itself a CRA rule), so confirm each regime directly rather than just matching list numbers.
Building under US or EU jurisdiction? The US Foreign Direct Product Rule can reach products made with US technology even outside the US, and AI export rules are in flux as of 2026-06 — check BIS directly rather than relying on summaries.
Out of scope (consult an export-control specialist): confirming a specific classification, filing for a license, sanctions/SDN screening details, and cross-border personal-data transfer (GDPR / Japan's APPI — a separate regime, not export control).

執筆時点: 2026-06 / 対象法域: 日本 / 米国 / EU / 中国(法域別の差分を各 H2 で明示)/ last_updated: 2026-06-04 更新履歴: 2026-06-04 初版

本記事は教材であり、法的助言ではない

輸出管理は、品目・仕向地・用途・需要者で結論が変わり、違反は刑事罰(個人で懲役・罰金、法人で輸出禁止処分)を伴う領域です。本記事は教育目的の一般的な整理であり、特定案件の合法性を判断・保証するものではありません。扱わない範囲: 個別の該非判定の確定 / 許可申請の代行・要否判断 / 制裁(SDN リスト)の詳細運用 / 個人情報の越境移転。実際の該非判定・許可申請・違反対応は必ず CISTEC(安全保障貿易情報センター)/ 経済産業省安全保障貿易管理課 / 社内輸出管理部署 / 輸出管理弁護士にご確認ください。本記事の情報は「現状有姿(AS IS)」で提供され、利用・信頼した結果生じたいかなる損害についても、執筆者および YATA-NODE は一切の責任を負いません。ご利用は自己責任でお願いします。法令は経時改正されるため、利用時点での最新版を必ず確認してください。

本シリーズの位置づけ: ハブは公開前の権利チェック。関連はスクレイピングの法的境界(海外サイトへのアクセス境界)/ OSS ライセンスの見極め(暗号ライブラリを含む依存の確認)。各論記事は独立に読めます(順読不要)。

用語ミニ解説(はじめての方へ):

該非判定(がいひはんてい): 輸出するソフト・技術が、規制リストに「該当」か「非該当」かを法令と照合して判定する手続き。輸出管理の入口です。
デュアルユース(dual-use、軍民両用): 暗号・AI・半導体設計など、民生品としても軍事品としても使える技術。輸出管理が対象にする中心です。
役務(えきむ)取引: モノの輸出(貨物)とは別に、ソフト・技術・ノウハウを国外に提供する取引。メール添付・海外への push・海外デプロイ・海外社員のアクセスまで含みえます(外為法 25 条)。ただし対象は非居住者・外国法人等への技術提供を伴う場合で、自社のみが利用し提供者(クラウド事業者等)が中身にアクセスできない海外保存・デプロイや、公知技術の提供(貿易外省令 9 条 2 項)は対象外です。
publicly available 例外 / 公知技術例外: すでに一般に公開された技術は規制対象外、という例外。OSS 公開の大半がここに収まります(米 EAR 734.7 / 日本の公知技術例外)。
キャッチオール規制: リストに載っていなくても、大量破壊兵器(WMD)転用などの懸念がある場合に許可が必要になる仕組み。
EAR / ITAR(米)/ Dual-Use Regulation(EU)/ OECL(中): それぞれ米・EU・中国の輸出管理法令。日本の外為法に相当します。
FDPR(Foreign Direct Product Rule): 米国の指定された技術・ソフトの direct product(またはそれで作る装置・主要部品の産物)である海外製品が、特定の仕向地・需要者・用途に向かう場合に米国規制が及ぶ域外適用のルール(15 CFR §734.9。条件は product scope + 仕向地/需要者の両方)。単に米国製品を使っただけで一律発動するわけではなく、米国原産割合で見る de minimis(§734.4)とは別制度です。

なぜ「自分には関係ない」ソフトが対象になりうるか

冷蔵庫を作る技術は軍事に転用しにくいですが、暗号・AI・量子計算・半導体設計・侵入ソフトウェアは民生にも軍事にも使えます。これをデュアルユース(軍民両用) と呼び、輸出管理は「民生として流通させたいが、軍事転用されると国家安全保障を脅かす品目」を多国間で合意し(レジーム自体に法的拘束力はなく、各国が国内法に落とし込んで初めて効力を持ちます)、各国が国内法の許可制度に落とし込む仕組みです。日本では外為法(外国為替及び外国貿易法)がその役割を担います。

