南极土著：美国史上最严厉AI管制，到底限制了啥？
guancha
【文/ 南极土著】
1月13日，美国历史上第一个（也是人类历史上第一个）人工智能出口管制规则终于揭开了面纱。168页的新规以“临时最终规则”形式发布，1月13日当天起生效，1月15日会刊登在《联邦公报》。公众在《联邦公报》刊登后120天内可以提交反馈意见。
我把该规则的结构总结为：管AI硬件（GPU等）+管模型权重。
一、管AI硬件
自2022年1017规则以来，所有对AI芯片的出口管制，本质上也可以理解为对AI的管制在硬件领域的体现。两年过去了，大家看得很清楚：美国半导体出口管制打的是中国AI，战略目标是绝不能让中国先于美国实现通用人工智能。
要管制的GPU的性能标准，本次规则里没有任何变化，和2023年1017规则保持一致，重点还是总处理性能、性能密度达到一定阈值的数据中心芯片，也是大模型训练最为倚重的硬件，具体而言：
3A090.a：
- 总处理性能为4800或以上；或
- 总处理性能为1600或以上，且性能密度为5.92或以上。
3A090.b：
- 总处理性能为2400-4800以下，且性能密度为1.6（包含本数）至5.92以下（不包含本数）；
- 总处理性能为1600或以上，且性能密度为3.2（包含本数）至5.92以下（不包含本数）。
ECCN 4A090.a：控制计算机、“电子组件”和“部件”，其中包含的集成电路满足或超过3A090.a中的限制。
ECCN 4A090.b：控制计算机、“电子组件”和“部件”，其中包含的集成电路满足或超过3A090.b中的限制。
RTX5090显卡从发售伊始就被禁止出口至中国 资料图
主要的不同是创新了管GPU的方法，一定程度上颠覆了美国出口管制的传统逻辑，面向推出了一套面向全球的出口许可体系，把不同国家区分为三个等级的纺锤状结构：
（一）纺锤最上部，是美国最亲密的17个盟友（加上美国，可以用体制内经常用的“美西方”指代）。这些国家被新规称为“人工智能授权国家”，管制政策和以前基本没有变化。
澳大利亚、比利时、加拿大、丹麦、芬兰、法国、德国、爱尔兰、意大利、日本、荷兰、新西兰、挪威、韩国、西班牙、瑞典、台湾地区
对“美西方”境内的公司出口（包括转口和国内转移），只需要提交一个声明，承诺不会把到手的GPU：1）违反美国出口管制，转卖给美西方以外的公司；2）转卖给美西方以外国家或地区设在美西方的子公司；3）以远程云服务形式向美西方以外的区域提供算力，用于训练大模型。
（二）纺锤最下面，是美国视为“外国敌手”的中国，以及其他美国武器禁运的国家和地区。对这些国家，管制政策也没有变化，还是最严格的推定拒绝。
（三）纺锤中间的大肚子，是上述两类之外的100多个国家，包括新加坡、马来西亚、阿联酋、沙特等。它们也是这次新规里AI硬件限制的重点，我简称为“中间国家”。
对“中间国家”的受控GPU供应，新规用“总处理性能”（TPP）划了两条线（关于何为TPP，我在去年4月“对美国更新半导体出口管制的分析及对未来的几个判断”一文中作了通俗易懂的解释）：
一条线是向单个“中间国家”的公司出口26,900,000TPP（大约1700块GPU），在该范围内的GPU出口适用“低处理性能”许可例外（完全不管）。美国觉得，绝大多数芯片交易属于这种“少量GPU采购订单”，这种量级的芯片采购远低于训练最先进AI模型需要的数量，一般很多是那些大学、医疗机构和研究机构出于研究需要下的订单，这类的没必要管。
另一条线是GPU国家配额，设定为2025年至2027年向“中间国家”累计出口 790,000,000TPP（每个国家约5万块GPU）：从2025年一季度起算一直到2027年四季度，加起来就只能买这么多。2025年以前卖出去的、因为GPU丢失、损坏、故障、搬迁和转售等损耗的TPP，不算在里面。如果进口GPU是为了研发、生产或存储，且不会转运给中国等禁运国家，原则上也不占用配额。
数据中心 维基百科
美国政府认为，两年累计5万块的配额，能确保这些“中间国家”的公司开发出一些模型，获得经济收益，但用这点算力训出来的模型始终会离美国的先进大模型差着一个级别。同时，这样还能确保美国公司和技术“给这些国家的政府、医疗保健行业和当地企业提供服务”（说得像是灯塔国的恩赐，实际意思是还能继续赚这些国家的钱）。
