Bộ Thương mại Mỹ đề xuất quy định bắt buộc KYC với khách hàng nước ngoài của IaaS
(federalregister.gov)- BIS thuộc Bộ Thương mại Mỹ đề xuất sửa đổi 15 CFR Part 7, yêu cầu xác minh danh tính khách hàng nước ngoài đối với các nhà cung cấp U.S. IaaS và báo cáo một số giao dịch huấn luyện AI nhất định
- Quy định được đề xuất dựa trên E.O. 13984 và E.O. 14110, nhắm vào tình huống các tác nhân mạng độc hại nước ngoài dùng sản phẩm U.S. IaaS và reseller nước ngoài để tránh bị truy vết
- Nhà cung cấp phải xây dựng Customer Identification Program (CIP) dựa trên rủi ro, đồng thời thu thập, xác minh và lưu giữ tên, địa chỉ, phương thức thanh toán, email, số điện thoại, địa chỉ IP... của khách hàng nước ngoài và chủ sở hữu hưởng lợi nước ngoài
- Khi biết có giao dịch huấn luyện mô hình AI lớn mà người nước ngoài có thể dùng cho hoạt động mạng độc hại, cả nhà cung cấp U.S. IaaS lẫn reseller nước ngoài đều phát sinh nghĩa vụ báo cáo
- Phạm vi áp dụng gồm nhà cung cấp U.S. IaaS và cả reseller tại Mỹ; nếu vi phạm có thể bị xử phạt dân sự hoặc hình sự theo IEEPA, với tổng chi phí tuân thủ ước tính $270,672~$171.7 million
Mục đích của đề xuất quy định và cơ sở pháp lý
- Bureau of Industry and Security (BIS) thuộc Bộ Thương mại muốn bổ sung các quy định cấp dưới liên quan đến IaaS vào 15 CFR Part 7 thông qua Proposed Rule
- Quy định đề xuất được thiết kế để triển khai hai sắc lệnh hành pháp
- E.O. 13984: cho phép các nhà cung cấp U.S. IaaS xác minh danh tính khách hàng nước ngoài và áp dụng biện pháp hạn chế truy cập với một số tác nhân hay khu vực tài phán nước ngoài nhất định
- E.O. 14110: yêu cầu báo cáo khi người nước ngoài dùng một số sản phẩm U.S. IaaS nhất định để huấn luyện các mô hình AI lớn có thể được sử dụng cho hoạt động mạng độc hại
- Hạn cuối nộp ý kiến là ngày 29 tháng 4 năm 2024
- Theo metadata của tài liệu trên Federal Register, Regulations.gov đã nhận 523 ý kiến
Vì sao IaaS trở thành đối tượng bị quản lý
- Sản phẩm IaaS cho phép khách hàng chạy phần mềm và lưu trữ dữ liệu mà không cần trực tiếp duy trì hay vận hành máy chủ
- Quy định đề xuất cho rằng các tác nhân mạng độc hại nước ngoài đã sử dụng sản phẩm U.S. IaaS để thực hiện hành vi đánh cắp sở hữu trí tuệ, dữ liệu nhạy cảm, hoạt động tình báo bí mật và đe dọa hạ tầng trọng yếu của Mỹ
- Sau khi hoạt động, tác nhân độc hại có thể nhanh chóng chuyển sang hạ tầng thay thế của một nhà cung cấp U.S. IaaS khác, khiến cơ quan nhà nước khó truy vết
- Nếu reseller nước ngoài không theo dõi thông tin danh tính, cơ quan thực thi pháp luật sẽ khó thu được dữ liệu nhận dạng của tác nhân độc hại thông qua thủ tục cưỡng chế
- Việc hạ tầng tính toán quy mô lớn có thể bị các tác nhân độc hại nước ngoài dùng để huấn luyện mô hình AI lớn cũng là một căn cứ quản lý
Yêu cầu đối với Customer Identification Program (CIP)
- Mỗi nhà cung cấp U.S. IaaS phải duy trì và triển khai CIP bằng văn bản
- CIP phải là quy trình dựa trên rủi ro, phản ánh quy mô nhà cung cấp, loại sản phẩm IaaS, cách mở tài khoản, tệp khách hàng và các rủi ro liên quan
