2024年10月，BIS出了“數(shù)據(jù)中心經(jīng)驗證最終用戶”（DC VEU）授權（具體背景可參見“人工智能擴散出口管制框架”：美國打算怎么“全球限制”AI芯片？）。新規(guī)進一步將其分為“通用經(jīng)驗證最終用戶”授權（UVEU）、“國家經(jīng)驗證最終用戶”（NVEU）授權。

UVEU：只有美西方本土公司（總部在美西方境內(nèi)）、美西方本土公司在“中間國家”的子公司能申請。數(shù)據(jù)中心里實際擁有受控GPU的主體負責提交申請，如果它不能提供全部的申請信息（比如GPU等基礎設施是A所有，但物理安全或邏輯安全由B公司負責），則A必須跟BIS報告所有參與數(shù)據(jù)中心運營的其他實體的身份。A可能需要拿到這些其他實體的書面保證。如果數(shù)據(jù)中心所有權是A的，但運營是B負責（比如Equinix和AWS的合作模式），A和B都得拿到UVEU授權。

如果要拿到UVEU，這些公司部署的算力必須主要集中在“美西方”，在“美西方”以外部署的算力不能超過全球部署總算力的 25%。；在“中間國家”國家可以部署算力，但單個國家不能超過全球總量的7%。如果是美國公司，在美國部署的算力至少要達到50%。

NVEU：“中間國家”的公司可以申請，拿到了就不再受該國GPU配額（5萬塊）的限制，但仍然有上限。美國政府規(guī)定，每家拿到NVEU的公司2025至2027年累計最多可獲得5,064,000,000TPP（約32萬塊GPU）。BIS分析了訓練最先進AI模型所需的計算集群規(guī)模，以及這些集群未來三年內(nèi)可能的增長速度，最后確定了這個TPP上限。這些配額可確保上述公司能訓出來的模型落后美國最先進模型訓練所需計算集群規(guī)模約 12 個月或一代。美國認為，這能確保最先進AI模型和最大計算集群不受控制地擴散所帶來的風險。

根據(jù)這個新規(guī)，要想拿到UVEU和NVEU，相關公司基本上要跟中國在半導體、AI和軍民融合方面劃清界限，而且要有好的“人權記錄”。具體來說：

1、需要有可信的計劃證明：1）具備大規(guī)模數(shù)據(jù)中心運營需要的物理、網(wǎng)絡和人員安全標準；2）遵守美國出口管制法；3）尊重人權或有尊重人權的良好業(yè)績記錄。

2、和美國《出口管理條例》規(guī)定的“軍事最終用戶”或“軍事情報最終用戶”沒有“關聯(lián)”（包括研發(fā)協(xié)議和聯(lián)合活動）。

3、所有的母公司、子公司（包括相關專業(yè)雇員）都必須：1）遵守美國財政部的反向投資審查規(guī)則，不得投資中國的半導體、量子計算和特定前沿AI模型設計和研發(fā)。2）遵守美國商務部的ICTS規(guī)則，消除對中國等禁運國家生產(chǎn)的先進半導體和網(wǎng)絡設備的供應鏈依賴。3）消除對《2019年安全可信通信網(wǎng)絡法》第2條所列的設備和服務的供應鏈依賴。4）向BIS申報所有和中國等禁運國家的公司、在實體清單和SDN清單上公司的合作活動（例如合資企業(yè)）。

4、不能把受控芯片轉(zhuǎn)讓給：1）中國等禁運國家境內(nèi)的實體；2）總部在這些國家的實體；3）實體清單、國際戰(zhàn)略核不擴散制裁清單、SDN清單、被拒絕人員清單上的實體或其雇員（不論國籍）；4）中國等禁運國家政府的雇員（不論國籍）；5）可能有很高風險會轉(zhuǎn)移芯片給中國等禁運國的實體或人員。

5、獲得UVEU認證的公司集團內(nèi)部之間跨國轉(zhuǎn)移受控芯片，提前60天通知 BIS。BIS 可以施加許可要求或其他額外條件。

6、未經(jīng)BIS允許，所有子公司和母公司不能給“美西方”以外的實體提供用于訓練受控模型權重的基礎設施即服務（IaaS）。如果模型微調(diào)使用的計算操作不超過受控模型訓練操作的25%，以及提供模型的API訪問或IaaS服務用于推理而非訓練，可以豁免許可。

拜登簽署法令簽署AI相關法令 資料圖

此外，還需要遵守一系列的監(jiān)控、記錄、報告義務，以及所有權、基準、軟件與網(wǎng)絡、供應鏈、人員方面的具體要求。

二、管模型權重

管制模型權重，BIS的具體做法是在《商業(yè)管制清單》（CCL）里給“先進AI模型”的“參數(shù)”（parameters）新增了一個ECCN編碼 4E091，管制理由為“地區(qū)穩(wěn)定”?！皡?shù)”指的是在模型訓練期間學習的任何值（例如，網(wǎng)絡權重、偏差等）。

