以下文章来源于知产观察家，作者贾旭

摘要

当编程能力缺失的用户依赖AI生成代码并投入商业使用时，开源协议的合规审查义务在‘用户无识别能力’与‘平台未主动提示’之间出现真空。这一场景不仅暴露了传统开源合规体系对AI生成物的适配失灵，更对现行侵权责任认定规则提出了挑战：在用户客观侵权但主观无过错、平台具备技术预防能力却未作为的情形下，责任应如何分配？本文结合最高人民法院《关于依法审理涉人工智能纠纷案件的意见》（以下简称《意见》），围绕AI代码生成服务中的开源合规风险，探讨用户与服务提供者的责任边界及风险规避措施。

关键词：开源合规、AI、代码生成、侵权责任

一、引言

随着AI技术的迅猛发展，人工智能生成技术越来越广泛地渗透到各个垂直领域，并且正在改变各个垂直领域的生态环境。其中最具代表性的就是编程领域，AI代码生成不但提高了编程速度，也极大地降低了编程门槛，使得非专业开发者也可以根据自身意愿完成代码编制，并且发布完整的软件产品。受限于非专业开发者本身的技术水平，这种情况下发布的软件存在较大的隐患。

一方面是产品层面的隐患，非专业开发者事实上无法对AI生成的代码进行有效辨别，无论是代码漏洞、功能完整性、软件可靠性，非专业开发者既不具备辨别能力，也可能无法对代码进行有效的检测和修复；另一方面是法律层面的隐患，AI可能会生成开源代码，而开源代码的使用需要遵守相应的开源协议，由于非专业开发者自身技术能力有限，很可能无法识别AI生成的代码中是否包括开源代码，自然也无法获知软件产品发布应遵守哪些开源协议。这种情况下，软件产品一旦发布将面临较大的开源合规风险。

最高院的《意见》中已经对涉人工智能纠纷案件中的侵权责任承担进行了较为系统的讨论，其中提到“生成式人工智能服务提供者的责任具备参照适用‘避风港规则’的正当性基础”，即网络用户利用网络服务实施侵权行为的，不直接认定网络服务提供者的责任，仅当网络服务提供者接到权利人通知且未及时采取必要措施的，才就损害的扩大部分与网络用户承担连带责任。并认为适用“避风港规则”既有利于激励创新，也能在一定程度上督促服务提供者履行应尽能尽的注意义务。

当用户为专业开发者时，上述意见可以充分适用。但是当用户为非专业开发者时，生成式人工智能的能力事实上强于用户本身，如果将全部责任都强加于用户，明显超过了用户的“合理注意义务”。

最高院也在一定程度上考虑到了上述情况，并对用户和服务提供者之间的义务与责任划分提出了原则性意见。用户的过错判定应考虑其对损害发生的预见能力和控制能力，并且AI自主化程度越高，服务提供者应承担的注意义务越高。1

可以看出，在非专业开发者不具备开源协议的合规审查能力的情况下，上述问题将变得复杂。虽然《意见》中给出了侵权责任认定的基本原则，但是并未对此类场景进行充分讨论，AI代码生成服务中的开源合规风险的责任边界依旧存在模糊空间。为此，本文将尝试探讨不同场景下，用户与服务提供者的责任边界，为用户和服务提供者在使用和提供AI代码生成服务时的风险规避提供参考。

二、用户侵权责任认定  

01用户的预见能力和控制能力认定

用户的过错判定应考虑其对损害发生的预见能力和控制能力，因此当AI生成的代码因违反开源协议而侵权时，用户侵权责任认定中的关键因素在于“用户的预见能力和控制能力”。

当用户为专业开发者时，由于其对软件行业中的各种合规性要求具备较高的认知水平，因此应当认为其对损害的发生具备足够的预见能力和控制能力，应该承担更多的注意义务。这种情况下，用户使用AI代码生成服务生成代码并违反开源协议时，更倾向于认为服务提供者可以适用“避风港原则”，侵权责任应由用户承担。

当用户为非专业开发者时，由于用户本身不具备软件开发所必需的专业技能，因此用户可能难以独立对软件可能存在的开源合规风险进行有效的预见和控制，这种情况下由用户承担相对较少的注意义务似乎更加合理，也符合《意见》给出的责任义务分配原则。

