2024年10月，BIS出了“数据中心经验证最终用户”（DC VEU）授权（具体背景可参见“人工智能扩散出口管制框架”：美国打算怎么“全球限制”AI芯片？）。新规进一步将其分为“通用经验证最终用户”授权（UVEU）、“国家经验证最终用户”（NVEU）授权。

UVEU：只有美西方本土公司（总部在美西方境内）、美西方本土公司在“中间国家”的子公司能申请。数据中心里实际拥有受控GPU的主体负责提交申请，如果它不能提供全部的申请信息（比如GPU等基础设施是A所有，但物理安全或逻辑安全由B公司负责），则A必须跟BIS报告所有参与数据中心运营的其他实体的身份。A可能需要拿到这些其他实体的书面保证。如果数据中心所有权是A的，但运营是B负责（比如Equinix和AWS的合作模式），A和B都得拿到UVEU授权。

如果要拿到UVEU，这些公司部署的算力必须主要集中在“美西方”，在“美西方”以外部署的算力不能超过全球部署总算力的 25%。；在“中间国家”国家可以部署算力，但单个国家不能超过全球总量的7%。如果是美国公司，在美国部署的算力至少要达到50%。

NVEU：“中间国家”的公司可以申请，拿到了就不再受该国GPU配额（5万块）的限制，但仍然有上限。美国政府规定，每家拿到NVEU的公司2025至2027年累计最多可获得5,064,000,000TPP（约32万块GPU）。BIS分析了训练最先进AI模型所需的计算集群规模，以及这些集群未来三年内可能的增长速度，最后确定了这个TPP上限。这些配额可确保上述公司能训出来的模型落后美国最先进模型训练所需计算集群规模约 12 个月或一代。美国认为，这能确保最先进AI模型和最大计算集群不受控制地扩散所带来的风险。

根据这个新规，要想拿到UVEU和NVEU，相关公司基本上要跟中国在半导体、AI和军民融合方面划清界限，而且要有好的“人权记录”。具体来说：

1、需要有可信的计划证明：1）具备大规模数据中心运营需要的物理、网络和人员安全标准；2）遵守美国出口管制法；3）尊重人权或有尊重人权的良好业绩记录。

2、和美国《出口管理条例》规定的“军事最终用户”或“军事情报最终用户”没有“关联”（包括研发协议和联合活动）。

3、所有的母公司、子公司（包括相关专业雇员）都必须：1）遵守美国财政部的反向投资审查规则，不得投资中国的半导体、量子计算和特定前沿AI模型设计和研发。2）遵守美国商务部的ICTS规则，消除对中国等禁运国家生产的先进半导体和网络设备的供应链依赖。3）消除对《2019年安全可信通信网络法》第2条所列的设备和服务的供应链依赖。4）向BIS申报所有和中国等禁运国家的公司、在实体清单和SDN清单上公司的合作活动（例如合资企业）。

4、不能把受控芯片转让给：1）中国等禁运国家境内的实体；2）总部在这些国家的实体；3）实体清单、国际战略核不扩散制裁清单、SDN清单、被拒绝人员清单上的实体或其雇员（不论国籍）；4）中国等禁运国家政府的雇员（不论国籍）；5）可能有很高风险会转移芯片给中国等禁运国的实体或人员。

5、获得UVEU认证的公司集团内部之间跨国转移受控芯片，提前60天通知 BIS。BIS 可以施加许可要求或其他额外条件。

6、未经BIS允许，所有子公司和母公司不能给“美西方”以外的实体提供用于训练受控模型权重的基础设施即服务（IaaS）。如果模型微调使用的计算操作不超过受控模型训练操作的25%，以及提供模型的API访问或IaaS服务用于推理而非训练，可以豁免许可。

拜登签署法令签署AI相关法令 资料图

此外，还需要遵守一系列的监控、记录、报告义务，以及所有权、基准、软件与网络、供应链、人员方面的具体要求。

二、管模型权重

管制模型权重，BIS的具体做法是在《商业管制清单》（CCL）里给“先进AI模型”的“参数”（parameters）新增了一个ECCN编码 4E091，管制理由为“地区稳定”。“参数”指的是在模型训练期间学习的任何值（例如，网络权重、偏差等）。

