開源授權

Open Source Licensing 是基於著作權法（Copyright Law）建立的法律機制，允許軟體開發者在特定條件下分享其原始碼。根據 OSI（Open Source Initiative）定義，開源授權必須具備自由再分發、允許衍生作品、不歧視特定領域及不要求強制連鎖授權等特性。在 AI 時代，大型語言模型（LLM）常採用開源權重（Open Weights）授權模式，如 Llama 3 的 Community License。這與傳統自由軟體授權（如 GPL）有本質區別：後者要求衍生作品也必須開源（Copyleft），而前者則更具商業彈性。企業必須區分「自由軟體」與「開源軟體」的法律義務差異，避免因誤用 GPL 授權而被迫公開核心商業程式碼，造成營業秘密（Trade Secret）保護失效。台灣《營業秘密法》第2條規定，營業秘密須具備秘密性、經濟價值及合理保密措施，若企業未對開源組件進行授權分類管理，將面臨無法主張營業秘密保護的法律困境。此外，ISO/IEC 5230:2020 提供了開源軟體合規的系統性管理框架，協助企業建立治理機制。

企業導入開源授權管理應遵循三階段實務路徑：第一步為「清冊建立」，利用軟體成分分析（SCA）工具（如 FOSSA、Black Duck）自動掃描專案中所有開源組件及其依附授權；第二步為「合規分類」，依據授權類型（Permissive vs. Copyleft）設定風險等級，Permissive 類（如 MIT、Apache 2.0）風險低，Copyleft 類（如 GPLv3）需嚴格審核；第三步為「治理流程」，建立開源引入、審核、更新與退出的完整生命週期管理。以台灣某大型半導體設備廠為例，其 AI 視覺檢測系統整合了 150 個開源函式庫，透過建立「開源軟體使用白名單」，將合規審核時間從每季 40 小時縮短至 4 小時，合規率提升至 98.5%。量化效益方面，完整管理可降低 70% 的法律訴訟風險，並在客戶稽核時將供應商管理（Supplier Management）通過率提升 30%。

台灣企業在開源授權管理上常見三大挑戰：第一，法規認知不足，許多中小企業對 Copyleft 授權的「傳染性」缺乏理解，誤以為只是「參考」而未觸發公開義務。對策是建立法律與技術雙軌的開源政策文件，明確規定哪些授權禁止用於商業產品。第二，供應鏈管理失控，台灣企業大量委外開發，開源組件的授權義務往往隨供應商傳遞至終端客戶。對策是將開源合規要求納入供應商合約條款，要求供應商提交 SBOM（Software Bill of Materials）。第三，AI 時代的法律灰色地帶，如訓練數據的著作權爭議。對策是參考 EU AI Act 的最新趨勢，建立 AI 模型訓練數據的溯源機制。建議企業在 60 天內完成現有專案盤點，90 天內建立完整治理框架，並定期進行 ISO/IEC 5230 框架的內部稽核。

積穗科研股份有限公司（Winners Consulting Services Co., Ltd.）專注台灣企業Open Source Licensing相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact