南極土著：美國史上最嚴厲AI管制，到底限制了啥？
guancha
【文/ 南極土著】
1月13日，美國曆史上第一個（也是人類歷史上第一個）人工智能出口管制規則終於揭開了面紗。168頁的新規以“臨時最終規則”形式發佈，1月13日當天起生效，1月15日會刊登在《聯邦公報》。公眾在《聯邦公報》刊登後120天內可以提交反饋意見。
我把該規則的結構總結為：管AI硬件（GPU等）+管模型權重。
一、管AI硬件
自2022年1017規則以來，所有對AI芯片的出口管制，本質上也可以理解為對AI的管制在硬件領域的體現。兩年過去了，大家看得很清楚：美國半導體出口管制打的是中國AI，戰略目標是絕不能讓中國先於美國實現通用人工智能。
要管制的GPU的性能標準，本次規則裏沒有任何變化，和2023年1017規則保持一致，重點還是總處理性能、性能密度達到一定閾值的數據中心芯片，也是大模型訓練最為倚重的硬件，具體而言：
3A090.a：
- 總處理性能為4800或以上；或
- 總處理性能為1600或以上，且性能密度為5.92或以上。
3A090.b：
- 總處理性能為2400-4800以下，且性能密度為1.6（包含本數）至5.92以下（不包含本數）；
- 總處理性能為1600或以上，且性能密度為3.2（包含本數）至5.92以下（不包含本數）。
ECCN 4A090.a：控制計算機、“電子組件”和“部件”，其中包含的集成電路滿足或超過3A090.a中的限制。
ECCN 4A090.b：控制計算機、“電子組件”和“部件”，其中包含的集成電路滿足或超過3A090.b中的限制。
RTX5090顯卡從發售伊始就被禁止出口至中國 資料圖
主要的不同是創新了管GPU的方法，一定程度上顛覆了美國出口管制的傳統邏輯，面向推出了一套面向全球的出口許可體系，把不同國家區分為三個等級的紡錘狀結構：
（一）紡錘最上部，是美國最親密的17個盟友（加上美國，可以用體制內經常用的“美西方”指代）。這些國家被新規稱為“人工智能授權國家”，管制政策和以前基本沒有變化。
澳大利亞、比利時、加拿大、丹麥、芬蘭、法國、德國、愛爾蘭、意大利、日本、荷蘭、新西蘭、挪威、韓國、西班牙、瑞典、台灣地區
對“美西方”境內的公司出口（包括轉口和國內轉移），只需要提交一個聲明，承諾不會把到手的GPU：1）違反美國出口管制，轉賣給美西方以外的公司；2）轉賣給美西方以外國家或地區設在美西方的子公司；3）以遠程雲服務形式向美西方以外的區域提供算力，用於訓練大模型。
（二）紡錘最下面，是美國視為“外國敵手”的中國，以及其他美國武器禁運的國家和地區。對這些國家，管制政策也沒有變化，還是最嚴格的推定拒絕。
（三）紡錘中間的大肚子，是上述兩類之外的100多個國家，包括新加坡、馬來西亞、阿聯酋、沙特等。它們也是這次新規裏AI硬件限制的重點，我簡稱為“中間國家”。
對“中間國家”的受控GPU供應，新規用“總處理性能”（TPP）劃了兩條線（關於何為TPP，我在去年4月“對美國更新半導體出口管制的分析及對未來的幾個判斷”一文中作了通俗易懂的解釋）：
一條線是向單個“中間國家”的公司出口26,900,000TPP（大約1700塊GPU），在該範圍內的GPU出口適用“低處理性能”許可例外（完全不管）。美國覺得，絕大多數芯片交易屬於這種“少量GPU採購訂單”，這種量級的芯片採購遠低於訓練最先進AI模型需要的數量，一般很多是那些大學、醫療機構和研究機構出於研究需要下的訂單，這類的沒必要管。
另一條線是GPU國家配額，設定為2025年至2027年向“中間國家”累計出口 790,000,000TPP（每個國家約5萬塊GPU）：從2025年一季度起算一直到2027年四季度，加起來就只能買這麼多。2025年以前賣出去的、因為GPU丟失、損壞、故障、搬遷和轉售等損耗的TPP，不算在裏面。如果進口GPU是為了研發、生產或存儲，且不會轉運給中國等禁運國家，原則上也不佔用配額。
數據中心 維基百科
美國政府認為，兩年累計5萬塊的配額，能確保這些“中間國家”的公司開發出一些模型，獲得經濟收益，但用這點算力訓出來的模型始終會離美國的先進大模型差着一個級別。同時，這樣還能確保美國公司和技術“給這些國家的政府、醫療保健行業和當地企業提供服務”（説得像是燈塔國的恩賜，實際意思是還能繼續賺這些國家的錢）。
