企业评估模型开放程度，不能停留在“是否开源”这一问。真正需要判断的是：企业获得了哪些对象、哪些权利，以及需要承担哪些责任。模型权重、训练代码、推理代码、训练数据和API接口分别对应部署、复现、修改、来源审查和服务调用能力，它们的开放范围并不天然一致。
先拆解“开放”对象
模型权重可下载，通常意味着企业有机会进行私有部署，但不等于可以自由修改或再分发；训练代码公开，有助于理解训练流程，却不代表能够复现模型，尤其要核查依赖的数据、基础模型、配置和硬件条件；API开放主要解决访问问题，本质上更接近外部软件服务，企业仍需确认请求数据的存储、日志、版本变化和跨区域传输安排。
训练数据则要单独审查。公布数据集名称或来源说明，不等于提供了完整数据，也不等于授予复制、重混、再训练和商业使用权。即使数据能够下载，版权、个人信息、服务条款和地区性限制仍可能影响企业使用。
再核对权利边界
许可证是评估的核心，而不是宣传页面中的“商用”二字。企业应将使用场景具体化：仅内部使用，还是嵌入商业软件；只调用模型，还是要微调、蒸馏和发布衍生模型；是否会向客户再分发模型或权重。许可允许内部使用，并不必然允许对外提供模型能力或销售衍生产品。
采购审查至少应形成一份书面记录，覆盖以下问题：
- 权重、代码、数据和文档分别采用什么许可证；
- 是否允许商业使用、修改、微调和再分发；
- 是否要求保留版权声明、披露来源或约束下游用户；
- 训练数据是否有清晰来源和再利用条件；
- 模型更新后，权重、条款和版本记录如何保持一致；
- 出现数据泄露、侵权、错误输出或服务中断时，责任如何划分。
开放程度还应与运维能力一起评估。企业自行部署模型后，通常要承担算力、监控、版本升级、输出审核和安全治理责任。因而，开放并不是风险豁免，而是控制权与责任的重新分配。只有把“开放”拆解为可核验的对象、权利和义务，企业才能避免被标签误导。