ここで個人開発者が見落としがちなのが、ソフトは「役務(技術提供)」として扱われる点です。外為法は、モノを国外発送する「貨物」とは別に、ソフト・技術・ノウハウの国外提供を「役務取引」として 25 条で規律します。具体的には、次のような行為が、非居住者・外国法人等が規制対象技術へアクセス可能になる形で行われる場合に、役務取引の射程に入りえます(自社のみが利用し提供者が中身にアクセスできない保存・デプロイや、公知技術の提供は対象外)。

メール添付でのソースコード送信
海外開発者の private GitHub リポジトリへの push
海外データセンターへのデプロイ
海外社員の社内 Slack / Confluence へのアクセス許可

つまり「ソフトを USB で物理的に渡したわけじゃない」では済まないということです。クラウドや GitHub を当たり前に使う現代の開発では、知らないうちに「役務の提供」をしている可能性があります。

ただし、ここで一気に不安になる必要はありません。この仕組みには大きな例外が用意されています。すでに一般公開されている技術は規制から外れる公知技術例外(米国では publicly available、EAR 734.7) があり、GitHub・npm・PyPI・crates.io などへの「誰でもダウンロードできる」一般公開は、その大半がこの例外に収まります。ただし公知例外は「不特定多数が入手可能」が条件で、private リポジトリ・招待制・gated モデル(承認した相手にだけ配布)・特定の海外の相手に閉じた提供は公知ではない点に注意してください。次章で「では何を見れば自分に効くか分かるのか」を切り分けます。

自分に効くか判断する — 5 カテゴリと海外トリガ

「自分に効くか」を判断する起点は、自分のソフトの主要機能が規制対象の代表的なカテゴリに当たるかです。開発者がまず遭遇しやすい代表例として次の 5 つを取り上げます(網羅的な分類ではなく、ほかにも対象になり得る領域があります)。

カテゴリ	該当の目安	個人開発者の遭遇率
暗号(Cryptography)	対称 56 ビット超・非対称 RSA 512 ビット超・ECC 112 ビット超など	高(ライブラリ依存で意識せず該当しやすい)
AI モデル / 機械学習	学習計算量(FLOPs)・チップ性能など(枠組みは流動的)	中〜高
量子コンピュータ	物理量子ビット数・量子鍵配送(QKD)	低(研究機関が中心)
EDA(半導体設計自動化)	先端ノード(3nm 級)相当の設計ツール	低(該当業種に限定)
侵入ソフト / サイバー監視	検出回避 + データ抽出 + 実行経路の改変	中(セキュリティ業界・OSS)

該当の閾値は、米国 EAR では ECCN(品目分類番号)、日本では貨物等省令の別表項番という別々のリストで定められています(対応表はありますが同一ではありません)。個人開発者がまず確認しやすい入口としては、特に次の 3 ポイントが実用的です(他の観点が要らないわけではありません)。

暗号ライブラリの組み込み: AES / RSA / ECDSA を含む OSS は、形式的には暗号カテゴリ(米 5D002 等)に当たりますが、publicly available 例外 / 公知技術例外で大半クリアになります。「暗号を使っている = 即アウト」ではありません。
AI モデルの公開地域: Llama や Stable Diffusion のようなモデルのライセンス側の地理制限に注意します(例: Llama の一部モデルは EU 居住者・EU 企業への提供を制限)。ただしこれはライセンス契約上の制限であって、政府の輸出規制そのものとは別です(OSS ライセンスの見極めの延長で考えると整理しやすいです)。
ペンテストツール / 脆弱性研究: 侵入ソフトのカテゴリに触れますが、Wassenaar の改訂で「脆弱性開示」「サイバーインシデント対応」目的の技術提供は除外が明記されています(研究・教育一般を丸ごと除外するものではない点に注意)。