怎么定义AI模型的“先进”？我在“人工智能扩散出口管制框架”：美国打算怎么“全球限制”AI芯片？一文中曾预测：“可能以模型训练所需的浮点运算量（FLOPs）划线，确定一个阈值”来管制模型权重。从新规来看，美国政府的确采取了这种路径。BIS在新规里说：“听取了美国政府各部门技术专家的意见，我们确定衡量AI模型性能的一个合理指标是计算量（即用于训练模型的计算操作次数），这一结论得到了顶尖AI研究人员的经验证据的支持。”

BIS认为，少于10的26方以下计算操作训练出额的模型权重已经存储在全球各地了，很容易能被外国获得，所以也就没必要管制了。所以它们设定的最终阈值是用超过10的26次方次计算“操作”训练出来的闭源模型。“操作”包括任何后续训练过程，例如对预训练模型的微调，但不包括输入训练数据的收集和整理。

对这些模型权重的出口，许可政策是推定拒绝（默认不批），基于两个原因：1）一个强大的模型就算只被出口了一次，也可能被恐怖分子拿到。2）模型权重其实就是一堆数据，可以存储、复制和传输，只要出口一次就很难阻止其全球传播。所以，对这种东西，要用最严格的管制力度。关于模型权重的出口许可政策，对“美西方”家，新规设置了许可例外（豁免许可）；对中国等不友好国家，一律禁运；对“中间国家”的公司，获得了NVEU认证后可以适用许可例外。

除了管美国国内的模型权重，BIS还首次对美国境外的模型权重创造了外国直接产品规则。美国认为，先进的闭源AI模型训练高度依赖美国原产的受控GPU及含有该类GPU的服务器等部件，没有这些硬件就无法生成模型权重，所以可以适用外国直接产品规则管制美国以外的模型权重。

具体而言，只要使用了受控GPU、服务器和其他电子设备训练的闭源模型，且计算操作达到或超过10的26次方计算操作，即便相关模型在美国以外训练，其出口也要受美国的管制。即使模型训练没有使用上述受控硬件，但如果是在受控模型权重基础上通过微调、量化等“后训练”（Post-Training）技术生成的模型权重，也受到管制。

需要大量数据才能完成模型训练 网络

在模型权重部分，新规还增加了一条红旗警示（Red Flag 28）：美国本土运营的IaaS提供商，如果给外国公司在美国的子公司客户训练10的26次方以上大模型，模型训练和之后交付模型权重的行为可能导致模型权重被转移给客户的外国母公司，从而违反出口管制。这种情况下，IaaS提供商可能被视为“协助或教唆”违反出口管制。

BIS建议，这些美国IaaS服务商在把生成的模型权重交付给该客户时，要先问清楚模型权重是不是会出口；如果需要申请许可才能交付的，得先拿到许可；或者告诉客户需要去申请许可才能交付给它。

总的来说，这个新规和之前了解到的信息比较一致，但还是有三个surprise：

一是竟然对模型权重也施加了外国直接产品规则，这对中国公司在海外训练的大模型带来了直接的合规风险，在海外使用美国GPU不再是一个理想的选择，从美国的云服务商和AI公司来说，这也让他们很难受，不仅合规负担上升，还要担心吓跑客户。

二是对美国云服务商尽调义务的要求竟然如此严格，这已经超出了此前只是要求美国云“了解你的客户”（KYC）的力度，终于能理解为什么Oracle的高级副总裁前两天火气那么大地发文抨击了。

三是对“中间国家”的出口配额，原来听说要取消，但还是留下来了，只是通过鼓励这些国家的企业去申请NVEU、鼓励这些国家的政府和美国签国家安全保障协议，局部做了软化。这充分说明美国对AI能力被中国获得的关切已经严重到了不顾他国外交反弹的程度。对中国云的海外扩张来说，这或许是个机会。在“芯片战争”日益转向“云战争”的当下，任何这种机会都要抓住。