印度训练数据手册的漏洞在下载这一步

印度把「模型上线前由政府把关」重新写回了政策文件，这次只管走它那张数据网络训练出来的模型。印度电子和信息技术部（MeitY）10 月 31 日在班加罗尔推出 41 页的《DEPA for AI Training》讨论稿，要求经这套网络训练的模型先被核验为「fit for use」才能部署。它管不到印度所有模型。

手册把门修在了模型出口，数据出口却留着一扇它自己承认不牢的门，握着认证和吊销权的机关至今没有名字。

「适用」认证只管这张网里训练的模型

据 MeitY 发布的讨论稿，治理职责里有一条「强制检查、主管机关在环」：登记基础设施提供方，认证 AI 模型，这项尽职调查「应由主管政府机关承担」。工作流程第 4 步列出模型上线前要过的检查：

• 偏差与公平审计；
• 安全与鲁棒性测试；
• 高风险应用另做大规模安全测试；
• 算法可解释性评估。

只有通过的模型才进入试点部署和扩展。TechLegis 创始人 Salman Waris 接受 Moneycontrol 采访时说，核验义务只附着在通过 DEPA 网络训练的模型上，更像准入认证，不算营业许可。

他同时提醒，吊销权、「登记和认证」的措辞、金融等受监管行业的试点，都指向事实上的分行业上线前审批。据 Moneycontrol，政府 2024 年在一份咨询文件里提过类似的上线审批，遭批评后撤回。

手册写着去标识不够，下载口却开着

讨论稿讲再识别风险时说得很重：只去掉直接标识符，「提供的是虚假的安全感」，多份「匿名」数据一拼就能认出人。它给出的解法是安全数据环境加差分隐私，并把安全数据环境称为所有模型训练的「强制环境」。

可在介绍数据交换平台时，手册列了两种方案。方案一由数据提供方自己做匿名化，数据使用方可以直接下载数据，也可以选用安全环境。

方案二由平台匿名化并加密，使用方只能在安全环境里训练。ThePrint 的报道也把这两种方案并列写出。

按方案一下载走的数据，训练发生在安全环境之外，手册写在环境里的审计日志和差分隐私预算都管不到它。

手册也没有说，用下载数据训练出的模型还要不要过「fit for use」认证。这是分析推断，依据是工作流程第 3 步把日志和差分隐私都限定在安全数据环境内。

认证和吊销权交给一个没有名字的机关

讨论稿写明，主管政府机关有权暂停或吊销不合规的活动。ThePrint 的结论很直接：手册没有点名这个机关是谁。个人同意也被往后放了：手册称逐人同意「在这种规模下不现实」，个人只通过治理结构和技术手段受保护。

有人会说，这只是讨论稿，参与自愿，Waris 也认为现阶段业界不必紧张。我们接受它眼下没有强制力，但不接受用「讨论稿」回避问责。

据 PIB 发布稿，MeitY 秘书 S Krishnan 说部里「fully committed」推进这套框架，手册路线图也已排好金融等行业试点和监管沙盒。试点一开，谁认证、谁吊销、谁为下载出去的数据负责，就得有答案。

这份手册的问责链条断在 MeitY 自己手里。在试点之前写明认证机关的名字、关掉方案一的下载，是电子和信息技术部的事，不该推给自愿加入的银行和初创公司。

手册在讲匿名化时说只去标识符给人虚假的安全感，讲平台方案时又把这份安全感交给了下载按钮。