【中伦律师事务】2024开源合规白皮书（第二版）（中英双语版）_156页_4mb

报告摘要

开源合规白皮书总结

核心内容

《开源合规白皮书》第二版（2025年5月18日）全面梳理了开源的定义、发展历史、许可证类型、合规风险及应对策略，同时结合中国和域外司法实践，探讨了开源软件在法律层面的适用与影响。白皮书旨在为企业和开发者提供关于开源软件合规管理的指导，强调合规体系的建立与实施的重要性。

主要观点

一、开源的基本概念与发展历程

定义：开源是指开放源代码的开发模式，允许用户自由获取、使用、修改和再发布源代码，其核心是共享知识以促进技术进步。
形式：不仅限于软件，还包括硬件、设计、文档和技术等。
发展阶段：
- 1950s-1960s：早期计算机领域的合作与信息共享。
- 1970s：UNIX的出现推动了开源理念。
- 1980s：自由软件基金会成立，倡导“自由软件”理念。
- 1990s：Linux内核发布，标志着开源运动的正式兴起。
- 1998年：开源倡议（OSI）成立，推动开源定义与认证。
- 2000s：开源软件在商业领域广泛应用。
- 2010s至今：开源在云计算、人工智能等新兴技术领域发挥重要作用。

二、开源许可证分类与常见类型

许可证分类：
- 宽松型许可证：如MIT、BSD、Apache 2.0，允许衍生软件闭源，对商业友好。
- 著佐权型许可证：如GPL、AGPL、LGPL、MPL，要求衍生作品必须开源，具有“传染性”。
常见许可证：
- MIT许可证：允许商业使用，无传染性，条款简洁。
- BSD许可证：分为2-Clause和3-Clause，均无传染性，但3-Clause对宣传限制较多。
- Apache许可证：包含专利授权条款，对专利诉讼有防范作用。
- GPL许可证：具有强传染性，要求衍生作品必须开源，分为v2和v3两个版本。
- AGPL许可证：适用于网络服务，强调远程用户的访问权。
- LGPL许可证：允许将开源库链接到非开源软件中，适用于开发可重用的库。
- MPL许可证：适用于模块化授权，强调修改的可追溯性。
- 木兰许可证：由中国团队起草，具有中英文双语版本，强调专利禁止诉讼条款。

三、开源合规风险

知识产权风险：
- 著作权侵权：未遵守许可证条款可能导致侵权。
- 专利侵权：部分许可证未明确专利授权，可能引发专利诉讼。
- 商标侵权：未经授权使用开源软件的商标可能构成侵权。
- 商业秘密风险：开源代码可能暴露企业内部技术，需加强审查。
企业商誉风险：未遵守开源协议可能引发舆论谴责和法律追责。
数据合规风险：在人工智能领域，开源软件可能涉及数据安全和隐私保护。

四、企业开源合规体系构建

合规团队组成：包括法务、技术、外部律师，加强跨部门协作。
合规知识库：包括许可证查询手册、许可证分组策略、合规工具（如SBOM、代码扫描工具）。
合规开发流程：引入SBOM，确保每个开源组件的使用和版本清晰可追溯。
合规管理重点：审查、清理、安全审计、许可证选择与兼容性评估。

五、中国开源司法实践

典型案例：
- 天创科技诉阿凡提案：明确计算机语言与软件作品无传染性。
- 数字天堂诉柚子科技：我国首例GPL协议案件，确认其法律效力。
- 罗盒诉风灵案：首次明确GPL协议具有合同性质，违反协议构成侵权。
- 罗盒诉玩友案：进一步确认GPL协议为附解除条件的非典型合同，未开源构成侵权。
- 闪亮时尚诉不乱买案：区分“衍生产品”与“独立程序”，判断GPL协议是否适用。
- 未来公司诉云蜻蜓案：支持GPL抗辩，强调GPL协议对主程序的约束。
法院观点：
- 开源许可证具有合同性质，违反协议构成侵权或违约。
- GPL协议具有法律约束力，且具有“传染性”。
- 企业需对程序进行深入分析，判断是否属于“衍生产品”或“独立程序”。

六、域外开源案例解读

Jacobsen诉Katzer案：
- 区分许可证条款为“条件”或“契约义务”，影响侵权或违约的认定。
- 强调许可证条款的清晰性与可执行性。
Christopher Helwig诉Vmware案：
- 未明确侵权代码范围，导致原告无法有效主张权利。
- 强调对GPL协议条款的准确理解与适用。
Harald诉D-Link案：
- 德国法院确认GPL协议具有法律约束力，无需被许可人声明即构成合同关系。
Harald诉FANTEC案：
- 强调产品销售者需履行合规审查义务，不能依赖供应商保证。
- 建议企业建立自建平台，以规避第三方平台的合规风险。

七、建立开源平台的合规要求

平台运营者合规要求：
- 遵守各国法律法规、监管要求及文化习惯。
- 建立合法运营主体，如社会团体、基金会等。
- 办理ICP备案等必要手续。
出口管制合规要求：
- 关注各国出口管制政策变化。
- 建立镜像平台，降低访问风险。
- 考虑自建平台以规避托管平台限制。
司法管辖权合规要求：
- 注意开源平台协议中的司法管辖条款，如GitHub适用美国联邦法律。
- 企业需评估管辖权对自身运营的影响。
知识产权合规要求：
- 开源前进行版权、商标、专利登记。
- 选择适合的许可证，如MIT、BSD用于版权许可，Apache、木兰许可证用于版权与专利许可。
- 明确知识产权归属，防止权属纠纷。
合同纠纷合规要求：
- 明确开源许可证的法律性质，避免因条款模糊导致纠纷。
- 与贡献者、开发者签订协议，明确权责。
网络安全合规要求：
- 加强开源代码审查，防范恶意代码和安全漏洞。
- 定期进行安全审计，确保代码安全性。

关键信息

开源许可证是开源理念在法律上的体现，分为宽松型和著佐权型。
企业使用开源软件时，必须严格遵守许可证条款，否则可能面临法律风险。
中国法院将GPL协议视为具有法律约束力的合同，其具有“传染性”。
域外案例表明，GPL协议在不同司法体系中具有法律效力，但需明确条款内容。
企业应建立开源合规团队，构建合规知识库，实施合规开发流程。
开源平台需合法运营，关注司法管辖权、出口管制及知识产权风险。
企业需对开源代码进行审查，避免商业秘密泄露和知识产权侵权。

总结

《开源合规白皮书》系统地介绍了开源的定义、历史、许可证类型及合规管理要点，强调了企业在使用开源技术时必须建立完善的合规体系，以防范法律风险。同时，通过中国与域外的司法案例，展示了开源许可证在法律上的效力与适用规则。企业应重视开源合规，从技术与法律层面进行双重管理，确保在开源实践中合法、合规、可持续。

展开完整摘要