5 カテゴリのどれかに触れたら、まずリスト該非判定(リスト規制に当たるか)を行います。判定に使う別表は、貨物なら輸出令別表第1、技術・ソフトの提供(役務)なら外為令別表です(どちらも 1〜15 項が対応するリスト規制、16 項がキャッチオール)。ソフトは役務として扱われるため、開発者が主に見るのは外為令別表側です。リスト規制に該当する場合は、原則として仕向地を問わず(グループ A 国向けでも)経済産業大臣の事前許可が必要です——「ホワイト国向けだから不要」は通りません。これが核心の原則です。

一方、リスト規制に非該当の場合でも、安全保障上の懸念があるとキャッチオール規制(補完的輸出規制、輸出令別表第1の16項) で許可が必要になりえます。こちらは個別判定で、「どこに、誰に、どう出すか」——海外への公開・協業(海外への push、海外デプロイ、海外社員アクセス)があり、仕向地がグループ A 以外で、用途・需要者に懸念がある(またはインフォームを受けた)——という条件で見ます。なお 2025-10-09 施行の補完的輸出規制見直しで、グループ A 国向けでもインフォーム通知があれば許可申請が要る場合があります(後述「混同注意 + 最新改正」参照)。要するに、リスト規制=仕向地不問で原則許可 / キャッチオール=リスト非該当時の個別判定、と判定構造が異なります。

切り分けの目安: ①主要機能が 5 カテゴリに当たらない、かつ ② OSS として一般公開する——この 2 つが揃えば、個人開発者の多くは公知技術例外の射程に入ります。逆に、暗号や AI を特定の海外の相手に閉じた形で提供する場合は、該非判定を意識する価値があります。

海外規制の最小知識 — 米 EAR・EU・中国

日本国内だけで完結する開発でも、米国の指定技術で作られた製品が規制対象の仕向地・需要者に向かう場合(FDPR の条件は後述・§734.9 参照)や、米国のインフラ・米国人(US person)が関与する場合には、米国規制が無視できません。ここでは「自分に効くか」を見るための最小限だけを早見でまとめます。

法域	主要法令	個人開発者が見るべき点
米国	EAR(輸出管理規則)/ ITAR(武器)	publicly available 例外(734.7)/ 暗号品の通知制度 / FDPR(域外適用)
EU	Dual-Use Regulation(2021/821)	サイバー監視品目の規制 / 加盟国当局への確認
中国	OECL(輸出管制法、2020 施行)	再輸出統制 / 取引相手のリスト確認

押さえどころは 3 つです。

第一に、米国の FDPR(Foreign Direct Product Rule) です。これは米国の指定技術・ソフトの direct product(指定 ECCN の産物)である海外製品が、規制対象の仕向地・需要者に向かう場合に米国規制を及ぼす域外適用のルール(15 CFR §734.9)で、product scope と仕向地/需要者の両方を満たすときに及びます(単に米国製品を使っただけで一律発動するわけではありません)。条件が揃えば「日本企業が日本で作ったものだから米国は関係ない」が通らない典型例です。協業先がリスト掲載企業(Entity List 等)でないかの確認とあわせて、米国依存の度合いを把握しておきます。

第二に、OSS で暗号を公開するときの通知制度の区別です。米 EAR では混同しやすい 3 つの制度があり、ここを取り違えると「年次報告が必要だと思い込む」といった過剰対応につながります。

公開暗号ソースコード(EAR 742.15(b)): 公表された標準アルゴリズム(standard) は通知不要。非標準(non-standard)のみ初回公開時と暗号機能更新時に通知。年次報告は不要です。
商用暗号品の ENC 例外(EAR 740.17): 上記とは別制度で、コンパイル済みバイナリ・商用製品向け。
年次 self-classification report: さらに別制度で、対象品目だけが暦年分を翌年に提出するもの。これは主に商用製品・SaaS 事業者向けで、個人の OSS 公開では通常不要です。

