James Bottomley z oddělení IBM Research, který se zabývá subsystémy SCSI a PA-RISC v jádru Linux a dříve vedl technický výbor Linux Foundation, navrhl řešení problému s možným právním postihem vývojářů otevřeného kódu za chyby v kódu nebo nedostatečné odstranění zranitelností.
Myšlenka spočívá v tom, aby se právní odpovědnost za chyby v zdrojovém kódu převedla z vývojářů otevřených projektů na dodavatele konečných komerčních produktů založených na tomto kódu, tzn. přesunout odpovědnost od těch, kdo kód vyvíjejí, na ty, kdo na tomto kódu vydělávají. Například pokud společnost používá třetí stranu otevřený kód ve svém produktu a chyba/zranitelnost v tomto kódu způsobila škodu uživateli, pak by v takové situaci měl odpovídat a hradit škody výrobce předaného komerčního softwarového produktu uživateli, a ne vývojář otevřené knihovny.
Převedení odpovědnosti se navrhuje realizovat připojením k licenci ustanovení, které uvádí souhlas s uhrazením ztrát a ochranou účastníků vývoje před jakýmikoli právními nároky v případě úplného nebo částečného využití poskytovaného pod touto licencí zdrojového kódu jako komponenty nebo produktu v jurisdikcích, které ukládají dodatečné povinnosti pro údržbu softwarových produktů.
V současné praxi je pro odstranění právních rizik dostačující, aby v licenci bylo uvedeno varování „AS IS“, ve kterém je prohlášeno, že vývojář nenese odpovědnost za chyby, nedává žádné záruky na fungování kódu a nepřebírá závazky k řešení problémů, a spotřebitel souhlasí s používáním kódu na vlastní riziko. Nedostatek záruk od vývojářů podnítil rozvoj obchodního modelu založeného na placené technické podpoře, který dominoval v rané fázi vzniku ekosystému otevřeného zdroje.
S rozšířením otevřeného kódu v průmyslu a rostoucím zájmem korporací o jeho využití se začal vyvíjet koncept vlivu na vývoj prostřednictvím neziskových fondů - na základě velkého projektu se zakládá fond, který získává financování na vývoj od velkých společností, které na oplátku dostávají možnost vstoupit do dozorčího technického výboru a účastnit se kolektivního rozhodování o dalším rozvoji. Vznik fondů přetvořil vztah k otevřeným projektům, které se začaly vnímat jako nástroj rozvoje technologického průmyslu, nikoli jako chaotické útočiště dobrovolníků. Změnilo se také vnímání odpovědnosti za problémy v otevřeném kódu - místo ochrany jednotlivých vývojářů se článek o absenci závazků začal chápat jako možnost, jak se vyhnout odpovědnosti velkých společností, které vytvářejí otevřené produkty.
Situace s odmítnutím závazků se může změnit v případě schválení zákona o kybernetické odolnosti v Evropské unii, který ukládá určitou odpovědnost výrobci softwaru, kteří náležitě nezajišťují bezpečnost a okamžitě neodstraňují zranitelnosti během životního cyklu produktu. Návrh zákona se dotýká výrobců komerčního softwaru a podle prováděné práce poskytne zvláštní výjimku pro software s otevřenými licencemi, ale nejsou žádné záruky, že se v budoucnu někde nepřijme podobný zákon bez takových výjimek.
Jako příklad rizik spojených s odpovědností vývojářů se také zmiňuje soudní spor zahájený ve Velké Británii, v němž společnost Tulip Trading, která při hacku ztratila bitcoiny v hodnotě přibližně 4 miliardy dolarů, požaduje po vývojářích systému Bitcoin, aby provedli změny v kódu blockchainu pro navrácení ztracené částky. Žaloba byla podána proti vývojářům nástrojového kódu, nikoli proti provozovatelům sítě Bitcoin. Soud prvního stupně zamítl žalobu na základě ustanovení v licenci o vyloučení odpovědnosti, avšak odvolací řízení pokračovalo, přičemž odvolací soud zřejmě také zamítne žalobu, a to tentokrát kvůli neschopnosti společnosti Tulip Trading prokázat vlastnictví bitcoinů v uvedené výši.
Zdroj: opennet.ru
