Кой трябва да плаща за грешките в отворения код – неговите автори или бизнесът, който го използва?

Джеймс Ботъмли от IBM Research, който отговаря за разработката на подсистемите SCSI и PA-RISC в Linux ядрото, а преди това беше и председател на техническия комитет на Linux Foundation, предложи интересно решение на проблема с евентуалната правна отговорност на разработчиците на софтуер с отворен код за допуснатите грешки в кода или неправилното отстраняване на уязвимости.

Идеята е правната отговорност за бъговете в сорс кода да се прехвърли от разработчиците на проекти с отворен код към компаниите, които използват този код в търговски продукти. С други думи, този, който печели от кода, именно той е отговорен за проблемите, причинени от използването му. Така например, ако дадена компания включи в свой продукт open source код на трета страна и грешка/уязвимост в този код доведе до щети за потребителите, то в тази ситуация отговорност следва да носи производителят на търговския софтуерен продукт, който го е продал на потребителя, а не разработчикът на библиотеката с отворен код, както и да компенсира щетите.

Предлага се отговорността да се прехвърли, като към лиценза се добави клауза, в която се посочва съгласието за обезщетяване и защита на разработчиците от всякакви правни искове в случай на пълно или частично използване на техния сорс код, предоставен съгласно този лиценз, като компонент или продукт в юрисдикции, налагащи допълнителни задължения за поддръжката на софтуерните продукти.

Понастоящем повечето лицензи съдържат достатъчното предупреждение „КАКТО Е“ („AS IS„), което гласи, че разработчиците не носят отговорност за грешките, не дават никаква гаранция за работата на кода и не поемат никакви задължения за решаване на възникнали проблеми, а потребителят се съгласява да използва кода на свой риск. Липсата на гаранции от страна на разработчиците е допринесла за развитието на бизнес модели, базирани на платена техническа поддръжка.

Тъй като в корпоративния сектор използването на софтуер с отворен код става все по-активно и интересът на бизнеса към използването на open source нараства, моделът на финансиране на разработката чрез некомерсиални фондове започна да набира популярност. Компаниите спонсорират създаването на фонд на базата на някой голям проект с отворен код, като в замяна получават възможност да участват в ръководния технически комитет на този проект и да влияят върху вземането на решенията за по-нататъшното му развитие. Появата на такива фондове промени отношението на бизнеса към софтуера с отворен код – ако по-рано той се възприемаше като хаотично развитие на ентусиасти, то сега се разглежда като инструмент за развитие на технологичната индустрия. Промени се и възприемането на отговорността за проблемите в софтуера с отворен код – вместо да защитава отделните разработчици, клаузата за липса на отговорност се възприе като възможност за избягване на отговорността на големите компании, създаващи продукти с отворен код.

Ситуацията с отказа от юридическа отговорност може да се промени с приемането на законопроекта за Cyber Resilience Act (CRA) в Европейския съюз, който предвижда определени задължения за производителите на софтуер, които не се грижат адекватно за сигурността и не отстраняват своевременно уязвимостите по време на жизнения цикъл на продукта. Законопроектът се отнася за производителите на комерсиален софтуер и предвижда специално изключение за софтуера с отворени лицензи, но дори и при това положение няма гаранция, че в бъдеще няма да се появят закони без подобни изключения.

Като пример за потенциалните рискове, свързани с правната отговорност, се споменава съдебно дело в Обединеното кралство, в което Tulip Trading изисква промени в кода на блокчейна на Bitcoin, след като в резултат на хакерска атака е загубила биткойни за голяма сума. Искът е подаден срещу разработчиците на кода, а не срещу операторите на мрежата Bitcoin. Първата инстанция отхвърли иска, позовавайки се на клаузата за отказ от отговорност в лиценза, но делото продължава в Апелативния съд, който вероятно ще отхвърли иска и по други причини.