- Nhà cung cấp U.S. IaaS cũng phải yêu cầu reseller nước ngoài duy trì và triển khai CIP
- Reseller tại Mỹ có thể tham chiếu, sử dụng hoặc áp dụng CIP của nhà cung cấp U.S. IaaS gốc theo thỏa thuận với nhà cung cấp đó
- Bộ Thương mại dự kiến cho phép thời gian chuyển tiếp tối đa 1 năm để triển khai một số điều khoản sau khi ban hành quy định cuối cùng
Thông tin khách hàng phải thu thập và xác minh
- CIP phải bao gồm các quy trình để xác định liệu khách hàng tiềm năng và chủ sở hữu hưởng lợi có phải là U.S. person hay không
- Trước khi mở tài khoản cho khách hàng nước ngoài hoặc chủ sở hữu hưởng lợi nước ngoài, tối thiểu phải thu thập các thông tin sau
- Tên pháp lý của cá nhân hoặc tên doanh nghiệp của pháp nhân, cùng các tên doanh nghiệp đã và đang sử dụng
- Địa chỉ cư trú hoặc địa chỉ kinh doanh của cá nhân, và địa điểm sử dụng sản phẩm IaaS
- Trụ sở kinh doanh chính của pháp nhân, khu vực tài phán nơi tổ chức được thành lập, tên của các chủ sở hữu hưởng lợi của tài khoản
- Phương thức thanh toán và nguồn thanh toán: số thẻ tín dụng, số tài khoản, mã định danh khách hàng, mã định danh giao dịch, ví tiền mã hóa hoặc mã định danh địa chỉ ví, v.v.
- Địa chỉ email và số điện thoại liên hệ
- Địa chỉ IP dùng để truy cập hoặc quản lý tài khoản, cùng thời điểm truy cập/quản lý
- Yêu cầu thu thập và xác minh national identification number bị loại khỏi đề xuất vì bị xem là gánh nặng quá mức và không cần thiết cho việc xác minh danh tính
- Bộ Thương mại cũng mời góp ý về các phương thức nhận diện số hoặc nhận diện dựa trên công nghệ, công nghệ bảo vệ quyền riêng tư và nhu cầu thu thập thêm dữ liệu
Xác minh danh tính và xử lý tài khoản
- CIP phải bao gồm các thủ tục xác minh dựa trên tài liệu hoặc không dựa trên tài liệu để hình thành niềm tin hợp lý về danh tính thực sự của khách hàng nước ngoài và chủ sở hữu hưởng lợi nước ngoài
- Quy trình xác minh phải phản ánh đánh giá rủi ro theo loại hình cung cấp dịch vụ, cách mở tài khoản, thông tin định danh sẵn có và tệp khách hàng
- CIP cũng phải quy định cách xác minh trong trường hợp khách hàng không thể cung cấp tài liệu được yêu cầu
- Nếu không thể xác minh danh tính, CIP phải bao gồm các tiêu chí xử lý sau
- Khi nào không được mở tài khoản
- Điều kiện cho phép sử dụng tài khoản với quyền hạn chế hoặc giám sát tăng cường trong quá trình xác minh
- Điều kiện đóng tài khoản hoặc giám sát bổ sung sau khi xác minh thất bại
- Quy trình khắc phục và quản lý đối với tài khoản giả do khách hàng hợp pháp xác minh thất bại hoặc do bị đánh cắp thông tin
- Nếu khách hàng và mọi chủ sở hữu hưởng lợi đều được xác minh là U.S. person, tài khoản đó sẽ không còn chịu các yêu cầu khác của tiểu mục quy định này
Lưu trữ hồ sơ và hạn chế truy cập
- CIP của nhà cung cấp U.S. IaaS và reseller nước ngoài phải bao gồm quy trình tạo và lưu giữ hồ sơ thông tin khách hàng thu được trong quá trình xác minh danh tính
- Các mục hồ sơ tối thiểu gồm
- Thông tin nhận dạng của khách hàng hoặc chủ sở hữu hưởng lợi
- Bản sao hoặc mô tả tài liệu dùng để xác minh