多くの個人 OSS 開発者にとっては、標準的な暗号アルゴリズムを使う限り通知不要に収まります。

第三に、AI 輸出規制は 2026 年 6 月時点で流動的だという点です。米国では、いったん公示された包括的な枠組み(AI Diffusion Framework)が 2025 年に事実上停止(BIS が「執行しない」という非執行方針を表明。正式な撤回手続きは執筆時点でも進行中)され（※）、後継の正式ルールは本記事執筆時点で確定していません（※）。なお法的整理は動いており、2026-05-12 の米 GAO 判断(B-337935)は、この非執行方針の表明そのものが議会審査法(CRA)上の「rule」に当たるとし、AI Diffusion Rule は正式な撤回が完了するまで CFR(連邦規則集)上は有効に残ると整理しています（※)。また AI Diffusion の非執行とは別軸で、先端計算 IC(ECCN 3A090 / 4A090 等)の D:5 諸国・マカオ向けライセンス要件は継続しています(EAR §742.6、BIS が 2026-05-31 にガイダンス公表)（※)。「AI 規制が止まった=先端計算の規制がすべて消えた」ではありません。EU 側も Dual-Use の規制対象リスト(Annex I)が継続的に改正されています（※）。AI まわりは「最新は BIS(米商務省産業安全保障局)や各国当局を直接確認する」を原則とし、本記事の記述を最新の確定情報として扱わないでください。

混同注意 + 最新改正: 日本の外為法 2025 年改正には 2 つの別軸があります。①「対内直接投資規制」の拡大(海外から日本への投資の審査強化=輸出規制とは別軸)、②補完的輸出規制(キャッチオール規制)の見直し(2025-04-09 公布・2025-10-09 施行)。②では一般国向けに HS コード指定貨物の用途/需要者要件が強化され、グループ A 国(ホワイト国)向けでも経産大臣のインフォーム通知があれば許可申請が必要になる場合があります（※）。OSS の一般公開(公知技術例外)には直接影響しにくいものの、特定の相手に閉じた提供では確認対象が広がっています。「輸出規制 vs 対内投資」と「①と②」を取り違えないでください。

まとめ — 国境を越える前の自己診断チェックリスト

全部に「はい」が要るわけではありません。自分のソフトと出し方で「どこを確認すべきか」を切り分ける地図として使ってください。下のリストは開発ノートや社内チェックシートに貼り付けて使えます。

text

【個人開発・OSS 公開者】
□ 1. 自分のソフトの主要機能が 5 カテゴリ(暗号 / AI / 量子 / EDA / 侵入ソフト)のどれかに当たるか確認した
□ 2. 暗号を含む場合、標準アルゴリズムか(米では standard は通知不要)を確認した
□ 3. GitHub / npm / PyPI 等への一般公開が publicly available 例外に収まる範囲か確認した
□ 4. AI モデルを使う/公開する場合、ライセンス側の地理制限(輸出規制とは別軸)を確認した
□ 5. 配信先に制裁・禁輸対象の国/地域が含まれないか確認した(対象は法域ごとに異なり随時変動。米 OFAC / EAR Country Group E、EU、日本で別リスト。利用時点の最新を要確認)
□ 6. 海外の特定の相手に閉じて提供する場合、該非判定を専門窓口に確認する用意がある

【企業の輸出管理担当】
□ 1. 海外への push・海外デプロイ・海外社員アクセスを「役務取引」として棚卸しした
□ 2. リスト規制(別表項番)非該当でも、キャッチオール 3 要件(用途/需要者/インフォーム)を確認した
□ 3. 米国の技術・部品依存(FDPR)と取引相手の Entity List 掲載有無を確認した
□ 4. 制裁国・取引相手のスクリーニングを CI で自動化した(Consolidated Screening List = 米 Commerce/State/Treasury 統合、BIS Entity List 等を含む)
□ 5. 該当時は包括許可・個別許可の要否を CISTEC / 経産省に確認した

軸は 3 つです。① ソフトは「役務」として扱われる(海外への push・デプロイ・アクセスもカバー)、② まず 5 カテゴリ + 海外トリガで「自分に効くか」を切り分ける(大半の OSS 公開は公知技術例外でクリア)、③ 確定の該非判定は専門家に渡す(本記事は入口まで)。

ここから先、個別案件の該非判定の確定や許可申請の要否は、本記事の射程を超えます。日本国内発なら、まず CISTEC(安全保障貿易情報センター)の無料公開資料で初期検討し、判断に迷えば経済産業省安全保障貿易管理課や輸出管理に詳しい弁護士に確認するのが確実です。権利関係の全体像は公開前の権利チェックのハブから、依存ライブラリの確認は OSS ライセンスの見極めから辿るのが早いです。

