James Bottomley, do IBM Research, responsável pelos subsistemas SCSI e PA-RISC no núcleo do Linux e anteriormente presidente do comitê técnico da Linux Foundation, propôs uma solução para o problema da possível responsabilização dos desenvolvedores de código aberto por erros no código ou pela incapacidade de corrigir vulnerabilidades.
A ideia é transferir a responsabilidade jurídica por erros no código-fonte dos desenvolvedores de projetos abertos para os provedores dos produtos comerciais finais baseados nesse código, ou seja, deslocar a responsabilidade de quem desenvolve o código para quem gera lucro com ele. Por exemplo, se uma empresa utiliza código aberto de terceiros em seu produto e um erro/vulnerabilidade nesse código causou danos ao usuário, então quem deve responder e compensar os danos deve ser o fabricante do produto de software comercial fornecido ao usuário, e não o desenvolvedor da biblioteca aberta.
A transferência de responsabilidade é proposta através da inclusão na licença de uma cláusula que estipula a concordância em ressarcir danos e proteger os participantes do desenvolvimento de quaisquer reclamações legais no caso de uso total ou parcial do código-fonte fornecido sob essa licença como um componente ou produto em jurisdições que impõem obrigações adicionais de manutenção de produtos de software.
Na prática atual, para se isentar de riscos jurídicos, é suficiente ter na licença um aviso de 'AS IS', no qual é declarado que o desenvolvedor não é responsável por erros, não oferece garantias de funcionalidade do código e não assume obrigações para resolver problemas, enquanto o consumidor concorda em usar o código por sua conta e risco. A falta de garantias por parte dos desenvolvedores estimulou o desenvolvimento de um modelo de negócios baseado em suporte técnico pago, que dominou no início da formação do ecossistema de software livre.
À medida que o código aberto se infiltra na indústria e cresce o interesse das corporações em seu uso, a conceito de influência no desenvolvimento por meio de fundos sem fins lucrativos começou a se desenvolver — um fundo é criado a partir de um grande projeto, recebendo financiamento para o desenvolvimento de grandes empresas, que, em troca, recebem a oportunidade de entrar no conselho técnico e participar da tomada de decisões colegiadas sobre o desenvolvimento futuro. O surgimento de fundos transformou a percepção sobre projetos abertos, que passaram a ser vistos como uma ferramenta para o desenvolvimento da indústria tecnológica, e não como um refúgio desordenado para voluntários. A percepção de responsabilidade por problemas no código aberto também mudou — em vez de proteger desenvolvedores individuais, a cláusula de isenção de obrigações passou a ser vista como uma forma de os grandes negócios se esquivarem da responsabilidade na criação de produtos abertos.
A situação de isenção de obrigações pode mudar com a aprovação na União Europeia do projeto de lei Cyber Resilience Act, que impõe uma certa responsabilidade aos produtores de software que não cuidam adequadamente da segurança e não corrigem prontamente as vulnerabilidades ao longo do ciclo de vida do produto. O projeto de lei abrange produtores de software comercial e, segundo o trabalho em andamento, fornecerá uma exceção especial para software sob licenças abertas, mas não há garantias de que no futuro não seja aprovada uma lei semelhante em algum lugar sem essas exceções.
Como exemplo dos riscos associados à responsabilidade dos desenvolvedores, menciona-se também um litígio iniciado no Reino Unido, no qual a empresa Tulip Trading, que perdeu aproximadamente 4 bilhões de dólares em bitcoins durante um ataque, exige que os desenvolvedores do sistema Bitcoin modifiquem o código da blockchain para recuperar o valor perdido. A ação foi movida contra os desenvolvedores do código da ferramenta, e não contra os operadores da rede Bitcoin. O tribunal de primeira instância negou o pedido com base em uma cláusula de isenção de responsabilidade na licença, mas a análise foi continuada no tribunal de apelação, que aparentemente também deverá rejeitar a ação, mas desta vez devido à incapacidade da Tulip Trading de provar a titularidade dos bitcoins no valor alegado.
Fonte: opennet.ru
