กระทรวงพาณิชย์สหรัฐเสนอร่างกฎบังคับใช้ KYC กับลูกค้าต่างชาติของ IaaS
(federalregister.gov)- BIS ของกระทรวงพาณิชย์สหรัฐเสนอแก้ไข 15 CFR Part 7 เพื่อกำหนดให้ผู้ให้บริการ U.S. IaaS ต้อง ยืนยันตัวตนลูกค้าต่างชาติ และรายงานธุรกรรมการฝึก AI บางประเภท
- กฎที่เสนออ้างอิง E.O. 13984 และ E.O. 14110 โดยมุ่งเป้าไปที่กรณีที่ผู้กระทำการไซเบอร์อันตรายจากต่างประเทศใช้ ผลิตภัณฑ์ U.S. IaaS และผู้ค้าต่อจากต่างประเทศ เพื่อหลีกเลี่ยงการติดตาม
- ผู้ให้บริการต้องจัดทำ Customer Identification Program (CIP) แบบอิงความเสี่ยง และต้องเก็บรวบรวม ตรวจสอบ และเก็บรักษาชื่อ ที่อยู่ วิธีชำระเงิน อีเมล หมายเลขโทรศัพท์ ที่อยู่ IP ฯลฯ ของลูกค้าต่างชาติและผู้ถือผลประโยชน์ที่แท้จริงจากต่างประเทศ
- หากรับทราบว่ามีธุรกรรมที่ชาวต่างชาติใช้ฝึก โมเดล AI ขนาดใหญ่ ซึ่งอาจถูกนำไปใช้ในกิจกรรมไซเบอร์อันตราย ทั้งผู้ให้บริการ U.S. IaaS และผู้ค้าต่อจากต่างประเทศจะมีหน้าที่ต้องรายงาน
- ขอบเขตการบังคับใช้ครอบคลุมทั้งผู้ให้บริการ U.S. IaaS และผู้ค้าต่อในสหรัฐ โดยหากฝ่าฝืนอาจถูกลงโทษทางแพ่งหรืออาญาตาม IEEPA และคาดว่าจะมีต้นทุนการปฏิบัติตามสะสม $270,672~$171.7 million
วัตถุประสงค์และฐานกฎหมายของร่างกฎ
- Bureau of Industry and Security (BIS) ของกระทรวงพาณิชย์ต้องการเพิ่มข้อกำหนดย่อยเกี่ยวกับ IaaS ใน 15 CFR Part 7 ผ่าน Proposed Rule
- ร่างกฎนี้มีโครงสร้างเพื่อบังคับใช้คำสั่งฝ่ายบริหาร 2 ฉบับ
- E.O. 13984: ให้ผู้ให้บริการ U.S. IaaS ตรวจสอบตัวตนของลูกค้าต่างชาติ และสามารถกำหนดมาตรการจำกัดการเข้าถึงต่อผู้กระทำการหรือเขตอำนาจศาลต่างประเทศบางแห่งได้
- E.O. 14110: กำหนดให้รายงานกรณีที่ชาวต่างชาติใช้ผลิตภัณฑ์ U.S. IaaS บางประเภทเพื่อฝึกโมเดล AI ขนาดใหญ่ที่อาจนำไปใช้ในกิจกรรมไซเบอร์อันตราย
- กำหนดเส้นตายการยื่นความเห็นคือ 29 เมษายน 2024
- ตามเมทาดาทาของเอกสาร Federal Register มีการส่งความเห็นเข้าไปใน Regulations.gov ทั้งหมด 523 ความเห็น
เหตุใด IaaS จึงกลายเป็นเป้าหมายการกำกับดูแล
- ผลิตภัณฑ์ IaaS ช่วยให้ลูกค้ารันซอฟต์แวร์และจัดเก็บข้อมูลได้โดยไม่ต้องบำรุงรักษาและดูแลเซิร์ฟเวอร์ด้วยตนเอง
- ร่างกฎมองว่าผู้กระทำการไซเบอร์อันตรายจากต่างประเทศใช้ผลิตภัณฑ์ U.S. IaaS เพื่อขโมยทรัพย์สินทางปัญญาและข้อมูลอ่อนไหว ดำเนินงานข่าวกรองแบบลับ และคุกคามโครงสร้างพื้นฐานสำคัญของสหรัฐ
- ผู้กระทำการอันตรายสามารถย้ายไปยัง โครงสร้างพื้นฐานทดแทน ของผู้ให้บริการ U.S. IaaS ได้อย่างรวดเร็วหลังปฏิบัติการ ทำให้รัฐติดตามได้ยาก
- หากผู้ค้าต่อจากต่างประเทศไม่ติดตามข้อมูลตัวตน หน่วยงานบังคับใช้กฎหมายก็จะเข้าถึงข้อมูลระบุตัวผู้กระทำการอันตรายผ่านกระบวนการบังคับใช้กฎหมายได้ยาก
- อีกเหตุผลด้านกฎระเบียบคือ โครงสร้างพื้นฐานคอมพิวต์ขนาดใหญ่สามารถถูกใช้โดยผู้กระทำการอันตรายจากต่างประเทศเพื่อ ฝึกโมเดล AI ขนาดใหญ่ ได้
ข้อกำหนดของ Customer Identification Program (CIP)
- ผู้ให้บริการ U.S. IaaS แต่ละรายต้องมีและดำเนินการ CIP แบบเป็นลายลักษณ์อักษร