如果超出5萬塊的配額，再往這些國家出口就是“推定拒絕”（默認不能賣）。BIS會和國務院、能源部、國防部一道每年審查後續幾年的配額情況，決定要不要提升或者降低配額。
這些國家可以跟美國簽署一個政府間協議，給美國提供“國家安全保證”，承諾進口這些GPU一定會確保美國的國家安全利益。這種情況下，GPU配額能翻一倍（10萬塊）。BIS會在新規裏明確列出這些國家。
這種一看就是美國國務院出的主意，還是拜登政府的對華“多邊圍堵”路數。川普第一任期也搞過，美國2018年出了個“雲法案”，授權美國政府從美國世界各地的雲服務商調取存儲在他國的數據。這顯然損害他國數據主權，美國怕其他國家不高興，在“雲法案”裏塞了條規定，説如果你跟我籤個協議，你也可以調存在美國的數據。
這是分化“中間國家”的策略，和美國籤的協議屬於有國際法效力的條約，能想象到裏面幾乎一定會有這些要求國家跟隨美國出口管制、反向投資審查、支持美國的“民主AI”國際標準等。這借鑑了美國一些智庫提的建議，用“我手裏有GPU”逼其他國家追隨美國限制中國、支持美國主導AI國際規則和標準制定權。
對“美西方”在海外的公司和“中間國家”的公司，新規設置了兩類“數據中心經驗證最終用户”，允許它們申請相關的認證，拿到認證就能買更多的GPU。
2024年10月，BIS出了“數據中心經驗證最終用户”（DC VEU）授權（具體背景可參見“人工智能擴散出口管制框架”：美國打算怎麼“全球限制”AI芯片？）。新規進一步將其分為“通用經驗證最終用户”授權（UVEU）、“國家經驗證最終用户”（NVEU）授權。
UVEU：只有美西方本土公司（總部在美西方境內）、美西方本土公司在“中間國家”的子公司能申請。數據中心裏實際擁有受控GPU的主體負責提交申請，如果它不能提供全部的申請信息（比如GPU等基礎設施是A所有，但物理安全或邏輯安全由B公司負責），則A必須跟BIS報告所有參與數據中心運營的其他實體的身份。A可能需要拿到這些其他實體的書面保證。如果數據中心所有權是A的，但運營是B負責（比如Equinix和AWS的合作模式），A和B都得拿到UVEU授權。
如果要拿到UVEU，這些公司部署的算力必須主要集中在“美西方”，在“美西方”以外部署的算力不能超過全球部署總算力的 25%。；在“中間國家”國家可以部署算力，但單個國家不能超過全球總量的7%。如果是美國公司，在美國部署的算力至少要達到50%。
NVEU：“中間國家”的公司可以申請，拿到了就不再受該國GPU配額（5萬塊）的限制，但仍然有上限。美國政府規定，每家拿到NVEU的公司2025至2027年累計最多可獲得5,064,000,000TPP（約32萬塊GPU）。BIS分析了訓練最先進AI模型所需的計算集羣規模，以及這些集羣未來三年內可能的增長速度，最後確定了這個TPP上限。這些配額可確保上述公司能訓出來的模型落後美國最先進模型訓練所需計算集羣規模約 12 個月或一代。美國認為，這能確保最先進AI模型和最大計算集羣不受控制地擴散所帶來的風險。
根據這個新規，要想拿到UVEU和NVEU，相關公司基本上要跟中國在半導體、AI和軍民融合方面劃清界限，而且要有好的“人權記錄”。具體來説：
1、需要有可信的計劃證明：1）具備大規模數據中心運營需要的物理、網絡和人員安全標準；2）遵守美國出口管制法；3）尊重人權或有尊重人權的良好業績記錄。
2、和美國《出口管理條例》規定的“軍事最終用户”或“軍事情報最終用户”沒有“關聯”（包括研發協議和聯合活動）。
3、所有的母公司、子公司（包括相關專業僱員）都必須：1）遵守美國財政部的反向投資審查規則，不得投資中國的半導體、量子計算和特定前沿AI模型設計和研發。2）遵守美國商務部的ICTS規則，消除對中國等禁運國家生產的先進半導體和網絡設備的供應鏈依賴。3）消除對《2019年安全可信通信網絡法》第2條所列的設備和服務的供應鏈依賴。4）向BIS申報所有和中國等禁運國家的公司、在實體清單和SDN清單上公司的合作活動（例如合資企業）。
4、不能把受控芯片轉讓給：1）中國等禁運國家境內的實體；2）總部在這些國家的實體；3）實體清單、國際戰略核不擴散制裁清單、SDN清單、被拒絕人員清單上的實體或其僱員（不論國籍）；4）中國等禁運國家政府的僱員（不論國籍）；5）可能有很高風險會轉移芯片給中國等禁運國的實體或人員。
5、獲得UVEU認證的公司集團內部之間跨國轉移受控芯片，提前60天通知 BIS。BIS 可以施加許可要求或其他額外條件。
