AI-genererad kod och upphovsrätt: ägande, GPL och licenser före merge

Vem äger koden AI skriver?

Utgångspunkten finns i upphovsrättslagen. Enligt 1 § har den som har skapat ett litterärt eller konstnärligt verk upphovsrätt till det, och datorprogram räknas uppräkningsvis till de verken. PRV beskriver samma sak och lägger till två saker som är viktiga för kod. Det är originaliteten som ger skyddet, inte kvaliteten. Och det är utformningen som skyddas, inte idéerna eller konceptet bakom. PRV:s tumregel är att ett uttryck troligen är tillräckligt originellt om det är osannolikt att två personer oberoende av varandra skulle utforma det likadant.

Det säger ingenting om vem som har skapat ett förslag som en modell genererade. PRV:s sida om upphovsrätt på AI-bilder är det närmaste svaret i källorna: ”För att man ska kunna få upphovsrätt krävs att den som skapat verket är människa, och har kunnat göra fria kreativa val.” Därför, skriver PRV, har ingen upphovsrätt till en bild som helt har framställts med ett AI-verktyg utifrån en textinstruktion. Om bilden är så förändrad att den blir AI-assisterad kan upphovsrätt uppstå, och den bedömningen görs av domstol.

För anställda finns en särskild regel. Enligt 40 a § övergår upphovsrätten till ett datorprogram som en arbetstagare skapar i sitt arbete eller efter arbetsgivarens instruktioner till arbetsgivaren, om inget annat har avtalats. Vår läsning av lagtexten är att paragrafen flyttar en upphovsrätt som redan har uppstått. Den svarar inte på om ett helt genererat stycke över huvud taget gav upphov till någon. Avvägningen för teamet blir praktisk. Det som en utvecklare har formulerat, valt och bearbetat har bättre förutsättningar att vara skyddat än det som klistrades in oförändrat.

När ett förslag bär någon annans licens

Ägarfrågan handlar om din egen kod. Licensfrågan handlar om andras. Enligt 2 § i upphovsrättslagen omfattar upphovsrätten ensamrätten att framställa exemplar av verket och göra det tillgängligt, i ursprungligt eller ändrat skick och helt eller delvis. Lagen har inskränkningar, men utgångspunkten är tydlig: att återge en skyddad del av någon annans kod kräver stöd, och för öppen källkod är det stödet licensen.

Att koden kom via en modell ändrar inte frågan. PRV skriver, återigen om bilder, att du inte kan skylla på AI-verktyget utan själv behöver veta att du inte gör intrång när du använder det du har fått. Samma reservation gäller här som ovan: sidan handlar om bilder. Men slutsatsen för arbetsflödet är svår att undvika. Om ett förslag råkar återge ett distinkt stycke ur ett GPL-licensierat projekt är det det projektets licens som avgör vad du får göra, och den frågan måste någon i teamet äga.

Alla träffar är inte lika tunga. En vanlig loop eller ett standardanrop till ett ramverk är svårt att utforma på annat sätt, och enligt PRV:s tumregel är det då mindre sannolikt att uttrycket är originellt. En längre funktion med egna namn, egen struktur och egna kommentarer ligger närmare det som skyddas. Gränsen finns inte i ett antal rader eller tecken, och artikeln drar ingen sådan gräns.

Vad code referencing gör och inte gör

GitHub Copilot har en inbyggd kontroll för just det här, code referencing. Enligt GitHub kontrolleras förslag mot publikt tillgänglig kod, och träffar antingen kasseras eller föreslås med en kodreferens. Vilket av de två som gäller beror på om du eller din organisation har tillåtit förslag som matchar publik kod. Det här är vad dokumentationen säger, i GitHubs egna villkor:

• Vad som jämförs: potentiella kodförslag och den omgivande koden, cirka 150 tecken, mot ett index över alla publika repon på GitHub.com.
• Vad som inte ingår: kod i privata GitHub-repon och kod utanför GitHub ingår inte i sökningen.
• Hur ofta det slår till: typiskt i mindre än en procent av Copilots förslag, enligt GitHubs uppgift för inline-förslag. För Copilot Chat på GitHub.com skriver GitHub bara att träffar är ovanliga.
• Vad som loggas: när du accepterar ett inline-förslag som matchar kod i ett publikt repo loggas URL:er till filerna med matchande kod och namnet på licensen, om någon hittades.
• Vad som inte kontrolleras: bara accepterade inline-förslag kontrolleras. Kod du har skrivit själv och förslag du har ändrat jämförs inte mot publik kod.
• Hur färskt indexet är: det uppdateras med några månaders mellanrum. Nyligen incheckad kod kan saknas, och kod som har tagits bort eller flyttats kan ge träff.

Av det följer en fallgrop som inte är självklar. Om du accepterar ett förslag, ändrar några namn och sedan kör vidare, har du flyttat koden ut ur det som verktyget kontrollerar, men ursprunget är detsamma. En tom matchlogg betyder därför bara att inga accepterade och oförändrade förslag matchade publika GitHub-repon i ett index som kan vara några månader gammalt. Den betyder inte att koden är fri från andras licenser.

Var träffen syns skiljer sig mellan verktygen. I Visual Studio visas den under förslaget i Chat med en länk till utdataloggen. I Chat i VS Code och JetBrains finns en länk i slutet av svaret. I Copilot Chat på GitHub.com finns detaljerna i svaret, och för Copilot cloud agent i sessionsloggarna. Enligt GitHub finns referenserna i dag i fem miljöer: JetBrains IDEs, Visual Studio, Visual Studio Code, Copilot cloud agent och GitHub-webbplatsen. Leta upp loggen i din egen editor innan du behöver den.

Copyleft och GPL i ett proprietärt repo

GPL är en copyleft-licens, och det är villkoren vid vidareförmedling som brukar göra en träff dyr. Här avser artikeln bara GPL version 3; äldre versioner och närliggande licenser som AGPL har andra villkor och tas inte upp.

Tre definitioner i licensens avsnitt 0 och 2 styr. Att ”modify” ett verk är att kopiera från eller anpassa hela eller delar av det på ett sätt som kräver upphovsrättsligt tillstånd. Att ”convey” är spridning som gör att andra kan göra eller ta emot kopior, och enbart interaktion med en användare över nätverk, utan att en kopia överförs, räknas inte. Omfattade verk som du inte vidareförmedlar får du framställa, köra och sprida utan villkor.

Vid vidareförmedling ändras läget. Enligt avsnitt 5 c ska den som vidareförmedlar ett verk baserat på programmet licensiera hela verket, som helhet, under GPL till var och en som får en kopia. Avsnitt 4 och 5 kräver dessutom bland annat att licens- och garantinotiser hålls intakta och att ändringar märks med datum. En samling av separata och oberoende verk som bara ligger på samma medium, ett ”aggregate”, gör inte att licensen gäller för de andra delarna.

Kärnfrågan är alltså om en matchande snutt ingår på ett sätt som kräver upphovsrättsligt tillstånd. Det är samma originalitetsfråga som ovan, och den avgörs inte av ett verktyg eller av den här artikeln.

Teamets kontroll före merge

Kontrollen nedan är ett förslag till arbetssätt. Den har inte provats i ett eget repo för den här artikeln. Den följer samma tanke som kontrollen av beroenden som AI föreslår: frågan om licens hör hemma innan koden byggs in, inte efteråt.

Raden ”Gäller inte” är den viktigaste. Den gör det tydligt att en tom logg är ett avgränsat resultat och inte ett intyg. Kodgranskningsguidens sju frågor per diff får då ett konkret underlag om ursprung och licens.