- CIP ต้องเป็น ขั้นตอนแบบอิงความเสี่ยง ที่สะท้อนขนาดของผู้ให้บริการ ประเภทผลิตภัณฑ์ IaaS วิธีเปิดบัญชี ฐานลูกค้า และความเสี่ยงที่เกี่ยวข้อง
- ผู้ให้บริการ U.S. IaaS ต้องกำหนดให้ผู้ค้าต่อจากต่างประเทศมีและดำเนินการ CIP เช่นกัน
- ผู้ค้าต่อในสหรัฐสามารถอ้างอิง ใช้ หรือรับเอา CIP ของผู้ให้บริการ U.S. IaaS ต้นทางมาใช้ได้ตามข้อตกลงกับผู้ให้บริการดังกล่าว
- กระทรวงพาณิชย์คาดว่า หลังออกกฎฉบับสุดท้ายแล้ว อาจอนุญาตช่วงปรับตัวสูงสุด 1 ปี เพื่อดำเนินการตามบางข้อกำหนด
ข้อมูลลูกค้าที่ต้องเก็บรวบรวมและตรวจสอบ
- CIP ต้องมีขั้นตอนที่สามารถใช้พิจารณาได้ว่าลูกค้าเป้าหมายและผู้ถือผลประโยชน์ที่แท้จริงเป็น U.S. person หรือไม่
- ก่อนเปิดบัญชีให้ลูกค้าต่างชาติหรือผู้ถือผลประโยชน์ที่แท้จริงจากต่างประเทศ ต้องได้ข้อมูลอย่างน้อยดังต่อไปนี้
- ชื่อทางกฎหมาย ของบุคคล หรือชื่อธุรกิจของนิติบุคคล รวมถึงชื่อธุรกิจที่เคยใช้และใช้อยู่ในปัจจุบัน
- ที่อยู่ที่พักอาศัยหรือสถานประกอบการของบุคคล และสถานที่ใช้งานผลิตภัณฑ์ IaaS
- สถานประกอบการหลักของนิติบุคคล เขตอำนาจศาลที่จัดตั้ง และชื่อผู้ถือผลประโยชน์ที่แท้จริงของบัญชี
- วิธีชำระเงินและแหล่งที่มา: หมายเลขบัตรเครดิต หมายเลขบัญชี ตัวระบุลูกค้า ตัวระบุธุรกรรม กระเป๋าเงินคริปโตหรือข้อมูลระบุตัวกระเป๋าเงิน เป็นต้น
- ที่อยู่อีเมลและข้อมูลติดต่อทางโทรศัพท์
- ที่อยู่ IP ที่ใช้เข้าถึงหรือจัดการบัญชี รวมถึงวันเวลาในการเข้าถึงและจัดการ
- การเก็บและตรวจสอบ National identification number ถูกมองว่าเป็นภาระเกินจำเป็นและไม่จำเป็นต่อการยืนยันตัวตน จึงถูกตัดออกจากข้อกำหนดที่เสนอ
- กระทรวงพาณิชย์ยังขอความเห็นเกี่ยวกับวิธีระบุตัวตนแบบดิจิทัลหรือเทคโนโลยี เทคโนโลยีคุ้มครองความเป็นส่วนตัว และความจำเป็นในการเก็บข้อมูลเพิ่มเติม
การตรวจสอบตัวตนและการจัดการบัญชี
- CIP ต้องมีขั้นตอนการตรวจสอบ แบบใช้เอกสารหรือไม่ใช้เอกสาร เพื่อสร้างความเชื่ออย่างสมเหตุสมผลต่ออัตลักษณ์ที่แท้จริงของลูกค้าต่างชาติและผู้ถือผลประโยชน์ที่แท้จริงจากต่างประเทศ
- ขั้นตอนตรวจสอบต้องสะท้อนการประเมินความเสี่ยงตามประเภทบริการ วิธีเปิดบัญชี ข้อมูลระบุตัวตนที่มีอยู่ และฐานลูกค้า
- CIP ต้องกำหนดวิธีตรวจสอบในกรณีที่ลูกค้าไม่สามารถส่งเอกสารที่ร้องขอได้
- หากไม่สามารถยืนยันตัวตนได้ CIP ต้องมีเกณฑ์การจัดการดังต่อไปนี้
- กรณีที่ไม่ควรเปิดบัญชี
- เงื่อนไขที่อนุญาตให้ใช้บัญชีได้ระหว่างการตรวจสอบด้วยสิทธิ์จำกัดหรือการเฝ้าระวังที่เข้มงวดขึ้น
- เงื่อนไขการปิดบัญชีหรือการเฝ้าระวังเพิ่มเติมหลังตรวจสอบไม่ผ่าน
- ขั้นตอนเยียวยาและจัดการกรณีลูกค้าที่ถูกต้องตามกฎหมายตรวจสอบไม่ผ่าน หรือกรณีบัญชีปลอมจากการขโมยข้อมูล
- หากตรวจสอบได้ว่าลูกค้าและผู้ถือผลประโยชน์ที่แท้จริงทั้งหมดเป็น U.S. person บัญชีนั้นจะไม่อยู่ภายใต้ข้อกำหนดอื่นของข้อกำหนดย่อยนี้
การเก็บบันทึกและการจำกัดการเข้าถึง
- CIP ของผู้ให้บริการ U.S. IaaS และผู้ค้าต่อจากต่างประเทศต้องมีขั้นตอนสำหรับจัดทำและเก็บรักษาบันทึกข้อมูลลูกค้าที่ได้มาในกระบวนการตรวจสอบตัวตน
