咨询实例：美国《远程访问安全法》（RASA)草案将对我出海企业产生何种影响？未来出路在哪里？

原创

袁立志
袁立志

减熵实验室

2026年6月26日 13:22
上海

在小说阅读器读本章

去阅读

作者：袁立志

有朋友问，某中国企业打算在韩国部署英伟达高端芯片，开展AI模型训练，担心会因《远程访问安全法》（RASA）而面临法律风险，想了解有没有解决方法。

《远程访问安全法》（RASA）这个名称有误导性，会让人以为是数据安全方面的立法，其实这是出口管制方面的立法。美国对华芯片出口管制，正是当前中美科技战短兵相接的最前线。

RASA目前还在立法过程中。RASA立法议案于2025 年 4 月提交给美国众议院，获两党共识后，2026年 1 月在众议院全会高票通过，随后移交参议院银行、住房和城市事务委员会审议，目前尚未提交全会表决。尽管还需要参议院通过和总统签署，但由于其在众议院的支持率极高，且有参议院两党议员共同推出的配套法案支撑，因此RASA最终成为法律的可能性还是比较大的。

一旦成为法律，RASA将是对美国出口管制体系的一次重大扩展，因为其将所谓“数字出口”纳入出口管制范围。外国主体通过互联网、云服务等网络形式，远程访问美国受控物项，被定义为与实体货物出口同等性质的 “数字出口”，直接纳入《2018 年出口管制改革法》监管范畴。

按照《2018 年出口管制改革法》第1742条，受管制的物项（Item）包括货物（Commodity)、软件（Software）以及技术（Technology）。受管制的行为则包括出口、再出口和国内转移，定义如下：

1.出口（Export）是指：(A) 以任何方式将物项运出、传输出美国境内；(B) 在美国境内，向外国主体披露、转让该物项相关技术或源代码（即视同出口）。

再出口（Reexport）是指：(A) 以任何方式将受管制物项从一个外国转运、传输至另一外国；(B) 在境外，向外国主体披露、转让相关技术 / 源代码（视同再出口）。
国内转移（In-country transfer）是指在同一外国境内，某一受管物项的最终用户或最终用途发生变更。举例：芯片卖到韩国 A 公司（民用制造），后转给韩国 B 军工企业，同一国内但最终用途 / 用户改变，属于国内转移，需要出口许可。

对中国企业而言，在上述出口管制下，难以直接从美国进口先进芯片（构成“出口”），也难以通过第三国转口获得芯片（构成“再出口”），甚至在第三国本地获得芯片的路径也被封堵（构成“国内转移”）。

于是，部分企业不再寻求获得先进芯片，而是通过购买第三国的数据中心或云服务商（其服务器使用先进芯片）的算力，来绕过上述出口管制。

RASA正是为了进一步封堵这一“漏洞”而出台的。

RASA的内容非常简短，只有三条，核心的第2条相当于《2018 年出口管制改革法》的一个修正案。修正的内容就是在原来三种管制行为“出口”“再出口”和“国内转移”的基础上增加一种：远程访问（Remote Access）。

根据RASA第2条，远程访问是指，外国主体通过网络连接（包括互联网、云计算服务），在受出口管制的物项物理所在地以外的地点，出于故意、明知、轻率或过失情形访问该受管制的物项，前提是商务部长认定，该产品的使用会对美国国家安全或外交政策构成严重风险。

定义原文如下：

The term ‘remote access’ means access on a purposeful, knowing, reckless, or negligent basis to an item subject to the jurisdiction of the United States under this Act by a foreign person through a network connection, including the internet or a cloud computing service, from a location other than where the item is physically located if the Secretary determines that the use of the item could pose a serious risk to the national security or foreign policy of the United States.

显然，如果RASA成为法律，使用第三国IDC的算力服务来训练模型的方法不再奏效。

不过，在RASA之前，美国监管已经对上述政策”漏洞”有所警觉，并采取了一些措施，所以即使目前RASA尚未生效，中国企业通过海外IDC算力训练AI模型仍然需要注意以下风险：

1.2025年5月13日BIS政策声明

BIS于2025年5月13日发布的《关于可能用于训练AI模型的先进计算集成电路及其他商品的管控政策声明》，认为以下涉及IDC的情形可能触发BIS许可要求（为行文方便，以下我们把总部位于D:5国家（包括中国）或澳门的企业直接称为“中国企业”）：

（1）向IaaS提供商出口/再出口/在国内转让先进芯片，若明知其将用于为中国企业训练AI模型；

（2）IaaS提供商已持有先进芯片，其在第三国境内进行转让，且明知受让方将用于为中国企业训练AI模型；

（3）美国主体在明知将用于或可能协助为中国企业训练AI模型的情况下，为之提供支持或者履行合同、服务或劳动合同。

不过，BIS在政策声明中明确，上述出口许可要求的触发前提是\"明知（knowledge）\"AI模型将被用于大规模杀伤性武器（WMD）或军事情报最终用途/最终用户。

BIS进一步澄清：“在不涉及AI模型将被用于WMD或军事情报最终用户或最终用途的情况下，BIS并未认定向IaaS提供商提供先进的计算产品或服务，用于为中国企业或为其利益而训练AI模型这类行为本身就违反了EAR。”

上述政策解释限定在《2018 年出口管制改革法》框架之下，所以相对于RASA，还是比较克制，给非军事用途的模型训练留了一线空间。

2.Red Flag 28的尽职调查义务

BIS在《人工智能扩散框架》（AI Diffusion Rule）中于EAR §732补充条款3新增Red Flag 28，专门针对IaaS云服务提供商进行了风险提示：