James Bottomley z oddziału IBM Research, odpowiedzialny za podsystemy SCSI i PA-RISC w jądrze Linux oraz były przewodniczący komitetu technicznego Linux Foundation, zaproponował rozwiązanie problemu możliwości pociągnięcia do odpowiedzialności programistów oprogramowania open source za błędy w kodzie lub niewłaściwe usunięcie luk bezpieczeństwa.
Pomysł polega na przeniesieniu odpowiedzialności prawnej za błędy w kodzie źródłowym z programistów otwartych projektów na dostawców końcowych komercyjnych produktów opartych na tym kodzie, czyli przeniesieniu odpowiedzialności z tych, którzy tworzą kod, na tych, którzy na nim zarabiają. Na przykład, jeśli firma używa zewnętrznego otwartego kodu w swoim produkcie i błąd/luka w tym kodzie spowodowała szkodę dla użytkownika, to w tej sytuacji odpowiedzialność i rekompensata szkód powinny spoczywać na producencie komercyjnego oprogramowania przekazanego użytkownikowi, a nie na programiście otwartej biblioteki.
Propozycja przeniesienia odpowiedzialności miałaby być realizowana poprzez dołączenie do licencji punktu, który wskazywałby na zgodę na rekompensatę strat i ochronę uczestników rozwoju przed wszelkimi roszczeniami prawnymi w przypadku pełnego lub częściowego wykorzystania udostępnionego na tej licencji kodu źródłowego jako komponentu lub produktu w jurysdykcjach nakładających dodatkowe obowiązki dotyczące utrzymania produktów programowych.
W obecnej praktyce, aby zdjąć z siebie ryzyko prawne, wystarczy zawarcie w licencji ostrzeżenia 'AS IS', które stwierdza, że programista nie ponosi odpowiedzialności za błędy, nie udziela żadnych gwarancji dotyczących działania kodu i nie przyjmuje zobowiązań do rozwiązywania problemów, a konsument zgadza się na korzystanie z kodu na własne ryzyko. Brak gwarancji ze strony programistów sprzyjał rozwojowi modelu biznesowego opartego na płatnym wsparciu technicznym, który dominował na wczesnym etapie tworzenia ekosystemu oprogramowania open source.
W miarę przenikania otwartego kodu do przemysłu oraz wzrostu zainteresowania korporacji jego wykorzystaniem rozwijała się koncepcja wpływu na rozwój poprzez fundusze non-profit — na bazie dużego projektu powstaje fundusz, który otrzymuje finansowanie na rozwój od dużych firm, którym w zamian oferuje się możliwość wejścia do nadzorczego technicznego komitetu oraz uczestnictwa w podejmowaniu kolegialnych decyzji dotyczących dalszego rozwoju. Pojawienie się funduszy zmieniło sposób postrzegania otwartych projektów, które zaczęły być traktowane jako narzędzie rozwoju branży technologicznej, a nie chaotyczne schronienie dla wolontariuszy. Zmieniło się także postrzeganie odpowiedzialności za problemy w otwartym kodzie — zamiast chronić poszczególnych programistów, punkt o braku obowiązków stał się postrzegany jako możliwość uchylania się od odpowiedzialności przez duże firmy tworzące otwarte produkty.
Sytuacja z brakiem zobowiązań może się zmienić w przypadku przyjęcia w Unii Europejskiej projektu ustawy o Cyber Resilience Act, który nałoży określoną odpowiedzialność na producentów oprogramowania, którzy odpowiednio nie dbają o bezpieczeństwo i nie usuwają na czas luk w zabezpieczeniach w trakcie cyklu życia produktu. Projekt ustawy dotyczy producentów komercyjnego oprogramowania i, sądząc po prowadzonej pracy, zapewni specjalne wyjątki dla oprogramowania na licencjach otwartych, ale nie ma żadnych gwarancji, że w przyszłości gdzieś nie zostanie przyjęta podobna ustawa bez takich wyjątków.
Jako przykład ryzyk związanych z odpowiedzialnością deweloperów podano postępowanie sądowe zainicjowane w Wielkiej Brytanii, w którym firma Tulip Trading, która straciła w wyniku włamania bitcoiny o wartości około 4 miliardów dolarów, żąda od deweloperów systemu Bitcoin wprowadzenia zmian w kodzie blockchainu, aby odzyskać utraconą kwotę. Pozew został złożony przeciwko programistom narzędzi, a nie operatorom sieci Bitcoin. Sąd pierwszej instancji odrzucił powództwo na podstawie klauzuli w licencji o zrzeczeniu się odpowiedzialności, ale sprawa była kontynuowana w sądzie apelacyjnym, który, sądząc po wszystkim, również odrzuci pozew, tym razem z powodu niemożności udowodnienia przez firmę Tulip Trading posiadania bitcoinów na zadeklarowaną kwotę.
Źródło: opennet.ru