- รายการบันทึกขั้นต่ำมีดังนี้
- ข้อมูลระบุตัวลูกค้าหรือผู้ถือผลประโยชน์ที่แท้จริง
- สำเนาเอกสารหรือคำอธิบายเอกสารที่ใช้ในการตรวจสอบ
- วิธีและผลของการตรวจสอบแบบไม่ใช้เอกสาร
- รายละเอียดการแก้ไขความไม่สอดคล้องที่มีนัยสำคัญซึ่งพบระหว่างการตรวจสอบข้อมูลระบุตัวตน
- ต้องเก็บบันทึกไว้อย่างน้อย 2 ปี หลังวันปิดบัญชีหรือวันเข้าถึงครั้งสุดท้าย
- ต้องป้องกันไม่ให้บันทึกถูกแบ่งปันกับบุคคลภายนอกหรือพนักงานที่ไม่จำเป็นต้องรับรู้ และต้องปกป้องความพร้อมใช้ ความสมบูรณ์ และความลับด้วยวิธีอย่างการเข้ารหัส
- การแบ่งปันแนวปฏิบัติด้านความปลอดภัยหรือข้อมูลภัยคุกคามกับผู้ให้บริการ U.S. IaaS รายอื่นหรือ consortium ที่เกี่ยวข้อง อาจไม่ถือเป็นการกระทำที่อยู่ภายใต้ข้อจำกัด
หน้าที่ในการกำกับดูแลผู้ค้าต่อจากต่างประเทศ
- ผู้ให้บริการ U.S. IaaS ต้องกำหนดให้ผู้ค้าต่อจากต่างประเทศมีและดำเนินการ CIP แบบเป็นลายลักษณ์อักษร ที่สอดคล้องกับกฎ
- หากกระทรวงพาณิชย์ร้องขอ CIP ของผู้ค้าต่อจากต่างประเทศ ผู้ให้บริการ U.S. IaaS ต้องส่งให้ภายใน 10 วัน
- หากมีหลักฐานว่าผู้ค้าต่อจากต่างประเทศไม่มีหรือไม่ดำเนินการ CIP หรือไม่มีความพยายามโดยสุจริตในการป้องกันไม่ให้ผลิตภัณฑ์ U.S. IaaS ถูกใช้ในกิจกรรมไซเบอร์อันตราย ผู้ให้บริการ U.S. IaaS ต้องดำเนินมาตรการ
- ต้องรายงานกิจกรรมไซเบอร์อันตรายที่เกี่ยวข้องและปิดบัญชี
- หากทราบว่าปัญหายังไม่ได้รับการแก้ไข หรือการคงความสัมพันธ์กับผู้ค้าต่อเพิ่มความเสี่ยง ต้องยุติความสัมพันธ์กับผู้ค้าต่อภายใน 30 วัน
- ผู้ให้บริการ U.S. IaaS ต้องเก็บรวบรวมข้อมูลที่จำเป็นต่อการรับรอง CIP ครั้งแรกและประจำปีของผู้ค้าต่อจากต่างประเทศ
การรายงาน การรับรอง CIP และการประเมินการปฏิบัติตาม
- ผู้ให้บริการ U.S. IaaS ต้องแจ้งกระทรวงพาณิชย์เกี่ยวกับการนำ CIP ไปใช้ผ่าน CIP certification form
- แบบฟอร์มรับรองต้องมีข้อมูลเกี่ยวกับเครื่องมือและขั้นตอนยืนยันตัวตน ขั้นตอนแจ้งการเปลี่ยนแปลงโครงสร้างผู้ถือหุ้น เครื่องมือตรวจจับกิจกรรมไซเบอร์อันตราย ขั้นตอนกำหนด CIP กับผู้ค้าต่อจากต่างประเทศ และขั้นตอนระบุธุรกรรมฝึกโมเดล AI ขนาดใหญ่ เป็นต้น
- ต้องทบทวนและอัปเดต CIP ทุกปี และส่งการรับรองประจำปี
- เพื่อสะท้อนการเปลี่ยนแปลงในการให้บริการ
- เพื่อสะท้อนการเปลี่ยนแปลงของสภาพแวดล้อมภัยคุกคาม
- เพื่อตรวจสอบการปฏิบัติตามกฎ
- เพื่อบันทึกจำนวนครั้งที่การยืนยันตัวตนลูกค้าล้มเหลวและผลการจัดการแต่ละครั้ง
- การเปลี่ยนแปลงสำคัญด้านการดำเนินธุรกิจหรือโครงสร้างองค์กร การเปลี่ยนแปลงสาระสำคัญของ CIP และการเปลี่ยนแปลงผู้ติดต่อหลักของ CIP ก็อยู่ในข่ายที่ต้องแจ้งเช่นกัน
- กระทรวงพาณิชย์สามารถประเมินความเสี่ยงจากข้อมูลที่ส่งมาและข้อมูลสาธารณะ และหากจำเป็นอาจร้องขอสำเนา CIP การประเมินการปฏิบัติตาม การประเมินติดตามผล หรือการตรวจสอบได้
การยกเว้น CIP และ Abuse of IaaS Products Deterrence Program
- Secretary สามารถยกเว้นข้อกำหนด CIP ให้กับผู้ให้บริการ U.S. IaaS ประเภทบัญชีบางประเภท ผู้เช่าบางราย หรือผู้ค้าต่อจากต่างประเทศบางรายได้