- Phương thức xác minh không dựa trên tài liệu và kết quả
- Cách xử lý các sai lệch trọng yếu được phát hiện trong quá trình xác minh thông tin nhận dạng
- Hồ sơ phải được lưu giữ tối thiểu 2 năm sau ngày đóng tài khoản hoặc ngày truy cập cuối cùng
- Hồ sơ không được chia sẻ với bên thứ ba hoặc nhân viên không cần biết, đồng thời phải bảo vệ tính sẵn sàng, toàn vẹn và bảo mật bằng các biện pháp như mã hóa
- Việc chia sẻ thực hành bảo mật tốt hoặc thông tin về mối đe dọa với các nhà cung cấp U.S. IaaS khác hay các consortium liên quan có thể không bị hạn chế
Nghĩa vụ quản lý reseller nước ngoài
- Nhà cung cấp U.S. IaaS phải yêu cầu reseller nước ngoài duy trì và triển khai CIP bằng văn bản phù hợp quy định
- Nếu Bộ Thương mại yêu cầu CIP của reseller nước ngoài, nhà cung cấp U.S. IaaS phải nộp trong vòng 10 ngày
- Nếu có bằng chứng reseller nước ngoài không duy trì hoặc triển khai CIP, hoặc không nỗ lực thiện chí để ngăn sản phẩm U.S. IaaS bị dùng cho hoạt động mạng độc hại, nhà cung cấp U.S. IaaS phải hành động
- Phải báo cáo hoạt động mạng độc hại liên quan và đóng tài khoản
- Nếu biết rằng vấn đề chưa được khắc phục hoặc việc tiếp tục quan hệ với reseller làm tăng rủi ro, phải chấm dứt quan hệ reseller trong vòng 30 ngày
- Nhà cung cấp U.S. IaaS phải thu thập thông tin cần thiết cho việc chứng nhận CIP ban đầu và hàng năm của reseller nước ngoài
Báo cáo, chứng nhận CIP và đánh giá tuân thủ
- Nhà cung cấp U.S. IaaS phải thông báo cho Bộ Thương mại việc đã triển khai CIP bằng CIP certification form
- Biểu mẫu chứng nhận bao gồm công cụ và quy trình xác minh danh tính, quy trình thông báo thay đổi quyền sở hữu, công cụ phát hiện hoạt động mạng độc hại, quy trình yêu cầu CIP với reseller nước ngoài, quy trình nhận diện giao dịch huấn luyện mô hình AI lớn, v.v.
- Mỗi năm phải rà soát và cập nhật CIP, đồng thời nộp chứng nhận thường niên
- Phản ánh thay đổi trong việc cung cấp dịch vụ
- Phản ánh thay đổi của môi trường đe dọa
- Xác nhận việc tuân thủ quy định
- Ghi nhận số lần xác minh danh tính khách hàng thất bại và kết quả xử lý từng trường hợp
- Những thay đổi trọng yếu trong vận hành kinh doanh hoặc cơ cấu doanh nghiệp, thay đổi thực chất của CIP, hay thay đổi đầu mối liên hệ chính phụ trách CIP cũng thuộc diện phải thông báo
- Bộ Thương mại có thể đánh giá rủi ro dựa trên thông tin nộp lên và thông tin công khai, và khi cần có thể yêu cầu nộp bản sao CIP, thực hiện đánh giá tuân thủ, đánh giá tiếp theo hoặc audit
Miễn trừ CIP và Abuse of IaaS Products Deterrence Program
- Secretary có thể miễn yêu cầu CIP cho nhà cung cấp U.S. IaaS, một số loại tài khoản, tenant hoặc reseller nước ngoài cụ thể
- Việc miễn trừ dựa trên việc chủ thể đó có triển khai thực hành bảo mật tốt để ngăn chặn lạm dụng sản phẩm IaaS hay không
- Nhà cung cấp muốn được miễn trừ phải nộp văn bản mô tả Abuse of IaaS Products Deterrence Program (ADP)
- ADP phải bao gồm các thành phần sau
- Xác định Red Flag có tính đến loại tài khoản, cách thức truy cập, kinh nghiệm trước đây với hoạt động độc hại, v.v.
