2024-08-08-中伦律所-2024开源合规白皮书（第二版）（中英双语版）_156页_3mb

开源合规白皮书摘要

1. 开源概述

• 定义扩展：从早期计算机共享，发展至软件、硬件、文档、技术等。

• 历史阶段：
  1950s–60s：信息共享
  1970s：UNIX开放性实践
  1980s：自由软件基金会倡导“自由软件”
  1990s：开源运动正式提出
  1998年：开源倡议（OSI）成立，系统化定义开源概念
  2000s至今：商业应用与全球推广，涉及AI、云计算等领域。

• 中国开源进程：
  1990s–初：初步使用
  mid-2000s：社区初现
  early 2010s：国内项目崛起
  mid-2010s至今：社群活跃、政府支持、生态成熟。

2. 开源风险管理与合规体系

必要开源风险

企业合规体系

核心环节

• 合规团队：
  • 法务团队（解析许可证、制定政策）
  • 技术团队（代码审查、审计）
  • 外部律师（专业咨询）
• 知识库建设：许可证快捷查询、分组策略、合规工具集成。
• 开发流程管理：
  • 必须引入SBOM（软件物料清单）。
  • 编码过程使用许可证扫描工具。
  • 交付层面强制声明许可证信息。

开源许可证选择

3. 法律实践与案例

中国司法观点

• 许可证性质判定：全国人大法工委将开源协议认定为 “附解除条件的著作权许可合同”。
• 关键判例：
  • 未来公司诉云蜻蜓案：对GPL传染性的突破适用，企业违反GPL会失去授权。
  • 鲁班公司诉熠天：首次支持GPL抗辩判决（需持续开源）。
• 著作权与许可冲突：用户需平衡合同义务（如保密性）与许可证要求（如共享源代码）。

域外司法趋势

• 美国：强化GPL合同属性，区分违约 vs. 侵权起诉。
• 欧盟/德国：GPL的法律效力已获普遍承认。
• 德国案例：法院强调由GPL传染性引发的“衍生作品问题”（如天创科技Vs阿凡提）。

4. 政策趋势与合规要赴

《十四五》规划

• 明确“支持数字技术开源社区发展”，赋予开源战略国家层级支持。

行业监管演进

• 风险控制（技术评估、持续监测）
• IT行业 | 软件和信息服务业十四五规划 | 培育国际开源社区，完善治理机制 |
  | 工信部 | 人工智能应用安全评估 | 数据伦理、训练数据合规性 |

关键结论文案

• 开源合规不再是可选项，而是国家安全与企业可持续发展的必要环节。
• 政府鼓励“自主开源生态建设”与“关键核心技术开放”。
• 重点关注AI、区块链等关键技术领域的合规应用。