作者：王红燕 沈杨雨岚 汪媛雅 刘珂诗 章雨璐
《中国人工智能企业出海百问百答》第五部分
四十一、自研AI模型训练使用了GitHub上的开源代码，如何排查是否存在许可证冲突？
【风险等级提示：绿线问题】
在自研AI模型开发中，研发团队普遍会使用GitHub上的开源代码（如数据预处理脚本、模型架构或训练框架）。开源许可证（Open Source License）本质上是著作权人许可他人使用代码的法律合同[1]。若违反许可条件，企业可能面临代码被强制开源、产品停售或被诉侵权的法律风险。
鉴于此，排查开源代码许可证冲突，建议遵循以下“五步排查法”：
一、数据与代码溯源：建立 SPDX 资产清单
元数据留痕：记录每个仓库的 URL、Commit Hash、抓取时间及许可证快照。
穿透排查：若来自 The Stack、CodeParrot 等开源聚合数据集，需核查其分发条款，不能仅凭“公开数据集”免除审查义务。
引入标准：建议采用国际通用 SPDX 标准生成开源软件清单（SBOM）。
二、文件级识别：警示“无许可”与“隐藏代码”
优先扫描LICENSE文件，但仓库根目录协议宽松，不代表内部子目录同样宽松：
文件级扫描：必须使用 ScanCode Toolkit 等工具做文件级/包管理文件（package.json等）扫描，排查内部vendor目录下的第三方嵌入代码。
无 LICENSE 仓库：依著作权法“未声明即保留权利”原则[2]，默认不得使用，应整体排除或人工复核。
三、风险分级与排查：区分 Copyleft 与 AI 特殊限制
强 Copyleft 协议（GPL/AGPL）：训练所得模型权重是否构成“衍生作品”目前尚无定论，实务中建议采取审慎排除策略；若必须使用，可采用微服务/进程隔离架构。
自定义/NC 协议：需人工检索是否存在“禁止用于 AI/ML 训练”的自然语言限制条款（如 CC-BY-NC 或部分自创协议），此类限制自动化工具难以直接识别。
四、延伸排查：从“输入端许可”到“输出端记忆”
五、司法风控与合规留痕
司法前沿警示：在美国Doe v. GitHub案[3]中，原告指控 Copilot 训练未遵守开源协议署名义务。该案表明，训练是否侵权在域外司法实践中仍属未决问题，企业切勿以“尚无定论”为由放松审查。
合规证据链：依据《生成式人工智能服务管理暂行办法》第七条[4]，提供者应对数据来源合法性负责。建议将上述排查流程固化为内部 SOP 并做审计留痕，作为应对监管问询或诉讼防线的合规证据。
四十二、在海外销售预装软件的硬件设备，如何避免因使用盗版开发工具导致的法律风险？
【风险等级提示：绿线问题】
开发工具虽通常不随硬件交付，但在研发电脑、构建服务器上安装并商业使用未经许可的编译器、调试器等，本身即可能侵犯软件复制权；“仅内部使用”或产品已经出口，并不能消除责任。若破解工具还把受限运行库、SDK、模板或代码片段写入固件、安装包，风险会延伸至产品复制、发行和进口环节。善意取得亦未必允许继续使用侵权复制品，权利人仍可请求停止使用或销毁。[5]
建议企业以软件资产管理覆盖完整工具链，建立“工具链清单+授权台账”，记录版本、设备或账号、许可期限、地域、商业用途，以及可否生成、链接和再分发代码；同时采购、续费、安装、转移、卸载均留存合同、发票、授权证明和日志等；通过集中采购、安装白名单、终端与构建服务器定期扫描等途径，将实际安装量、并发量与许可权益核对，并禁止员工以个人账号、试用版或来源不明的破解器从事商业开发，且警示免费或已下载不等于获得商业使用权。[6]
其次，将合规设为发布门槛。每一型号、固件版本出货前，应生成软件物料清单（SBOM）和开发工具链记录，对二进制文件、依赖库、代码生成物和第三方组件进行扫描；由法务与研发共同核验运行库再分发条款、SDK/插件许可、开源义务、专利授权、地域限制及出口目的国规则等。SBOM可提高组件和依赖关系的可追溯性，但不能替代许可证审查。[8]同时注意，知识产权保护具有地域性，研发行为所在地与产品进口、销售地可能分别触发不同法域，故应对重点市场形成国别审查表。[8]
发现历史盗版时，应立即隔离环境、保全采购和构建记录，停止继续编译发布；取得正版许可通常不当然追溯消灭既往侵权，应与权利人核实补授权或和解范围，并在洁净、已授权环境中重新构建，替换嵌入的受限组件，完成回归测试后再出货。最终以年度审计、员工培训和管理层问责，使“采购—开发—构建—发布—售后更新”全流程可验证。[9]
四十三、 如果产品集成了第三方API（如OpenAI的API），服务中断时如何向客户免责？
【风险等级提示：绿线问题】
AI产品集成OpenAI、Anthropic、Google等第三方大模型API已成为行业常见模式，但根据《中华人民共和国民法典》第593条[10]，因第三人的原因造成违约的，并不当然免除合同当事人的违约责任。因此，上游API发生服务中断、接口调整或停止运营时，集成方原则上仍应对客户承担合同责任。对此，AI企业应在合同中合理分配风险、明确责任边界，建立相应的应急响应机制。