- การพิจารณายกเว้นอิงจากว่าหน่วยงานนั้นดำเนินการตาม แนวปฏิบัติด้านความปลอดภัย เพื่อยับยั้งการนำผลิตภัณฑ์ IaaS ไปใช้ในทางที่ผิดหรือไม่
- ผู้ให้บริการที่ต้องการขอยกเว้นต้องส่งเอกสารเป็นลายลักษณ์อักษรอธิบาย Abuse of IaaS Products Deterrence Program (ADP)
- ADP ต้องมีองค์ประกอบดังต่อไปนี้
- การระบุ Red Flag โดยคำนึงถึงประเภทบัญชี วิธีเข้าถึง และประวัติกิจกรรมอันตรายในอดีต
- ขั้นตอนตรวจจับ Red Flag
- ขั้นตอนตอบสนอง เช่น การเฝ้าระวังบัญชี การติดต่อกับลูกค้า การเปลี่ยนรหัสผ่านหรืออุปกรณ์ความปลอดภัย การปฏิเสธบัญชีใหม่ การปิดหรือระงับบัญชี และการแจ้งหน่วยงานบังคับใช้กฎหมาย
- การอัปเดตเป็นระยะตามการเปลี่ยนแปลงของความเสี่ยงและโครงสร้างธุรกิจ
- การอนุมัติโดยคณะกรรมการหรือผู้บริหารระดับสูง การฝึกอบรมพนักงาน และขั้นตอนกำกับดูแลผู้ค้าต่อ
- ปัจจัยในการพิจารณายกเว้นยังรวมถึงการเข้าร่วม consortium ภาครัฐหรือเอกชน และความร่วมมือกับการสอบสวนของหน่วยงานบังคับใช้กฎหมาย
- การยกเว้นสามารถถูกเพิกถอนได้ทุกเมื่อ และอาจเพิกถอนเพื่อกำหนดมาตรการพิเศษด้วย
มาตรการพิเศษต่อเขตอำนาจศาลต่างประเทศหรือชาวต่างชาติบางราย
- Secretary สามารถห้ามหรือกำหนดเงื่อนไขต่อการเปิดหรือคงไว้ซึ่งบัญชี U.S. IaaS ที่เกี่ยวข้องกับเขตอำนาจศาลต่างประเทศหรือชาวต่างชาติบางรายได้ หากมีเหตุอันสมควร
- เป้าหมายได้แก่
- เขตอำนาจศาลต่างประเทศที่มีชาวต่างชาติจำนวนมากซึ่งให้บริการหรือจัดหาผลิตภัณฑ์ U.S. IaaS มาใช้ในกิจกรรมไซเบอร์อันตรายโดยตรง
- ชาวต่างชาติที่มีรูปแบบพฤติกรรมในการให้บริการหรือจัดหาผลิตภัณฑ์ U.S. IaaS มาใช้ในกิจกรรมไซเบอร์อันตรายโดยตรง
- ปัจจัยที่ใช้พิจารณา ได้แก่
- หลักฐานว่าผู้กระทำการไซเบอร์อันตรายจากต่างประเทศได้รับผลิตภัณฑ์ U.S. IaaS จากเขตอำนาจศาลนั้น
- ระดับที่เขตอำนาจศาลนั้นเป็นแหล่งกำเนิดของกิจกรรมไซเบอร์อันตราย
- การมีอยู่ของสนธิสัญญาความช่วยเหลือทางกฎหมายร่วมกับสหรัฐ และประสบการณ์ของหน่วยงานบังคับใช้กฎหมายในการเข้าถึงข้อมูล
- ระดับที่การใช้หรือการให้บริการผลิตภัณฑ์ U.S. IaaS ของชาวต่างชาตินั้นเอื้อต่อกิจกรรมอันตราย
- ระดับการใช้เพื่อวัตถุประสงค์ทางธุรกิจที่ชอบด้วยกฎหมาย
- ความเพียงพอของมาตรการที่เบากว่ามาตรการพิเศษ
- การเลือกใช้มาตรการพิเศษจะพิจารณาถึงความเสียเปรียบทางการแข่งขันอย่างมีนัยสำคัญต่อผู้ให้บริการ U.S. IaaS ต้นทุนหรือภาระที่มากเกินไป ผลกระทบเชิงลบต่อกิจกรรมธุรกิจที่ชอบด้วยกฎหมาย และผลต่อความมั่นคงแห่งชาติ การบังคับใช้กฎหมาย ห่วงโซ่อุปทาน นโยบายต่างประเทศ สาธารณสุข และความปลอดภัยของสหรัฐ
- คำตัดสินเรื่องมาตรการพิเศษอาจมีผลบังคับใช้ได้นานสูงสุด 365 วัน และสามารถขยายต่อผ่านประกาศใน Federal Register
- ผู้ให้บริการ U.S. IaaS จะไม่ถูกบังคับให้ดำเนินมาตรการพิเศษก่อนระยะเวลา 180 วัน หลังจากมีการออกคำตัดสิน
การรายงานธุรกรรมการฝึกโมเดล AI ขนาดใหญ่
- ผู้ให้บริการ U.S. IaaS ต้องรายงานต่อกระทรวงพาณิชย์เมื่อรับทราบ covered transaction ที่ชาวต่างชาติใช้ฝึก โมเดล AI ขนาดใหญ่ ซึ่งอาจนำไปใช้ในกิจกรรมไซเบอร์อันตราย