如果超出5万块的配额，再往这些国家出口就是“推定拒绝”（默认不能卖）。BIS会和国务院、能源部、国防部一道每年审查后续几年的配额情况，决定要不要提升或者降低配额。
这些国家可以跟美国签署一个政府间协议，给美国提供“国家安全保证”，承诺进口这些GPU一定会确保美国的国家安全利益。这种情况下，GPU配额能翻一倍（10万块）。BIS会在新规里明确列出这些国家。
这种一看就是美国国务院出的主意，还是拜登政府的对华“多边围堵”路数。川普第一任期也搞过，美国2018年出了个“云法案”，授权美国政府从美国世界各地的云服务商调取存储在他国的数据。这显然损害他国数据主权，美国怕其他国家不高兴，在“云法案”里塞了条规定，说如果你跟我签个协议，你也可以调存在美国的数据。
这是分化“中间国家”的策略，和美国签的协议属于有国际法效力的条约，能想象到里面几乎一定会有这些要求国家跟随美国出口管制、反向投资审查、支持美国的“民主AI”国际标准等。这借鉴了美国一些智库提的建议，用“我手里有GPU”逼其他国家追随美国限制中国、支持美国主导AI国际规则和标准制定权。
对“美西方”在海外的公司和“中间国家”的公司，新规设置了两类“数据中心经验证最终用户”，允许它们申请相关的认证，拿到认证就能买更多的GPU。
2024年10月，BIS出了“数据中心经验证最终用户”（DC VEU）授权（具体背景可参见“人工智能扩散出口管制框架”：美国打算怎么“全球限制”AI芯片？）。新规进一步将其分为“通用经验证最终用户”授权（UVEU）、“国家经验证最终用户”（NVEU）授权。
UVEU：只有美西方本土公司（总部在美西方境内）、美西方本土公司在“中间国家”的子公司能申请。数据中心里实际拥有受控GPU的主体负责提交申请，如果它不能提供全部的申请信息（比如GPU等基础设施是A所有，但物理安全或逻辑安全由B公司负责），则A必须跟BIS报告所有参与数据中心运营的其他实体的身份。A可能需要拿到这些其他实体的书面保证。如果数据中心所有权是A的，但运营是B负责（比如Equinix和AWS的合作模式），A和B都得拿到UVEU授权。
如果要拿到UVEU，这些公司部署的算力必须主要集中在“美西方”，在“美西方”以外部署的算力不能超过全球部署总算力的 25%。；在“中间国家”国家可以部署算力，但单个国家不能超过全球总量的7%。如果是美国公司，在美国部署的算力至少要达到50%。
NVEU：“中间国家”的公司可以申请，拿到了就不再受该国GPU配额（5万块）的限制，但仍然有上限。美国政府规定，每家拿到NVEU的公司2025至2027年累计最多可获得5,064,000,000TPP（约32万块GPU）。BIS分析了训练最先进AI模型所需的计算集群规模，以及这些集群未来三年内可能的增长速度，最后确定了这个TPP上限。这些配额可确保上述公司能训出来的模型落后美国最先进模型训练所需计算集群规模约 12 个月或一代。美国认为，这能确保最先进AI模型和最大计算集群不受控制地扩散所带来的风险。
根据这个新规，要想拿到UVEU和NVEU，相关公司基本上要跟中国在半导体、AI和军民融合方面划清界限，而且要有好的“人权记录”。具体来说：
1、需要有可信的计划证明：1）具备大规模数据中心运营需要的物理、网络和人员安全标准；2）遵守美国出口管制法；3）尊重人权或有尊重人权的良好业绩记录。
2、和美国《出口管理条例》规定的“军事最终用户”或“军事情报最终用户”没有“关联”（包括研发协议和联合活动）。
3、所有的母公司、子公司（包括相关专业雇员）都必须：1）遵守美国财政部的反向投资审查规则，不得投资中国的半导体、量子计算和特定前沿AI模型设计和研发。2）遵守美国商务部的ICTS规则，消除对中国等禁运国家生产的先进半导体和网络设备的供应链依赖。3）消除对《2019年安全可信通信网络法》第2条所列的设备和服务的供应链依赖。4）向BIS申报所有和中国等禁运国家的公司、在实体清单和SDN清单上公司的合作活动（例如合资企业）。
4、不能把受控芯片转让给：1）中国等禁运国家境内的实体；2）总部在这些国家的实体；3）实体清单、国际战略核不扩散制裁清单、SDN清单、被拒绝人员清单上的实体或其雇员（不论国籍）；4）中国等禁运国家政府的雇员（不论国籍）；5）可能有很高风险会转移芯片给中国等禁运国的实体或人员。
5、获得UVEU认证的公司集团内部之间跨国转移受控芯片，提前60天通知 BIS。BIS 可以施加许可要求或其他额外条件。