合同中应明确第三方服务依赖关系。用户协议或服务合同宜明确说明产品部分功能依赖第三方API，相关服务可能因第三方维护、升级、网络故障、接口调整或停止服务而受到影响，并充分提示相关风险。对于第三方服务中断导致的功能受限，应约定合理的处理方式。
SLA应合理界定服务承诺范围。服务等级协议（SLA）宜明确可用性指标的计算口径，将第三方API不可用、政府限制措施、互联网基础设施故障等约定为合理的例外情形；同时明确服务中断后的补救措施，如服务期限顺延、服务积分（Service Credits）、费用减免或退款等。
合理划分责任边界。集成方通常应对自身系统架构、业务逻辑、接口调用、数据处理及系统编排负责；对于第三方API输出结果的可用性、稳定性或持续运营，则可在合同中合理约定责任范围。但对于因自身选型不当、调用错误、监控缺失或未及时切换备用方案导致的损失，集成方仍可能承担相应责任。
免责条款应符合公平原则。无论B2B还是B2C交易，免责条款均应遵循公平合理原则，不得不合理免除自身责任、加重对方责任或者排除对方主要权利，否则可能被认定为无效格式条款。对于B2C业务，还应按照法律要求以显著方式提示免责条款，并确保消费者有充分机会阅读和理解相关内容。
建立应急响应和替代方案。合同约定之外，企业还应建立完善的服务连续性机制，包括实时监测第三方API状态、配置备用模型或多API切换方案、发生服务中断后及时通知客户并说明预计恢复时间，以及采取合理措施减少客户损失。完善的技术保障和应急响应措施既有助于降低违约风险，也有助于证明企业已尽合理注意义务。
四十四、如何应对海外机构针对AI算法专利的侵权警告函？
境外机构发出的专利侵权警告函，仅属于权利主张，并非侵权成立的司法认定。企业不宜因收函即行下架、停售，也不宜由业务或技术人员自行回复，或披露源代码、模型权重等核心材料。稳妥的做法，是尽快由法务牵头开展以下工作。
第一，固定证据，审慎回应。完整留存警告函、邮件头、附件及快递信息，并固定涉案版本的源代码、模型结构、运行日志、API文档、上线记录和销售资料。初步评估完成前，对外宜仅确认收悉并申请合理答复期限，不宜就技术实施情况或侵权责任作实体表态。在美国，收函后的处置可能影响故意侵权及加重赔偿，但未取得律师意见本身并不当然构成故意侵权[11]。
第二，核查权利基础及地域范围。确认发函主体是否有权主张，并逐国核实专利的授权、缴费、权属及有效状态，比较同族专利在主要销售国的权利要求。涉及欧洲市场的，还应区分统一专利与传统欧洲专利，核对生效国家及UPC退出情况。[12]对方未列明具体权利要求和对应技术特征的，可要求其提供权利要求对照表（claim chart），不应由己方主动补充主张基础。
第三，开展侵权比对和专利稳定性分析。以独立权利要求为中心，逐项拆分必要技术特征，查明己方是否实施、由谁实施、服务器和用户位于何地[13]，以及是否存在规避空间。AI算法通常在服务端运行，功能相近并不足以认定侵权，仍应比对具体数据处理步骤、模型结构和输入输出关系。同时检索在先论文、开源代码和早期产品，评估专利的新颖性、创造性及可专利性[14]。
第四，控制技术披露和数据合规风险。初次回函原则上不提交源代码、模型权重或训练数据。确有核验必要的，可在保密协议、律师阅卷圈、第三方专家保密机制或受控演示下进行。材料涉及个人信息、重要数据，或者拟向外国司法、执法机构提供的，还应同步审查中国的数据出境及对外提供数据规则[15]。
完成上述核查后，企业应结合侵权可能性、专利稳定性和商业影响确定方案：风险较低的，可出具不侵权意见并要求对方澄清或撤回；存在一定风险的，可同步推进规避设计和许可谈判；风险较高的，应比较许可费、改版成本、禁令风险和诉讼预算，评估和解、许可、无效或撤销程序、确认不侵权之诉等路径[16]，并核查知识产权保险及供应商赔偿条款。应对重点不在于仓促表明立场，而在于形成可执行的法律和商业方案。
编辑|王佳佳
[1]参见深圳市中级人民法院（2019）粤03民初3928号民事判决书，法院明确认定 GPLv3 许可证属于具有法律约束力的合同。
[2]依据《中华人民共和国著作权法》第五条，著作权自作品创作完成之日起产生。因此未加注开源许可即默认为版权人保留所有权利（All Rights Reserved）。
[3]参见美国加州北区联邦地区法院 Doe v. GitHub 案（No. 4:22-cv-06823）。2024年7月法院驳回原告部分诉请，关于 DMCA 第1202条（版权管理信息 CMI）诉请已上诉至第九巡回法院，目前开源协议在 AI 训练中的“传染性”实体问题仍在审理中。