- ผู้ค้าต่อจากต่างประเทศก็ต้องรายงานต่อผู้ให้บริการ U.S. IaaS เมื่อรับทราบ covered transaction และผู้ให้บริการต้องส่งต่อไปยังกระทรวงพาณิชย์
- covered transaction ครอบคลุมกรณีที่ธุรกรรมสำหรับชาวต่างชาติหรือในนามของชาวต่างชาติก่อให้เกิดหรืออาจก่อให้เกิดการฝึกโมเดล AI ขนาดใหญ่ดังกล่าว
- แม้ในตอนแรกจะยังไม่เข้าเงื่อนไข แต่หากภายหลังมีการปรับขั้นตอนการฝึกหรือมีข้อมูลใหม่เกี่ยวกับความสามารถของโมเดลจนเข้าเงื่อนไข ก็จะถือเป็น covered transaction
- กำหนดเวลารายงานมีดังนี้
- ผู้ให้บริการ U.S. IaaS: ภายใน 15 วัน หลังเกิดหรือรับทราบ covered transaction
- ผู้ค้าต่อจากต่างประเทศ: รายงานต่อผู้ให้บริการภายใน 15 วัน
- ผู้ให้บริการ U.S. IaaS: ส่งรายงานจากผู้ค้าต่อจากต่างประเทศต่อกระทรวงพาณิชย์ภายใน 30 วัน หลัง covered transaction
- คำขอข้อมูลเพิ่มเติมหรือรายงานแก้ไข: อย่างละภายใน 15 วัน หลังได้รับคำขอหรือรับทราบความไม่ถูกต้อง
- รายงานเบื้องต้นต้องรวมข้อมูลลูกค้าต่างชาติ ผู้ถือผลประโยชน์ที่แท้จริง และข้อมูลการดำเนินการฝึก
- ปริมาณการประมวลผลโดยประมาณที่ใช้ในการฝึก
- วันเริ่มต้นและวันสิ้นสุดที่คาดการณ์
- แนวปฏิบัติในการฝึกและข้อมูลรุ่น AI accelerator หลัก
- นโยบายการจัดเก็บอย่างปลอดภัยและการปกป้องการเข้าถึง model weights
- เหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์หรือภัยคุกคามจากคนในในช่วง 4 ปีที่ผ่านมา ที่เกี่ยวข้องกับการเข้าถึง model weights หรือ source code โดยไม่ได้รับอนุญาต หรือก่อให้เกิดความเสียหายสำคัญ
คำจำกัดความและขอบเขตการบังคับใช้
- U.S. IaaS provider หมายถึง U.S. person ที่ให้บริการผลิตภัณฑ์ IaaS และครอบคลุมทั้งผู้ให้บริการโดยตรงและผู้ค้าต่อในสหรัฐ
- มีข้อเสนอให้ระบุชัดว่า บริษัทย่อยในต่างประเทศจะไม่ถือเป็น “United States Infrastructure as a Service provider”
- IaaS product คือผลิตภัณฑ์หรือบริการที่ให้ทรัพยากรคอมพิวต์พื้นฐานด้านประมวลผล จัดเก็บข้อมูล เครือข่าย หรืออื่น ๆ และทำให้ลูกค้าสามารถติดตั้งและรันซอฟต์แวร์ที่ไม่ได้กำหนดไว้ล่วงหน้า เช่น ระบบปฏิบัติการและแอปพลิเคชัน
- คำจำกัดความนี้ครอบคลุมการให้บริการแบบฟรีหรือทดลองใช้ แบบ managed และ unmanaged ผลิตภัณฑ์เสมือน และผลิตภัณฑ์เฉพาะทาง
- ตามตัวเอกสาร คำจำกัดความนี้อาจครอบคลุม CDN, บริการ proxy และบริการแปลงชื่อโดเมน แต่ไม่รวมบริการจดทะเบียนชื่อโดเมน เพราะไม่ได้ให้ทรัพยากรคอมพิวต์พื้นฐาน
- beneficial owner ถูกนิยามว่าเป็นบุคคลธรรมดาที่ควบคุมลูกค้าอย่างมีนัยสำคัญ หรือเป็นเจ้าของ/ควบคุมสัดส่วนการถือหุ้นของลูกค้าอย่างน้อย 25%
ต้นทุนและผลกระทบที่คาดการณ์
- ร่างกฎนี้ใช้กับผู้ให้บริการและผู้ค้าต่อผลิตภัณฑ์ U.S. IaaS ทั้งหมด
- กระทรวงพาณิชย์ประเมินว่าหน่วยงานที่อาจได้รับผลกระทบมีจำนวน 25~1,837 ราย
- ค่าต่ำสุดคือผู้ให้บริการ IaaS หลักในสหรัฐราว 25 ราย
- ค่าสูงสุดคำนวณรวมบริษัท Telecommunications Resellers จำนวน 1,812 รายจาก Census Bureau ปี 2020