出典 / References

主要な根拠を一次情報中心にまとめます。輸出管理は法改正・運用が動くため、内容はすべて執筆時点(2026 年 6 月)の整理です。(※)を付した最新動向は、後述のとおり利用時点での再確認を要します。

日本(一次・法令 / 行政)

外国為替及び外国貿易法(外為法)(一次・法令、e-Gov)/ 輸出貿易管理令(一次・法令)/ 貨物等省令(一次・法令)/ 貿易外省令(貿易関係貿易外取引等に関する省令)(一次・省令、第9条第2項九号=公知の技術の許可例外)/ 経産省安全保障貿易管理 Q&A(大学・研究機関向け)(補助・公知の判断基準)
経済産業省安全保障貿易管理(一次・行政)/ 補完的輸出規制(キャッチオール規制)(一次・行政)/ 補完的輸出規制の見直し(2025-10-09 施行)(一次・行政、グループ A 国向けインフォーム要件)
CISTEC(安全保障貿易情報センター)(補助・民間情報機関)/ JETRO 早わかりガイド(補助・初心者向け)

米国(一次・法令 / 行政)

15 CFR Parts 730-774(EAR 全文)(一次・法令)/ EAR 734.7(publicly available)(一次・法令)
EAR 740.17(License Exception ENC)(一次・法令)/ BIS Encryption controls(暗号規制ガイダンス)(一次・行政)/ EAR 742.6(先端計算 IC = 3A090/4A090 等の D:5・マカオ向けライセンス要件)(一次・法令、AI Diffusion 非執行とは別軸で継続)
BIS 公式(一次・行政、AI 規制の最新確認先)/ Consolidated Screening List(米 Commerce/State/Treasury 統合、運用 ITA)(一次・無料スクリーニング)
BIS プレスリリース(AI Diffusion Rule の撤回、2025-05-13)(一次・行政)/ GAO B-337935(2026-05-12)(一次・GAO 判断、非執行方針の表明は CRA 上の「rule」に当たり AI Diffusion Rule は正式撤回まで CFR 上有効)

EU / 中国(一次・法令)

Regulation (EU) 2021/821(Dual-Use Recast)(一次・規則、EUR-Lex)
中国 Export Control Law(英文)(一次・法令)。なお「両用品目輸出管制条例」(国務院、2024-12-01 施行)+ 統一「両用品目輸出管制リスト」(MOFCOM、2024-11-15 公示・2024-12-01 施行)が整備済み。原文 = 両用品目輸出管制条例(国務院令第792号、2024-12-01 施行)(一次・国務院/MOFCOM)/ 統一「両用品目輸出管制リスト」(商務部公告2024年第51号、2024-11-15 公示・2024-12-01 施行)(一次・中国政府網)

多国間レジーム / 例外

Wassenaar Arrangement 公式(一次・国際レジーム)/ EAR 740.22(License Exception ACE、サイバー研究例外)(一次・法令)

最新動向(※ 利用時点で再確認を要する)

米 AI Diffusion Framework は 2025 年に非執行方針が表明され事実上停止(正式な撤回手続きは進行中)、後継の正式ルールは 2026-06 時点で未確定（※ BIS で要確認）。GAO B-337935(2026-05-12)は非執行方針の表明を CRA 上の「rule」と判断し、AI Diffusion Rule は正式撤回まで CFR 上有効と整理（※ 最終撤回の掲載は Federal Register で要確認）
EU Dual-Use Annex I の継続改正（※ EUR-Lex で最新版を確認）
日本補完的輸出規制(キャッチオール規制)の見直し(2025-04-09 公布 / 2025-10-09 施行。グループ A 国向けインフォーム要件 + 一般国向け用途/需要者要件の強化)（※ 経産省で要確認)
日本外為法 2025 年改正(対内直接投資規制の拡大、輸出規制とは別軸)（※ 経産省で要確認）

AI 補助の透明性: 本記事は、執筆者が把握していた論点をもとに、調査・整理・要点化の補助として Claude(Anthropic)を用い、その上で執筆者が一次情報(法令・行政文書)を確認して構成しました。輸出管理は法改正や運用が動くため、条文・閾値・最新動向は執筆時点(2026 年 6 月)での整理です。(※)を付した箇所は流動的なため、利用時点での最新版を一次ソースで確認してください。