האם מותר לנו להשתמש מסחרית במודל קוד פתוח?

ארבעה סוגי רישיונות שכדאי להכיר

• רישיונות מתירניים, כמו Apache 2.0 ו־MIT: מתירים בדרך כלל שימוש, שינוי ומכירה, כולל מסחרית, בכפוף לשמירת הודעות זכויות יוצרים ותנאי הרישיון. Apache 2.0 כולל גם הוראות לגבי פטנטים.
• רישיונות ״הדדיים״, כמו GPL ו־AGPL: מתירים שימוש מסחרי, אבל במצבים מסוימים מחייבים לפרסם את קוד המקור של מה שנבנה עליהם. ב־AGPL החובה יכולה לחול גם כשהתוכנה מוצעת כשירות ברשת.
• רישיונות לא־מסחריים, כמו CC BY-NC ורישיונות ״למחקר בלבד״: אוסרים שימוש מסחרי. מודל כזה יכול לשמש לניסוי פנימי, אבל לא בבסיס מוצר שנמכר.
• רישיונות ייעודיים של מפתחי מודלים: מתירים לרוב שימוש מסחרי, אבל מצרפים מדיניות שימוש מקובל, דרישות ייחוס ושם, ולעיתים תנאים שתלויים בהיקף המשתמשים של החברה.

מדיניות שימוש מקובל: הסעיף שחברות דואל־יוז מפספסות

במודלים רבים, מדיניות השימוש המקובל היא חלק מתנאי הרישיון. הפרה שלה עלולה להיות הפרה של הרישיון עצמו. לדוגמה, מדיניות השימוש המקובל של Llama 3.3 אוסרת להשתמש במודל לפעילות ״צבאית, לוחמה, תעשיות או יישומים גרעיניים, ריגול״, ולפעילות הכפופה לתקנות ITAR של ארה״ב.

לחברת דואל־יוז המשמעות ישירה: מוצר שנבנה על מודל כזה עלול שלא להיות ניתן למכירה ללקוח ביטחוני, גם אם הוא מצוין לשימוש אזרחי. כדאי לגלות את זה בשלב בחירת המודל, ולא בבדיקת נאותות או מול לקוח. וכשהמוצר עצמו מפוקח, יש גם שאלה נפרדת של פיקוח על יצוא ביטחוני.

רישיון המודל אינו כל התמונה

מוצר AI בנוי משכבות, ולכל אחת יש תנאים משלה:

1. המשקלים של המודל: הרישיון הראשי, כולל מדיניות השימוש.
2. הקוד שמריץ את המודל: ספריות, כלי אימון והסקה, שלכל אחד רישיון קוד פתוח משלו.
3. נתוני האימון והכוונון: מאגרים ציבוריים עם תנאי שימוש, נתונים שנאספו מאתרים, ונתונים של לקוחות. כאן נכנסים גם זכויות יוצרים וחוק הגנת הפרטיות.
4. מודל שכוונן או זוקק ממודל אחר: לעיתים הרישיון של המודל המקורי ממשיך לחול על הנגזר, ולעיתים תנאי השימוש של ספק מסחרי אוסרים להשתמש בפלט שלו לאימון מודל מתחרה.
5. תוצרים: מה מותר לעשות בפלט, ומי הבעלים שלו.

איך בודקים בפועל?

1. בונים רשימת רכיבים של המוצר: כל מודל, גרסה, ספרייה ומאגר נתונים, עם הקישור למקור ולרישיון. כלי סריקה אוטומטיים עוזרים בקוד, אבל במודלים ובנתונים צריך בדיקה ידנית.
2. קוראים את הרישיון של הגרסה המסוימת. רישיונות משתנים בין גרסאות, וגרסה חדשה של אותו מודל יכולה לבוא עם תנאים אחרים.
3. ממפים את השימוש: שימוש פנימי, מוצר שנמכר, שירות בענן, הטמעה אצל לקוח, ואילו לקוחות ותחומים.
4. משווים: האם כל שימוש מותר לפי כל רישיון, ואילו חובות נלוות חלות (ייחוס, הודעות, שיתוף קוד).
5. מתעדים ומתקנים: מחליפים רכיב בעייתי, מוסיפים הודעות נדרשות, או מסדירים רישיון מסחרי מול המפתח.

מתי זה עולה?

ברוב החברות השאלה עולה לראשונה ברגע חיצוני. בגיוס, המשקיע שואל אילו מודלים בשימוש ותחת איזה רישיון, כחלק מבדיקת הנאותות. בחוזה עם ארגון גדול, הלקוח מבקש הצהרה שהמוצר אינו מפר זכויות של צד שלישי, ולעיתים שיפוי. ובכניסה לאירופה, חוק ה־AI האירופי מטיל חובות על ספקים של מודלים לשימוש כללי ושל מערכות מסוימות, ופטורים חלקיים למודלים בקוד פתוח אינם חלים על כל המקרים.

בכל אחד מהרגעים האלה, מי שכבר יש לו רשימת רכיבים ובדיקת רישוי עונה בימים. מי שאין לו, מגלה פערים תחת לחץ זמן.

וגם בכלים פנימיים?

כן, במידה פחותה. מודל שמשמש רק בתוך החברה, למשל לסיכום מסמכים או לכתיבת קוד, אינו נמכר ללקוחות, ולכן חלק מהשאלות של שימוש מסחרי והפצה פחות חריפות. אבל רישיון לא־מסחרי יכול לאסור גם שימוש פנימי בחברה למטרות עסקיות, ומדיניות שימוש מקובל חלה על כל שימוש. מעבר לרישיון, בכלי פנימי עולות שאלות של מידע: מה העובדים מזינים, איפה זה נשמר, והאם מידע של לקוחות יוצא מהחברה. לכן גם כלים פנימיים נכנסים לרשימת הרכיבים ולמדיניות השימוש ב־AI.

מה עושים אם מתגלה בעיה?

• רישיון לא־מסחרי במוצר שנמכר: מחליפים את הרכיב, או פונים למפתח לרישיון מסחרי.
• מדיניות שימוש שאוסרת את תחום הלקוח: בוחנים מודל חלופי לפני ההתקשרות, ולא אחריה.
• רישיון הדדי ברכיב מרכזי: בודקים אם השימוש בפועל מפעיל את חובת שיתוף הקוד, ואם כן, אם אפשר להפריד את הרכיב.
• נתונים בלי זכויות ברורות: מתעדים מקור, בודקים תנאי שימוש, ושוקלים אימון מחדש על נתונים מוסדרים.

מי מטפל

את הבדיקה מנהל אילון צור, משפטן (LL.B), יחד עם הצוות הטכני שלכם, והמשרד עובד עם כלי AI משלו לסריקת רישיונות ומאגרי קוד. הייעוץ המשפטי ניתן על ידי עו״ד שמעון צור. מחיר קבוע, מוסכם מראש בהסכם שכר טרחה.