- ในกลุ่ม Telecommunications Resellers ดังกล่าว 99% หรือ 1,791 บริษัท ถูกจัดอยู่ในกลุ่มที่มีพนักงานไม่เกิน 500 คน
- รายการต้นทุนการปฏิบัติตามที่คาดการณ์รวมถึงการเรียนรู้กฎ การพัฒนา ดำเนินการ และอัปเดต CIP การรับรองประจำปี การฝึกอบรมผู้ค้าต่อจากต่างประเทศ และการจัดการรายงานผู้ค้าต่อจากต่างประเทศและรายงานการฝึก AI
- คาดว่าต้นทุนการปฏิบัติตามสะสมอยู่ที่ $270,672~$171.7 million
- ในการวิเคราะห์ตาม Paperwork Reduction Act ประเมินว่าภาระเริ่มต้นด้านการศึกษา พัฒนา และดำเนินการอยู่ที่ 245,229 ชั่วโมง หลังจากนั้นภาระด้านการอัปเดตและการรับรองประจำปีอยู่ที่ 84,494 ชั่วโมง และภาระด้านการฝึกอบรมผู้ค้าต่อจากต่างประเทศและการจัดการรายงานอยู่ที่ 127,328 ชั่วโมง
- ต้นทุนรวมที่คาดการณ์ของรัฐบาลสหรัฐอยู่ที่ $409,200
การบังคับใช้และบทลงโทษ
- การฝ่าฝืนร่างกฎอาจนำไปสู่ บทลงโทษทางแพ่งหรืออาญา ตาม IEEPA
- การกระทำที่ต้องห้ามรวมถึง
- ไม่ยื่นรายงาน การรับรอง หรือการรับรองซ้ำที่จำเป็น
- ไม่ดำเนินการหรือไม่คงไว้ซึ่ง CIP
- ยังคงทำธุรกิจกับผู้ค้าต่อจากต่างประเทศที่ไม่ดำเนินการหรือไม่คงไว้ซึ่ง CIP
- ให้บริการผลิตภัณฑ์ IaaS แก่ชาวต่างชาติโดยไม่ปฏิบัติตามคำสั่ง คำตัดสิน หรือเงื่อนไขของ Department
- การให้ถ้อยคำ การแจ้ง หรือการรับรองอันเป็นเท็จหรือทำให้เข้าใจผิด
- ค่าปรับทางแพ่งสามารถกำหนดได้ไม่เกินจำนวนที่มากกว่า ระหว่าง $250,000 บวกการปรับตามเงินเฟ้อ ต่อการฝ่าฝืนหนึ่งครั้ง หรือ 2 เท่าของมูลค่าธุรกรรมที่เป็นฐานของการฝ่าฝืน
- บทลงโทษทางอาญาสำหรับการฝ่าฝืนโดยเจตนาคือค่าปรับ สูงสุด $1,000,000 สำหรับบุคคลธรรมดาอาจถูกจำคุก สูงสุด 20 ปี หรือทั้งสองอย่าง
- ผู้ที่รับทราบข้อเท็จจริงที่อาจเป็นการฝ่าฝืนสามารถแจ้งต่อ Office of Information and Communications Technology and Services, Bureau of Industry and Security, U.S. Department of Commerce ได้
1 ความคิดเห็น
ความเห็นจาก Hacker News
พอไล่อ่านคร่าว ๆ แล้ว ดูเหมือนว่ากฎนี้มีเป้าหมายประมาณว่าให้ ผู้ให้บริการโครงสร้างพื้นฐาน IaaS ตรวจสอบตัวตนของคนที่ใช้บริการของตนเพื่อฝึก AI
มันดูเหมือนเป็นความพยายามที่จะป้องกันไม่ให้ผู้ที่ถูกคว่ำบาตรหรือผู้ไม่หวังดีฝึก AI โดยเฉพาะการย้ายไปมาระหว่างบริการหรือใช้นามแฝงเพื่อฝึกโมเดลเดิมต่อ
ฟังดูค่อนข้างไม่อันตราย เลยไม่ค่อยเข้าใจอุปมาที่คนอื่นยกขึ้นมาในวงสนทนา HN นี้
ไม่แน่ใจว่านี่คือการพูดถึง slippery slope หรือว่าผมมองเรื่องขอบเขตของมันแบบใสซื่อเกินไป
สุดท้ายแล้ว ถ้าจะคัดแยกว่าใครเป็นชาวต่างชาติ ผู้ให้บริการก็น่าจะต้องตรวจสอบตัวตนของทุกคน
พูดอีกอย่างคือ ถ้าจะรัน WordPress ของตัวเอง, Mastodon node, เว็บไซต์ CMS ที่ทำเอง, กรุ๊ปแชต, IRC หรือ Bitcoin node คุณก็ต้องเปิดเผยตัวตนต่อผู้ให้บริการโฮสติ้งที่ต้องการใช้
อันนี้ค่อนข้างแย่ และเห็นได้ชัดว่าสามารถถูกนำไปใช้ในทางที่ผิดเพื่อระบุตัวผู้เห็นต่างทางการเมืองได้ นอกจากนี้ IaaS ยังต้องรายงานต่อกระทรวงพาณิชย์สหรัฐเกี่ยวกับชาวต่างชาติที่ใช้บริการเพื่อฝึกโมเดล AI ขนาดใหญ่ด้วย
ไม่มีใครอยากส่งเซลฟีกับพาสปอร์ตเพื่อจะสร้าง Digital Ocean droplet สักตัวหรอก