- Quy trình phát hiện Red Flag
- Quy trình ứng phó như giám sát tài khoản, liên hệ khách hàng, thay đổi mật khẩu hoặc thiết bị bảo mật, từ chối tài khoản mới, đóng hoặc đình chỉ tài khoản, thông báo cho cơ quan thực thi pháp luật
- Cập nhật định kỳ theo thay đổi rủi ro và thay đổi cơ cấu kinh doanh
- Phê duyệt của hội đồng quản trị hoặc quản lý cấp cao, đào tạo nhân viên và quy trình giám sát reseller
- Các yếu tố xét miễn trừ cũng gồm việc tham gia consortium công-tư và hợp tác với điều tra của cơ quan thực thi pháp luật
- Miễn trừ có thể bị hủy bất cứ lúc nào, kể cả để áp đặt biện pháp đặc biệt
Biện pháp đặc biệt với một số khu vực tài phán nước ngoài và người nước ngoài
- Nếu có căn cứ hợp lý, Secretary có thể cấm hoặc áp điều kiện đối với việc mở và duy trì tài khoản U.S. IaaS liên quan đến một số khu vực tài phán nước ngoài hoặc người nước ngoài cụ thể
- Đối tượng bao gồm
- Khu vực tài phán nước ngoài có số lượng đáng kể người nước ngoài cung cấp hoặc trực tiếp mua sản phẩm U.S. IaaS để sử dụng cho hoạt động mạng độc hại
- Người nước ngoài có hành vi lặp lại việc cung cấp hoặc trực tiếp mua sản phẩm U.S. IaaS để dùng cho hoạt động mạng độc hại
- Các yếu tố được cân nhắc khi đánh giá gồm
- Bằng chứng cho thấy tác nhân mạng độc hại nước ngoài đã có được sản phẩm U.S. IaaS từ khu vực tài phán đó
- Mức độ khu vực tài phán đó là nguồn phát sinh hoạt động mạng độc hại
- Việc có hay không hiệp ước tương trợ pháp lý với Mỹ và kinh nghiệm của cơ quan thực thi pháp luật trong việc thu thập thông tin
- Mức độ việc người nước ngoài dùng hoặc cung cấp sản phẩm U.S. IaaS tạo điều kiện cho hoạt động độc hại
- Mức độ sử dụng cho mục đích kinh doanh hợp pháp
- Liệu có biện pháp nhẹ hơn biện pháp đặc biệt mà vẫn đủ hiệu quả hay không
- Khi lựa chọn biện pháp đặc biệt, cơ quan này cũng cân nhắc bất lợi cạnh tranh đáng kể với nhà cung cấp U.S. IaaS, chi phí hoặc gánh nặng quá mức, tác động tiêu cực đến hoạt động kinh doanh hợp pháp, cũng như ảnh hưởng tới an ninh quốc gia, thực thi pháp luật, chuỗi cung ứng, chính sách đối ngoại, sức khỏe và an toàn công cộng của Mỹ
- Quyết định về biện pháp đặc biệt có thể có hiệu lực tối đa 365 ngày và có thể được gia hạn qua thông báo trên Federal Register
- Nhà cung cấp U.S. IaaS sẽ không bị yêu cầu thực hiện biện pháp đặc biệt sớm hơn 180 ngày sau khi quyết định được ban hành
Báo cáo giao dịch huấn luyện mô hình AI lớn
- Nhà cung cấp U.S. IaaS phải báo cáo cho Bộ Thương mại nếu biết về một covered transaction trong đó người nước ngoài huấn luyện mô hình AI lớn có thể được dùng cho hoạt động mạng độc hại
- Reseller nước ngoài khi biết về covered transaction cũng phải báo cho nhà cung cấp U.S. IaaS, và nhà cung cấp phải nộp báo cáo này cho Bộ Thương mại
- covered transaction bao gồm giao dịch dành cho hoặc thay mặt người nước ngoài mà dẫn đến hoặc có thể dẫn đến việc huấn luyện mô hình AI lớn nói trên