怎么定義AI模型的“先進”？我在“人工智能擴散出口管制框架”：美國打算怎么“全球限制”AI芯片？一文中曾預測：“可能以模型訓練所需的浮點運算量（FLOPs）劃線，確定一個閾值”來管制模型權重。從新規(guī)來看，美國政府的確采取了這種路徑。BIS在新規(guī)里說：“聽取了美國政府各部門技術專家的意見，我們確定衡量AI模型性能的一個合理指標是計算量（即用于訓練模型的計算操作次數(shù)），這一結(jié)論得到了頂尖AI研究人員的經(jīng)驗證據(jù)的支持?！?

BIS認為，少于10的26方以下計算操作訓練出額的模型權重已經(jīng)存儲在全球各地了，很容易能被外國獲得，所以也就沒必要管制了。所以它們設定的最終閾值是用超過10的26次方次計算“操作”訓練出來的閉源模型?！安僮鳌卑ㄈ魏魏罄m(xù)訓練過程，例如對預訓練模型的微調(diào)，但不包括輸入訓練數(shù)據(jù)的收集和整理。

對這些模型權重的出口，許可政策是推定拒絕（默認不批），基于兩個原因：1）一個強大的模型就算只被出口了一次，也可能被恐怖分子拿到。2）模型權重其實就是一堆數(shù)據(jù)，可以存儲、復制和傳輸，只要出口一次就很難阻止其全球傳播。所以，對這種東西，要用最嚴格的管制力度。關于模型權重的出口許可政策，對“美西方”家，新規(guī)設置了許可例外（豁免許可）；對中國等不友好國家，一律禁運；對“中間國家”的公司，獲得了NVEU認證后可以適用許可例外。

除了管美國國內(nèi)的模型權重，BIS還首次對美國境外的模型權重創(chuàng)造了外國直接產(chǎn)品規(guī)則。美國認為，先進的閉源AI模型訓練高度依賴美國原產(chǎn)的受控GPU及含有該類GPU的服務器等部件，沒有這些硬件就無法生成模型權重，所以可以適用外國直接產(chǎn)品規(guī)則管制美國以外的模型權重。

具體而言，只要使用了受控GPU、服務器和其他電子設備訓練的閉源模型，且計算操作達到或超過10的26次方計算操作，即便相關模型在美國以外訓練，其出口也要受美國的管制。即使模型訓練沒有使用上述受控硬件，但如果是在受控模型權重基礎上通過微調(diào)、量化等“后訓練”（Post-Training）技術生成的模型權重，也受到管制。

需要大量數(shù)據(jù)才能完成模型訓練 網(wǎng)絡

在模型權重部分，新規(guī)還增加了一條紅旗警示（Red Flag 28）：美國本土運營的IaaS提供商，如果給外國公司在美國的子公司客戶訓練10的26次方以上大模型，模型訓練和之后交付模型權重的行為可能導致模型權重被轉(zhuǎn)移給客戶的外國母公司，從而違反出口管制。這種情況下，IaaS提供商可能被視為“協(xié)助或教唆”違反出口管制。

BIS建議，這些美國IaaS服務商在把生成的模型權重交付給該客戶時，要先問清楚模型權重是不是會出口；如果需要申請許可才能交付的，得先拿到許可；或者告訴客戶需要去申請許可才能交付給它。

總的來說，這個新規(guī)和之前了解到的信息比較一致，但還是有三個surprise：

一是竟然對模型權重也施加了外國直接產(chǎn)品規(guī)則，這對中國公司在海外訓練的大模型帶來了直接的合規(guī)風險，在海外使用美國GPU不再是一個理想的選擇，從美國的云服務商和AI公司來說，這也讓他們很難受，不僅合規(guī)負擔上升，還要擔心嚇跑客戶。

二是對美國云服務商盡調(diào)義務的要求竟然如此嚴格，這已經(jīng)超出了此前只是要求美國云“了解你的客戶”（KYC）的力度，終于能理解為什么Oracle的高級副總裁前兩天火氣那么大地發(fā)文抨擊了。

三是對“中間國家”的出口配額，原來聽說要取消，但還是留下來了，只是通過鼓勵這些國家的企業(yè)去申請NVEU、鼓勵這些國家的政府和美國簽國家安全保障協(xié)議，局部做了軟化。這充分說明美國對AI能力被中國獲得的關切已經(jīng)嚴重到了不顧他國外交反彈的程度。對中國云的海外擴張來說，這或許是個機會。在“芯片戰(zhàn)爭”日益轉(zhuǎn)向“云戰(zhàn)爭”的當下，任何這種機會都要抓住。