ถึงอย่างนั้น ผมก็ยังไม่ค่อยเข้าใจเหมือนกันว่าคนอื่นกำลังมองว่าส่วนไหนของกฎนี้เป็นปัญหา
จะขโมยเอกสารของใครสักคน หรือจ่ายเงินให้คนไร้บ้านมายืนยันตัวตนก็ยังได้ และเท่าที่ผมเข้าใจ สหรัฐก็ไม่มีฐานข้อมูลประชาชนกลางอยู่แล้ว การตรวจเอกสารเลยยากด้วย
นี่มันฝันร้ายชัด ๆ คงน่าแปลกมากถ้าผู้ให้บริการ IaaS จะไม่ออกมาต่อต้านอย่างหนัก ถ้า AWS เริ่มขอ เอกสาร KYC ผมจะย้ายทรัพยากรคลาวด์ทั้งหมดทันที
แทบไม่ต้องออกแรงอะไรเลย
บางบริการอาจต้องสร้างและดูแลเองด้วยซ้ำกว่าจะได้ฟังก์ชันเทียบเท่า
ตัวเป้าหมายเองก็ดูสมเหตุสมผล แต่ก็มีความกลัวเสมอว่ากฎหมายอาจขยายกว้างกว่าความตั้งใจระดับบน
ถ้าย้ายได้ง่ายขนาดนั้น ก็เลยสงสัยว่าทำไมมันถึงเป็น “ฝันร้ายชัด ๆ”
ผมทำงานกับ ระบบ KYC ในสถาบันการเงินขนาดกลางถึงใหญ่ แนวโน้มที่เพิ่มข้อกำหนด KYC ให้กับบริการออนไลน์มากขึ้นเรื่อย ๆ เป็นเรื่องน่ากังวล
KYC เป็นภาระใหญ่สำหรับใครก็ตามที่อยากให้บริการ การระบุตัวผู้ใช้ตามแต่ละประเทศและความเข้าใจกฎเกณฑ์รายภูมิภาคมีความซับซ้อน ทำให้ผู้ให้บริการมีภาระหนักและสุดท้ายก็มักต้องจ้างบริษัทอื่นมาทำ KYC แทน
แต่ผู้ให้บริการ KYC ส่วนใหญ่ไม่ได้รองรับทุกประเทศที่คุณอยากรองรับ ดังนั้นคุณต้องจำกัดบริการให้ตรงกับพื้นที่ให้บริการของผู้ขาย หรือไม่ก็ต้องเชื่อมหลายเจ้าเข้าด้วยกัน ซึ่งก็ยาก เพราะแต่ละเจ้ามักอยากให้ใช้แบบผูกขาด
ถ้าก่อนหน้านี้ยังไม่มีทีมวิศวกรรมที่ดูแล KYC ตอนนี้ก็คงต้องมี และมีโอกาสสูงว่าจะต้องเพิ่มหรือขยายทีมกำกับดูแลการปฏิบัติตามกฎด้วย บริษัทจะเปลี่ยนจากการเป็นองค์กรที่ขับเคลื่อนด้วยวิศวกรรมหรือผลิตภัณฑ์ ไปเป็นบริษัทที่ขับเคลื่อนด้วย compliance ไม่มากก็น้อย
KYC ทำให้กำแพงในการเข้าสูงขึ้นและตรึงความได้เปรียบของผู้เล่นรายเดิม ดูจากสถาบันการเงินและอุตสาหกรรมหนังโป๊ได้เลย
KYC โดยมากก็ไม่ได้เป็นนโยบายที่อิงหลักฐานนัก [1, 2] ผู้ไม่หวังดีหลบเลี่ยงข้อกำหนด KYC ได้ ขณะที่ระบบ KYC กลับเป็นอุปสรรคต่อผู้ใช้ทั่วไปที่สุจริต
ระบบ KYC จำนวนมากพึ่งพานายหน้าข้อมูลและผู้รวบรวมข้อมูล ซึ่งก็คือคนที่ซื้อขายข้อมูลส่วนบุคคล ถ้าคุณอายุน้อย ยากจน หรือให้ความสำคัญกับความเป็นส่วนตัวจนไม่ได้อยู่ “ในระบบ” คุณก็จะถูกมองว่าน่าสงสัย
จากประสบการณ์ของผม ระบบป้องกันการฉ้อโกง จับผู้ไม่หวังดีได้ดีกว่า KYC ที่รัฐสั่งบังคับจากบนลงล่าง
สำหรับคนที่ไม่คุ้น KYC ย่อมาจาก “know your customer” หรือ การยืนยันตัวตนลูกค้า ควรเขียนคำเต็มตอนใช้ครั้งแรก โดยเฉพาะเมื่อบทความที่ลิงก์ไว้เองก็ไม่ได้ใช้ตัวย่อนี้
และควรชี้ด้วยว่าข้อเสนอนี้ไม่ได้มุ่งไปที่ “บริการอินเทอร์เน็ต” ทั่วไป แต่เจาะจงผลิตภัณฑ์ Infrastructure as a Service (IaaS) ของสหรัฐ
ข้อความสำหรับยื่น:
เหลือเวลาอีกเพียง 4 วัน พอดีที่จะฝากความเห็นคัดค้านข้อกำหนด KYC สำหรับผู้ให้บริการอินเทอร์เน็ตต่อรัฐบาลกลางสหรัฐฯ
กฎหมายนี้ไม่ได้เป็นประโยชน์ต่ออินเทอร์เน็ตเสรีและสังคม
ช่วยสรุปเหตุผลฝั่งที่สนับสนุนเรื่องนี้ให้แข็งแรงที่สุด แล้วอธิบายด้วยว่าทำไมถึงมองว่าเหตุผลนั้นไม่น่าโน้มน้าวได้ไหม?