- Dù ban đầu chưa đáp ứng điều kiện, giao dịch vẫn có thể trở thành covered transaction nếu việc điều chỉnh quy trình huấn luyện hoặc thông tin mới về năng lực mô hình khiến nó đáp ứng điều kiện
- Thời hạn báo cáo như sau
- Nhà cung cấp U.S. IaaS: trong vòng 15 ngày kể từ khi covered transaction xảy ra hoặc được nhận biết
- Reseller nước ngoài: báo cho nhà cung cấp trong vòng 15 ngày
- Nhà cung cấp U.S. IaaS: nộp báo cáo từ reseller nước ngoài cho Bộ Thương mại trong vòng 30 ngày kể từ covered transaction
- Yêu cầu bổ sung thông tin hoặc báo cáo sửa đổi: trong vòng 15 ngày kể từ khi nhận yêu cầu hoặc phát hiện có sai sót
- Báo cáo ban đầu phải gồm thông tin về khách hàng nước ngoài, chủ sở hữu hưởng lợi và việc triển khai huấn luyện
- Ước tính lượng phép tính đã dùng cho huấn luyện
- Ngày bắt đầu và ngày hoàn thành dự kiến
- Thực hành huấn luyện và thông tin về các model AI accelerator chính
- Chính sách lưu trữ an toàn model weights và bảo vệ truy cập
- Các sự cố an ninh mạng hoặc đe dọa nội bộ trong 4 năm gần nhất liên quan đến truy cập trái phép vào model weights hoặc source code, hoặc gây thiệt hại lớn
Định nghĩa và phạm vi áp dụng
- U.S. IaaS provider là U.S. person cung cấp sản phẩm IaaS, bao gồm nhà cung cấp trực tiếp và reseller tại Mỹ
- Đề xuất làm rõ rằng công ty con ở nước ngoài không được xem là “United States Infrastructure as a Service provider”
- IaaS product là sản phẩm hoặc dịch vụ cung cấp tài nguyên tính toán cơ bản như xử lý, lưu trữ, mạng hoặc tài nguyên tương tự, cho phép khách hàng triển khai và chạy hệ điều hành, ứng dụng hoặc phần mềm không được xác định trước
- Định nghĩa này bao gồm cả dịch vụ miễn phí hoặc dùng thử, managed hoặc unmanaged, sản phẩm ảo hóa và sản phẩm chuyên dụng
- Theo văn bản, định nghĩa này có thể bao trùm CDN, dịch vụ proxy và dịch vụ phân giải tên miền, nhưng không bao gồm dịch vụ đăng ký tên miền vì không cung cấp tài nguyên tính toán cơ bản
- beneficial owner được định nghĩa là cá nhân thực sự kiểm soát khách hàng hoặc sở hữu/kiểm soát ít nhất 25% phần sở hữu của khách hàng
Chi phí và tác động dự kiến
- Quy định đề xuất áp dụng cho mọi nhà cung cấp và reseller sản phẩm U.S. IaaS
- Bộ Thương mại ước tính số chủ thể bị ảnh hưởng có thể từ 25 đến 1.837
- Cận dưới là khoảng 25 nhà cung cấp IaaS cốt lõi tại Mỹ
- Cận trên được tính bằng cách bao gồm 1.812 doanh nghiệp Telecommunications Resellers trong dữ liệu Census Bureau năm 2020
- Trong số các Telecommunications Resellers đó, 99%, tương đương 1.791 doanh nghiệp, được xếp vào nhóm có từ 500 nhân viên trở xuống
- Các hạng mục chi phí tuân thủ dự kiến gồm tìm hiểu quy định, xây dựng/triển khai/cập nhật CIP, chứng nhận hàng năm, đào tạo reseller nước ngoài, xử lý báo cáo về reseller nước ngoài và báo cáo huấn luyện AI
- Tổng chi phí tuân thủ tích lũy được ước tính ở mức $270,672~$171.7 million