6、未经BIS允许，所有子公司和母公司不能给“美西方”以外的实体提供用于训练受控模型权重的基础设施即服务（IaaS）。如果模型微调使用的计算操作不超过受控模型训练操作的25%，以及提供模型的API访问或IaaS服务用于推理而非训练，可以豁免许可。
拜登签署法令签署AI相关法令 资料图
此外，还需要遵守一系列的监控、记录、报告义务，以及所有权、基准、软件与网络、供应链、人员方面的具体要求。
二、管模型权重
管制模型权重，BIS的具体做法是在《商业管制清单》（CCL）里给“先进AI模型”的“参数”（parameters）新增了一个ECCN编码 4E091，管制理由为“地区稳定”。“参数”指的是在模型训练期间学习的任何值（例如，网络权重、偏差等）。
怎么定义AI模型的“先进”？我在“人工智能扩散出口管制框架”：美国打算怎么“全球限制”AI芯片？一文中曾预测：“可能以模型训练所需的浮点运算量（FLOPs）划线，确定一个阈值”来管制模型权重。从新规来看，美国政府的确采取了这种路径。BIS在新规里说：“听取了美国政府各部门技术专家的意见，我们确定衡量AI模型性能的一个合理指标是计算量（即用于训练模型的计算操作次数），这一结论得到了顶尖AI研究人员的经验证据的支持。”
BIS认为，少于10的26方以下计算操作训练出额的模型权重已经存储在全球各地了，很容易能被外国获得，所以也就没必要管制了。所以它们设定的最终阈值是用超过10的26次方次计算“操作”训练出来的闭源模型。“操作”包括任何后续训练过程，例如对预训练模型的微调，但不包括输入训练数据的收集和整理。
对这些模型权重的出口，许可政策是推定拒绝（默认不批），基于两个原因：1）一个强大的模型就算只被出口了一次，也可能被恐怖分子拿到。2）模型权重其实就是一堆数据，可以存储、复制和传输，只要出口一次就很难阻止其全球传播。所以，对这种东西，要用最严格的管制力度。关于模型权重的出口许可政策，对“美西方”家，新规设置了许可例外（豁免许可）；对中国等不友好国家，一律禁运；对“中间国家”的公司，获得了NVEU认证后可以适用许可例外。
除了管美国国内的模型权重，BIS还首次对美国境外的模型权重创造了外国直接产品规则。美国认为，先进的闭源AI模型训练高度依赖美国原产的受控GPU及含有该类GPU的服务器等部件，没有这些硬件就无法生成模型权重，所以可以适用外国直接产品规则管制美国以外的模型权重。
具体而言，只要使用了受控GPU、服务器和其他电子设备训练的闭源模型，且计算操作达到或超过10的26次方计算操作，即便相关模型在美国以外训练，其出口也要受美国的管制。即使模型训练没有使用上述受控硬件，但如果是在受控模型权重基础上通过微调、量化等“后训练”（Post-Training）技术生成的模型权重，也受到管制。
需要大量数据才能完成模型训练 网络
在模型权重部分，新规还增加了一条红旗警示（Red Flag 28）：美国本土运营的IaaS提供商，如果给外国公司在美国的子公司客户训练10的26次方以上大模型，模型训练和之后交付模型权重的行为可能导致模型权重被转移给客户的外国母公司，从而违反出口管制。这种情况下，IaaS提供商可能被视为“协助或教唆”违反出口管制。
BIS建议，这些美国IaaS服务商在把生成的模型权重交付给该客户时，要先问清楚模型权重是不是会出口；如果需要申请许可才能交付的，得先拿到许可；或者告诉客户需要去申请许可才能交付给它。
总的来说，这个新规和之前了解到的信息比较一致，但还是有三个surprise：
一是竟然对模型权重也施加了外国直接产品规则，这对中国公司在海外训练的大模型带来了直接的合规风险，在海外使用美国GPU不再是一个理想的选择，从美国的云服务商和AI公司来说，这也让他们很难受，不仅合规负担上升，还要担心吓跑客户。
二是对美国云服务商尽调义务的要求竟然如此严格，这已经超出了此前只是要求美国云“了解你的客户”（KYC）的力度，终于能理解为什么Oracle的高级副总裁前两天火气那么大地发文抨击了。
三是对“中间国家”的出口配额，原来听说要取消，但还是留下来了，只是通过鼓励这些国家的企业去申请NVEU、鼓励这些国家的政府和美国签国家安全保障协议，局部做了软化。这充分说明美国对AI能力被中国获得的关切已经严重到了不顾他国外交反弹的程度。对中国云的海外扩张来说，这或许是个机会。在“芯片战争”日益转向“云战争”的当下，任何这种机会都要抓住。