ดูคำนิยามได้ที่ https://www.federalregister.gov/d/2024-01580/p-46
การอธิบายประเด็นนี้ผิดไปไม่ช่วยอะไร
ประเด็นหลักที่เราควรเขียนคือ “ถ้าธนาคารรู้จักลูกค้าอยู่แล้ว เราก็ไม่จำเป็นต้องรู้”
ร่องรอยการยืนยันตัวตนลูกค้ามักเชื่อมไปถึงการชำระเงินและการเงินเสมอ
ถ้ารับเงินค่าบริการผ่านธุรกรรมบัตรธนาคารมาตรฐานหรือการโอนเงิน ก็สามารถ รวมศูนย์ การยืนยันตัวตนลูกค้าไว้ที่ธนาคารได้
ปัญหาคือ KYC เป็นศูนย์ต้นทุนที่แทบไม่มีข้อดีนอกจาก “ถูกบังคับตามกฎหมาย” จึงกลายเป็นงานติ๊กช่องให้ครบอย่างรวดเร็ว
อุตสาหกรรมจะเข็นโซลูชัน “compliance-in-a-box” ที่ห่วยออกมา ทุกคนก็จะใช้มัน แล้วสุดท้ายก็จะมีข้อมูลรั่วไหล
แล้วคนกลุ่มเดียวกับที่ทำ Bulletproof Hosting ยุคสแปมไวอากร้าก็จะกลับมาพร้อมกับ Bulletproof Rack Full Of Quadros
เว้นแต่ว่าจะมี กรอบกำกับดูแลระดับโลก แบบเดียวกับ FATF สำหรับผลิตภัณฑ์ IaaS ไม่อย่างนั้นบริการ IaaS ของสหรัฐฯ จะเสียความสามารถในการแข่งขัน
การสแกนบัตรประชาชนแบบง่าย ๆ กำลังหมดไปแล้ว
การ “ยืนยันตัวตนด้วยชีวมิติ” ที่ต้องเปิดเว็บแคมเพื่อใช้โครงสร้างพื้นฐานอินเทอร์เน็ตพื้นฐาน แล้วปล่อยให้คนแปลกหน้าสร้าง แบบจำลองชีวมิติ ทั้งศีรษะของคุณ คือดิสโทเปียที่เราถูกยัดเยียดให้ยอมรับ และมันจะเกิดขึ้นจริง
หวังว่า “AI” จะคุ้มค่าพอแล้วกัน มาดูกันว่ามันจะแก้ปัญหาที่พวกคุณสร้างขึ้นนี้ได้ไหม
เพราะ ฐานข้อมูลของรัฐบาล ที่รวมใบหน้าของทุกคนจากพาร์ตเนอร์เอกชนต่าง ๆ ยังประกอบต่อกันไม่สมบูรณ์พอ
เรื่องนี้ไม่เกี่ยวกับ AI แต่เป็นปัญหาของฝ่ายบริหารและหน่วยข่าวกรองที่ไร้การควบคุม AI เป็นเพียงอีกเครื่องมือหนึ่งที่ทำให้ทั้งหมดนี้ถูกลงเท่านั้น
สำหรับคนที่ไม่รู้ว่านี่คืออะไร คำอธิบายอยู่ด้านล่างของหน้านิดหน่อย
สรุปคือ E.O. 13984 ให้อำนาจกระทรวงพาณิชย์กำหนดให้ผู้ให้บริการ IaaS ของสหรัฐฯ ต้อง ยืนยันตัวตนผู้ใช้ต่างชาติ, เก็บบันทึกผู้ใช้ต่างชาติ, และจำกัดการเข้าถึงของผู้กระทำการต่างชาติบางราย เพื่อตอบสนองต่อภัยคุกคามจากกิจกรรมไซเบอร์ที่เป็นอันตราย
จากนั้น E.O. 14110 ก็ให้อำนาจกำหนดให้ผู้ให้บริการ IaaS ของสหรัฐฯ บังคับให้ผู้ขายต่อชาวต่างชาติตรวจสอบตัวตนของผู้ใช้ต่างชาติด้วย และให้ยื่นรายงานต่อกระทรวงพาณิชย์เมื่อมีธุรกรรมที่ชาวต่างชาติใช้เพื่อฝึกโมเดล AI ขนาดใหญ่ที่มีศักยภาพอาจถูกใช้ในกิจกรรมไซเบอร์ที่เป็นอันตราย
“ผลิตภัณฑ์โครงสร้างพื้นฐานแบบบริการ” หมายถึงผลิตภัณฑ์หรือบริการใด ๆ ที่ให้แก่ผู้บริโภค รวมถึงการให้ใช้ฟรีหรือแบบทดลอง
ซึ่งให้ทรัพยากรคอมพิวติ้งพื้นฐาน เช่น การประมวลผล พื้นที่จัดเก็บ เครือข่าย หรือทรัพยากรพื้นฐานอื่น ๆ และทำให้ผู้บริโภคสามารถติดตั้งและรันซอฟต์แวร์ที่ไม่ได้ถูกกำหนดไว้ล่วงหน้า รวมถึงระบบปฏิบัติการและแอปพลิเคชัน
โดยทั่วไปผู้บริโภคจะไม่ได้จัดการหรือควบคุมฮาร์ดแวร์พื้นฐานส่วนใหญ่ แต่จะควบคุมระบบปฏิบัติการ พื้นที่จัดเก็บ และแอปพลิเคชันที่ติดตั้งไว้
คำนี้ครอบคลุมทั้งผลิตภัณฑ์/บริการแบบ “managed” ที่ผู้ให้บริการรับผิดชอบการตั้งค่าหรือการดูแลระบบบางส่วน และผลิตภัณฑ์/บริการแบบ “unmanaged” ที่ผู้ให้บริการรับผิดชอบเพียงความพร้อมใช้งานของผลิตภัณฑ์
นอกจากนี้ยังรวมถึงผลิตภัณฑ์/บริการแบบ “virtualized” ที่แบ่งทรัพยากรคอมพิวติ้งของเครื่องจริงออกเป็นคอมพิวเตอร์เสมือนที่เข้าถึงได้ทางอินเทอร์เน็ต เช่น “virtual private server” และผลิตภัณฑ์/บริการแบบ “dedicated” ที่ให้ทรัพยากรคอมพิวติ้งทั้งหมดของเครื่องจริงแก่บุคคลเดียว เช่นเซิร์ฟเวอร์ “bare metal”
มีภาพรวมที่ดีอยู่ที่นี่: https://www.akingump.com/en/insights/alerts/commerce-issues-...