6、未經BIS允許，所有子公司和母公司不能給“美西方”以外的實體提供用於訓練受控模型權重的基礎設施即服務（IaaS）。如果模型微調使用的計算操作不超過受控模型訓練操作的25%，以及提供模型的API訪問或IaaS服務用於推理而非訓練，可以豁免許可。
拜登簽署法令簽署AI相關法令 資料圖
此外，還需要遵守一系列的監控、記錄、報告義務，以及所有權、基準、軟件與網絡、供應鏈、人員方面的具體要求。
二、管模型權重
管制模型權重，BIS的具體做法是在《商業管制清單》（CCL）裏給“先進AI模型”的“參數”（parameters）新增了一個ECCN編碼 4E091，管制理由為“地區穩定”。“參數”指的是在模型訓練期間學習的任何值（例如，網絡權重、偏差等）。
怎麼定義AI模型的“先進”？我在“人工智能擴散出口管制框架”：美國打算怎麼“全球限制”AI芯片？一文中曾預測：“可能以模型訓練所需的浮點運算量（FLOPs）劃線，確定一個閾值”來管制模型權重。從新規來看，美國政府的確採取了這種路徑。BIS在新規裏説：“聽取了美國政府各部門技術專家的意見，我們確定衡量AI模型性能的一個合理指標是計算量（即用於訓練模型的計算操作次數），這一結論得到了頂尖AI研究人員的經驗證據的支持。”
BIS認為，少於10的26方以下計算操作訓練出額的模型權重已經存儲在全球各地了，很容易能被外國獲得，所以也就沒必要管制了。所以它們設定的最終閾值是用超過10的26次方次計算“操作”訓練出來的閉源模型。“操作”包括任何後續訓練過程，例如對預訓練模型的微調，但不包括輸入訓練數據的收集和整理。
對這些模型權重的出口，許可政策是推定拒絕（默認不批），基於兩個原因：1）一個強大的模型就算只被出口了一次，也可能被恐怖分子拿到。2）模型權重其實就是一堆數據，可以存儲、複製和傳輸，只要出口一次就很難阻止其全球傳播。所以，對這種東西，要用最嚴格的管制力度。關於模型權重的出口許可政策，對“美西方”家，新規設置了許可例外（豁免許可）；對中國等不友好國家，一律禁運；對“中間國家”的公司，獲得了NVEU認證後可以適用許可例外。
除了管美國國內的模型權重，BIS還首次對美國境外的模型權重創造了外國直接產品規則。美國認為，先進的閉源AI模型訓練高度依賴美國原產的受控GPU及含有該類GPU的服務器等部件，沒有這些硬件就無法生成模型權重，所以可以適用外國直接產品規則管制美國以外的模型權重。
具體而言，只要使用了受控GPU、服務器和其他電子設備訓練的閉源模型，且計算操作達到或超過10的26次方計算操作，即便相關模型在美國以外訓練，其出口也要受美國的管制。即使模型訓練沒有使用上述受控硬件，但如果是在受控模型權重基礎上通過微調、量化等“後訓練”（Post-Training）技術生成的模型權重，也受到管制。
需要大量數據才能完成模型訓練 網絡
在模型權重部分，新規還增加了一條紅旗警示（Red Flag 28）：美國本土運營的IaaS提供商，如果給外國公司在美國的子公司客户訓練10的26次方以上大模型，模型訓練和之後交付模型權重的行為可能導致模型權重被轉移給客户的外國母公司，從而違反出口管制。這種情況下，IaaS提供商可能被視為“協助或教唆”違反出口管制。
BIS建議，這些美國IaaS服務商在把生成的模型權重交付給該客户時，要先問清楚模型權重是不是會出口；如果需要申請許可才能交付的，得先拿到許可；或者告訴客户需要去申請許可才能交付給它。
總的來説，這個新規和之前瞭解到的信息比較一致，但還是有三個surprise：
一是竟然對模型權重也施加了外國直接產品規則，這對中國公司在海外訓練的大模型帶來了直接的合規風險，在海外使用美國GPU不再是一個理想的選擇，從美國的雲服務商和AI公司來説，這也讓他們很難受，不僅合規負擔上升，還要擔心嚇跑客户。
二是對美國雲服務商盡調義務的要求竟然如此嚴格，這已經超出了此前只是要求美國雲“瞭解你的客户”（KYC）的力度，終於能理解為什麼Oracle的高級副總裁前兩天火氣那麼大地發文抨擊了。
三是對“中間國家”的出口配額，原來聽説要取消，但還是留下來了，只是通過鼓勵這些國家的企業去申請NVEU、鼓勵這些國家的政府和美國籤國家安全保障協議，局部做了軟化。這充分説明美國對AI能力被中國獲得的關切已經嚴重到了不顧他國外交反彈的程度。對中國雲的海外擴張來説，這或許是個機會。在“芯片戰爭”日益轉向“雲戰爭”的當下，任何這種機會都要抓住。