[4]《生成式人工智能服务管理暂行办法》第七条规定，生成式人工智能服务提供者（以下称提供者）应当依法开展预训练、优化训练等训练数据处理活动，遵守以下规定：（一）使用具有合法来源的数据和基础模型。
[5]参见《计算机软件保护条例》第8条、第16条、第24条、第30条；（2020）最高法知民终155号。
[6]参见贾媛媛、陈耀文、王聪睿子：《计算机软件相关的知识产权合规问题（上）》，海问律师事务所，https://mp.weixin.qq.com/s/QnAhLOptGCMhITb7F70KiQ；参见推进使用正版软件工作部际联席会议办公室：《正版软件管理工作指南》，https://www.sz.gov.cn/cn/xxgk/zfxxgj/tzgg/content/post_10886874.html?utm_source=chatgpt.com；
[7]参见国家工业信息安全发展研究中心：“构建软件供应链安全防线——链图·软件物料清单管理服务平台正式发布”，https://www.cics-cert.org.cn/web_root/webpage/articlecontent_102004_1948564423723454466.html?utm_source=chatgpt.com；中国信息通信研究院：《开源软件知识产权风险防控研究报告》，https://www.caict.ac.cn/kxyj/qwfb/bps/201907/P020190710343670915282.pdf?utm_source=chatgpt.com；
[8]张鹏：《跨境知识产权侵权纠纷的域外法律适用》，《知识产权》2024年第1期，第106—126页；
[9]参见GB/T 43698-2024《网络安全技术 软件供应链安全要求》；T/ISC 0044—2024《软件供应链安全要求》
[10]《中华人民共和国民法典》第593条，https://flk.npc.gov.cn.
[11]美国《专利法》35 U.S.C. § 284允许法院在适当案件中将赔偿额提高至三倍；Halo Electronics, Inc. v. Pulse Electronics, Inc., 579 U.S. 93, 103-04 (2016)指出，加重赔偿主要针对故意、恶意或其他严重不当的侵权行为。同时，35 U.S.C. § 298明确，未取得律师意见或未向法院提交该意见，不得单独用于证明故意侵权或诱导侵权。
[12]欧洲专利法律状态可通过European Patent Register及其Federated Register核查。参见欧洲专利局，European Patent Register；《统一专利法院协议》（Agreement on a Unified Patent Court）第3条、第83条。第83条规定了传统欧洲专利在过渡期内的opt-out机制，但欧洲统一专利不适用该退出机制。
[13]专利侵权具有地域性。美国《专利法》35 U.S.C. § 271(a)以在美国境内制造、使用、许诺销售、销售或进口专利发明为直接侵权的基本触发点；欧洲统一专利法院体系下的直接侵权与间接侵权分别见《统一专利法院协议》第25条、第26条。因此，AI服务的部署地点、调用地点、销售对象及各步骤实施主体均会影响判断；
[14]关于AI/算法发明的专利适格性，美国专利商标局《2024 Guidance Update on Patent Subject Matter Eligibility, Including on Artificial Intelligence》（2024年7月17日起生效）强调，应判断权利要求是否将抽象概念整合进实际应用；欧洲专利局《Guidelines for Examination in the EPO》（2026年4月版）G-II, 3.3.1及3.6要求AI或计算机程序对技术问题作出技术贡献或产生进一步技术效果。
[15]《中华人民共和国个人信息保护法》第38条、第39条规定向境外提供个人信息的合规路径和单独告知、单独同意要求；《中华人民共和国数据安全法》第36条规定，未经主管机关批准，不得向外国司法或者执法机构提供存储于中国境内的数据；国家互联网信息办公室《促进和规范数据跨境流动规定》（国家网信办令第16号，2024年3月22日施行）进一步明确了数据出境安全评估、标准合同和认证制度的适用与豁免。
[16]在美国，符合“实际争议”要求时，可依据28 U.S.C. § 2201寻求确认性判决；在统一专利法院体系下，《统一专利法院协议》第62条允许采取临时禁令、扣押等临时保护措施，第65条规定法院可在撤销之诉或撤销反诉中全部或部分撤销专利。具体程序仍应结合发函国家、专利类型和管辖规则判断。
本文版权归「科技法全球合规观察」所有，如需转载，请联系下方秘书号洽谈授权。
如果您有相关法律咨询需求，
欢迎添加团队秘书号：