- Trong phân tích theo Paperwork Reduction Act, gánh nặng ban đầu cho việc tìm hiểu, phát triển và triển khai là 245,229 giờ; gánh nặng sau đó cho cập nhật và chứng nhận hàng năm là 84,494 giờ; còn gánh nặng cho đào tạo reseller nước ngoài và xử lý báo cáo là 127,328 giờ
- Tổng chi phí dự kiến của chính phủ Mỹ được tính là $409,200
Thực thi và xử phạt
- Vi phạm quy định đề xuất có thể bị áp dụng xử phạt dân sự hoặc hình sự theo IEEPA
- Các hành vi bị cấm gồm
- Không nộp các báo cáo, chứng nhận hoặc tái chứng nhận bắt buộc
- Không triển khai hoặc không duy trì CIP
- Tiếp tục giao dịch với reseller nước ngoài không triển khai hoặc không duy trì CIP
- Cung cấp sản phẩm IaaS cho người nước ngoài mà không tuân theo chỉ thị, quyết định hoặc điều kiện của Department
- Đưa ra tuyên bố, thông báo hoặc chứng nhận sai sự thật hoặc gây hiểu lầm
- Mức phạt dân sự có thể được áp cho mỗi vi phạm, không vượt quá số lớn hơn giữa $250,000 cộng điều chỉnh lạm phát và gấp đôi giá trị giao dịch làm căn cứ cho vi phạm
- Với vi phạm cố ý, hình phạt hình sự có thể là tiền phạt tối đa $1,000,000, hoặc với cá nhân là tối đa 20 năm tù, hoặc cả hai
- Người biết về khả năng có vi phạm có thể thông báo cho Office of Information and Communications Technology and Services, Bureau of Industry and Security, U.S. Department of Commerce
1 bình luận
Ý kiến trên Hacker News
Đọc lướt bài viết thì có vẻ quy định này chỉ nhằm buộc nhà cung cấp hạ tầng IaaS xác minh danh tính của những người dùng dịch vụ của họ để huấn luyện AI
Có vẻ đây là nỗ lực ngăn các đối tượng bị trừng phạt hoặc tác nhân độc hại huấn luyện AI, đặc biệt là việc họ chuyển qua lại giữa các dịch vụ hoặc dùng bí danh để tiếp tục huấn luyện cùng một mô hình
Trông khá vô hại, nên tôi không hiểu lắm các phép so sánh mà những người khác đưa ra trong thảo luận HN này. Không rõ họ cho rằng đây là một con dốc trơn trượt, hay là tôi đang nhìn phạm vi áp dụng một cách ngây thơ
Cuối cùng, để phân biệt ai là người nước ngoài, rất có khả năng nhà cung cấp dịch vụ sẽ phải xác minh danh tính của tất cả mọi người
Nói cách khác, nếu muốn chạy WordPress, node Mastodon, website CMS tự quản, nhóm chat, IRC hay node Bitcoin của riêng mình, bạn sẽ phải tiết lộ danh tính với nhà cung cấp hosting mà mình chọn
Điều này khá tệ, và rõ ràng có thể bị lạm dụng để nhận diện những người bất đồng chính kiến. Hơn nữa, IaaS còn phải báo cáo lên Bộ Thương mại Hoa Kỳ về những người nước ngoài dùng dịch vụ để huấn luyện các mô hình AI lớn
Không ai muốn gửi selfie và hộ chiếu chỉ để tạo một droplet trên Digital Ocean
Dù vậy, tôi cũng không thật sự hiểu mọi người đang phản đối phần nào của quy định này
Họ có thể đánh cắp giấy tờ của ai đó, hoặc trả tiền cho người vô gia cư để xác minh. Hơn nữa, theo tôi hiểu thì Mỹ không có cơ sở dữ liệu công dân tập trung, nên việc xác minh giấy tờ cũng khó
