James Bottomley iz IBM Research, koji se bavi SCSI i PA-RISC podsistemima unutar Linux jezgre i koji je ranije vodio tehnički odbor Linux Foundation, predložio je mogućnost rješavanja problema mogućeg dovođenja u odgovornost programera otvorenog koda za greške u kodu ili nepravilno rješavanje ranjivosti.
Ideja se sastoji u premještanju pravne odgovornosti za greške u izvornom kodu s programera otvorenih projekata na dobavljače konačnih komercijalnih proizvoda temeljenih na tom kodu, tj. pomicanju odgovornosti s onoga tko razvija kod na onoga tko zarađuje na tom kodu. Na primjer, ako tvrtka koristi vanjski otvoreni kod u svom proizvodu i greška/ranjivost u tom kodu uzrokuje štetu korisniku, u toj situaciji odgovornost i naknadu štete trebala bi snositi tvrtka koja je isporučila komercijalni softverski proizvod korisniku, a ne programer otvorene biblioteke.
Premještanje odgovornosti se predlaže implementirati kroz dodavanje stavke u licencu koja ukazuje na suglasnost o naknadi štete i zaštiti sudionika u razvoju od bilo kakvih pravnih potraživanja u slučaju potpunog ili djelomičnog korištenja pruženog pod ovom licencom izvornog koda kao komponenta ili proizvod u jurisdikcijama koje nameću dodatne obveze za održavanje softverskih proizvoda.
U trenutnoj praksi, kako bi se otklonili pravni rizici, dovoljno je imati u licenci upozorenje 'AS IS', u kojem se navodi da programer ne snosi odgovornost za greške, ne daje nikakve garancije na rad koda i ne preuzima obveze rješavanja problema, a potrošač pristaje koristiti kod na vlastitu odgovornost. Nedostatak garancija od programera potaknuo je razvoj poslovnog modela temeljenog na plaćenoj tehničkoj podršci, koji je dominirao u ranim fazama razvoja ekosustava otvorenog softvera.
Kako se otvoreni kod sve više penetrira u industriju i raste interes korporacija za njegovu upotrebu, razvila se koncept utjecaja na razvoj kroz neprofitne fondove — na osnovi velikog projekta osniva se fond koji dobiva financiranje za razvoj od velikih kompanija, koje zauzvrat dobivaju mogućnost ulaska u nadzorni tehnički odbor i sudjelovanja u donošenju kolegijalnih odluka o daljnjem razvoju. Pojava fondova transformirala je odnos prema otvorenim projektima, koji su počeli biti percipirani kao alat za razvoj tehnološke industrije, a ne kao kaotično utočište volontera. Promijenilo se i shvaćanje odgovornosti za probleme u otvorenom kodu — umjesto zaštite pojedinačnih programera, točka o neobaveznim obvezama počela se shvaćati kao prilika za umak od odgovornosti velikih kompanija koje kreiraju otvorene proizvode.
Situacija s odricanjem od obaveza može se promijeniti u slučaju usvajanja zakona o Cyber Resilience Act u Europskoj uniji, koji nameće određenu odgovornost proizvođačima softvera koji se ne brinu dovoljno o sigurnosti i hitno ne uklanjaju ranjivosti tijekom životnog ciklusa proizvoda. Ovaj zakonodavni prijedlog odnosi se na proizvođače komercijalnog softvera i, sudeći prema provedenom radu, osigurat će posebno izuzeće za softver pod otvorenim licencama, ali nema garancija da u budućnosti negdje neće biti usvojen sličan zakon bez takvih izuzeća.
Kao primjer rizika povezanih s odgovornošću programera, također se spominje pravni postupak pokrenut u Ujedinjenom Kraljevstvu, u kojem tvrtka Tulip Trading, koja je izgubila bitcoine u vrijednosti od oko 4 milijarde dolara tijekom hakiranja, od programera sustava Bitcoin traži da unesu promjene u kod blockchaina kako bi se vratio izgubljeni iznos. Tužba je podnesena protiv programera alata, a ne operatora mreže Bitcoin. Prvi sud odbio je tužbu temeljem stavke u licenci o odricanju odgovornosti, ali postupak je nastavljen na višem sudu, koji se čini da također odbija tužbu, ali ovaj put zbog nemogućnosti tvrtke Tulip Trading da dokaže vlasništvo nad bitcoinima u traženom iznosu.
Izvor: opennet.ru