Đúng là ác mộng toàn tập. Tôi sẽ ngạc nhiên nếu các nhà cung cấp IaaS không phản đối mạnh mẽ. Nếu AWS bắt đầu yêu cầu giấy tờ KYC, tôi sẽ lập tức chuyển toàn bộ tài nguyên cloud đi nơi khác
Công sức để làm vậy gần như bằng 0
Chỉ dùng IaC phổ biến như Terraform thôi cũng đã phải viết lại, còn nếu đang tận dụng nhiều hơn bộ cân bằng tải, compute và container thì việc đó trông chẳng gần bằng 0 chút nào
Với một số dịch vụ, để có được tính năng tương đương, có khi bạn phải tự xây dựng và vận hành
Bản thân mục tiêu nghe có vẻ hợp lý, nhưng luôn có nỗi lo rằng luật có thể mở rộng hơn nhiều so với ý định ban đầu
Nếu việc chuyển đi dễ như vậy, tôi thắc mắc tại sao lại là “ác mộng toàn tập”
Tôi đang làm với hệ thống KYC tại một tổ chức tài chính cỡ vừa đến lớn. Xu hướng gắn yêu cầu KYC vào ngày càng nhiều dịch vụ trực tuyến là điều đáng lo ngại
KYC tạo gánh nặng lớn cho bất kỳ ai muốn cung cấp dịch vụ. Việc nhận diện người dùng theo từng quốc gia và hiểu quy định theo từng khu vực rất phức tạp, tạo gánh nặng đáng kể cho nhà cung cấp dịch vụ, và cuối cùng họ phải thuê công ty khác làm KYC
Nhưng hầu hết nhà cung cấp KYC không hỗ trợ tất cả các quốc gia mà bạn muốn hỗ trợ, nên bạn phải giới hạn dịch vụ theo vùng phủ của nhà cung cấp đó hoặc tích hợp nhiều nhà cung cấp. Các nhà cung cấp thường thích được dùng độc quyền, nên việc tích hợp này cũng khó
Nếu trước đây chưa có đội kỹ thuật phụ trách KYC thì giờ sẽ có. Rất có thể cũng phải bổ sung hoặc mở rộng đội tuân thủ. Công ty sẽ chuyển từ trọng tâm kỹ thuật hay sản phẩm sang, ở mức độ nào đó, công ty lấy tuân thủ làm trung tâm
KYC nâng rào cản gia nhập và củng cố vị thế của những người chơi hiện hữu. Cứ nhìn các tổ chức tài chính và ngành công nghiệp khiêu dâm là thấy
KYC nhìn chung cũng không phải chính sách dựa trên bằng chứng [1, 2]. Tác nhân độc hại sẽ né được các yêu cầu KYC, còn hệ thống KYC trở thành rào cản với người dùng tử tế
Nhiều hệ thống KYC dựa vào các công ty thu thập và môi giới dữ liệu, tức những người mua bán thông tin cá nhân. Nếu bạn còn trẻ, nghèo, hoặc coi trọng quyền riêng tư nên không nằm “trong hệ thống”, bạn sẽ bị nghi ngờ
Theo kinh nghiệm của tôi, hệ thống chống gian lận lọc tác nhân độc hại tốt hơn KYC do chính phủ áp đặt từ trên xuống
Dành cho ai chưa biết, KYC là “know your customer”, tức xác minh khách hàng. Tốt nhất nên viết đầy đủ cụm từ khi dùng chữ viết tắt lần đầu, đặc biệt là vì bản thân bài được liên kết không dùng chữ viết tắt đó
Cũng cần chỉ ra rằng đề xuất này nhắm đến sản phẩm hạ tầng dưới dạng dịch vụ (IaaS) của Mỹ, chứ không phải “dịch vụ Internet” nói chung
Bài góp ý:
Chỉ còn đúng 4 ngày để gửi ý kiến phản đối yêu cầu KYC đối với các nhà cung cấp dịch vụ Internet lên chính phủ liên bang Mỹ
Đạo luật này không có lợi cho một Internet tự do và cho xã hội
Bạn có thể trình bày phiên bản mạnh nhất của lập luận ủng hộ việc này, rồi giải thích vì sao bạn cho rằng lập luận đó không thuyết phục không?
Có thể xem định nghĩa tại https://www.federalregister.gov/d/2024-01580/p-46
Diễn đạt sai vấn đề này không giúp ích gì
Luận điểm cốt lõi mà chúng ta nên dùng là “nếu ngân hàng đã biết khách hàng, thì chúng ta không cần biết”
Dấu vết xác minh khách hàng rốt cuộc luôn dẫn đến thanh toán và tài chính
Nếu nhận tiền dịch vụ qua giao dịch thẻ ngân hàng tiêu chuẩn hoặc chuyển khoản, việc xác minh khách hàng có thể được tập trung ở ngân hàng
Vấn đề là KYC là một trung tâm chi phí không có lợi ích nào ngoài việc “bị luật bắt buộc”, nên nó lập tức biến thành công việc đánh dấu ô cho đủ
Ngành này sẽ phun ra các giải pháp “tuân thủ dạng đóng hộp” tệ hại, mọi người sẽ dùng chúng, rồi cuối cùng sẽ xảy ra rò rỉ dữ liệu
Và những người từng mang Bulletproof Hosting đến thời đại spam Viagra sẽ quay lại với Bulletproof Rack Full Of Quadros
Trừ khi tạo ra một cơ chế quản trị toàn cầu tương tự FATF cho các sản phẩm IaaS, việc cung cấp IaaS ở Mỹ sẽ mất sức cạnh tranh
Việc chỉ quét giấy tờ tùy thân đơn giản đã đang dần lỗi thời
“Xác minh sinh trắc học”, nơi bạn phải bật webcam chỉ để dùng hạ tầng Internet cơ bản và để một người lạ tạo mô hình sinh trắc học toàn bộ đầu của mình, chính là viễn cảnh phản địa đàng mà chúng ta xứng đáng nhận, và thực tế sẽ thành như vậy
Hy vọng “AI” đáng với cái giá đó. Hãy xem các bạn có giải quyết được vấn đề do chính mình tạo ra không
Vì cơ sở dữ liệu của chính phủ về khuôn mặt của tất cả mọi người, được mua từ các đối tác tư nhân rồi ghép nối lại, vẫn chưa đủ hoàn chỉnh
Chuyện này không liên quan đến AI, mà là vấn đề của nhánh hành pháp và các cơ quan tình báo mất kiểm soát. AI chỉ là một công cụ khác giúp việc đó rẻ hơn
Với những ai chưa biết đây là gì, phần giải thích nằm ở phía dưới trang một chút
Tóm lại, E.O. 13984 trao cho Bộ Thương mại quyền yêu cầu các nhà cung cấp IaaS của Mỹ xác minh danh tính người dùng nước ngoài, lưu giữ hồ sơ người dùng nước ngoài và hạn chế quyền truy cập của một số chủ thể nước ngoài nhất định nhằm ứng phó với mối đe dọa từ hoạt động mạng độc hại
Tiếp đó, E.O. 14110 trao quyền yêu cầu các nhà cung cấp IaaS của Mỹ buộc cả các nhà bán lại nước ngoài xác minh danh tính người dùng nước ngoài, và yêu cầu báo cáo cho Bộ Thương mại khi người nước ngoài thực hiện giao dịch để huấn luyện các mô hình AI quy mô lớn có năng lực tiềm tàng có thể bị dùng cho hoạt động mạng độc hại
“Sản phẩm hạ tầng dạng dịch vụ” nghĩa là mọi sản phẩm hoặc dịch vụ được cung cấp cho người tiêu dùng, bao gồm cả cung cấp miễn phí hoặc dùng thử
Thuật ngữ này áp dụng khi sản phẩm/dịch vụ cung cấp tài nguyên xử lý, lưu trữ, mạng hoặc các tài nguyên điện toán nền tảng khác, và cho phép người tiêu dùng triển khai, chạy phần mềm chưa được định sẵn, bao gồm hệ điều hành và ứng dụng
Người tiêu dùng thường không quản lý hoặc kiểm soát phần lớn phần cứng nền tảng, nhưng có quyền kiểm soát hệ điều hành, lưu trữ và các ứng dụng đã triển khai
Thuật ngữ này bao gồm cả các sản phẩm/dịch vụ “được quản lý”, trong đó nhà cung cấp chịu trách nhiệm một phần về cấu hình hoặc bảo trì hệ thống, và các sản phẩm/dịch vụ “không được quản lý”, trong đó nhà cung cấp chỉ chịu trách nhiệm về tính sẵn có của sản phẩm
Nó cũng bao gồm các sản phẩm/dịch vụ “ảo hóa” chia tài nguyên điện toán của máy vật lý thành các máy tính ảo có thể truy cập qua Internet, chẳng hạn “máy chủ riêng ảo”, cũng như các sản phẩm/dịch vụ “chuyên dụng” cung cấp toàn bộ tài nguyên điện toán của một máy vật lý cho một người, chẳng hạn máy chủ “bare-metal”
Có một bản tổng quan tốt ở đây: https://www.akingump.com/en/insights/alerts/commerce-issues-...