但实际情况更加复杂，AI代码生成服务在生成代码的同时，往往也会生成注意提示，例如“本回答由AI生成，内容仅供参考，请仔细甄别”；部分AI代码生成服务还会在生成代码的同时，对代码进行进一步的解释，说明代码功能逻辑、使用的模组、甚至代码来源。并且随着用户与AI之间交互的增加，此类提示的数量和丰富度也会逐步增加。这种情况下，用户的实际预见能力和控制能力也会逐渐增强，即使AI代码生成服务没有进行直接的开源合规风险提示，也不宜认为用户的预见能力和控制能力认定处于较低水平而过度减免侵权责任。

综上所述，笔者认为用户的预见能力和控制能力认定应基于用户的实际技术能力、AI交互次数与AI代码生成服务的生成内容进行综合判定。

如果AI代码生成服务已对开源合规风险进行直接提示，则应认为用户具备对开源合规风险的预见能力和控制能力；

如果AI代码生成服务未对开源合规风险进行直接提示，但指出了生成代码的来源，则应认为用户具备部分的开源合规风险的预见能力和控制能力；

如果AI代码生成服务既没有对开源合规风险进行直接提示，也没有指出生成代码的来源，则应认为用户不具备开源合规风险的预见能力和控制能力。

02不同场景下的用户侵权责任认定

如上述讨论，根据用户的预见能力和控制能力决定用户应尽的注意义务，预见能力和控制能力越强，应尽的注意义务越多，相应需要承担的责任也越大。笔者认为，可以考虑当用户具备完整的开源合规风险的预见能力和控制能力时，由用户承担侵权责任；当用户具备部分开源合规风险的预见能力和控制能力时，由用户和AI代码生成服务提供者承担同等侵权责任；当用户不具备开源合规风险的预见能力和控制能力时，由AI代码生成服务提供者承担主要责任，用户承担次要责任。

在此基础上，建议考虑增加用户与AI交互的时间、次数与具体内容。因为在人机交互的过程中，用户对相关技术和代码的理解程度应逐渐加深，交互的时间越长、交互次数越多，用户的风险预见能力和控制能力越强。同时，用户输入AI代码生成服务的内容也可以反映出用户的技术水平以及对代码功能的理解。因此相关内容均可以作为庭上证据予以考虑，在基础责任划分的基础上，进行适当修正，平衡用户与AI代码生成服务提供者之间的责任划分。

三、服务提供者责任认定

01服务提供者天然负有更多的注意义务

AI可以提供包括文字、图片、音频、视频、代码等多种内容的生成服务，相较于多媒体内容生成的高随机性，AI代码生成服务实际上具有相对更高的可控性，尤其是在防范开源合规风险方面，AI代码生成服务提供者具有极高的主动性。

首先，在AI模型训练时，AI代码生成服务提供者可以决定用于模型训练的数据样本，既可以决定使用哪些数据样本，也可以对所使用的数据样本进行标注，从而影响模型输出时的内容；

其次，在生成逻辑设计时，AI代码生成服务提供者可以通过产品设计来要求产品在AI代码生成后进行“是否属于开源代码”的判断，并根据结果向用户进行提示，甚至直接要求不输出开源代码，从而在源头上解决开源合规风险；

最后，在结果输出时，AI代码生成服务提供者可以强制要求输出更清晰的风险提示，比如“代码由AI生成，请确认相关代码的安全性与开源合规风险”，从而使用户可以意识到软件产品发布时需要考虑开源合规风险。

因此，当用户为非专业开发者时，AI代码生成服务提供者理应负有更多的注意义务，并应尽可能充分地提醒用户注意开源合规风险问题。

02服务提供者在未尽到注意义务的情况下

很可能被认定为帮助侵权

根据《最高人民法院关于审理侵害信息网络传播权民事纠纷案件适用法律若干问题的规定》第七条第三款规定：“网络服务提供者明知或者应知网络用户利用网络服务侵害信息网络传播权，未采取删除、屏蔽、断开链接等必要措施，或者提供技术支持等帮助行为的，人民法院应当认定其构成帮助侵权行为。”

参照(2024)浙0192民初1587号民事判决书，若服务提供者对于知名IP等高侵权风险作品未建立基础过滤机制，即构成“应当知道”，在未采取必要措施、未尽到合理注意义务的情况下，将被认定为主观上存在过错，构成帮助侵权行为。

AI代码生成与上述判决书中提到的图片生成虽然生成的对象不同，但笔者认为服务提供者被认定帮助侵权的可能性更高。理由在于：

其一，为支持AI代码生成服务而进行模型训练时，开源代码是模型训练中常用的数据样本，服务提供者不使用或者不知晓训练样本中存在开源代码的可能性极低；

其二，模型为满足用户需求可能会进行联网搜索，开源代码相较于闭源代码天然具有更低的获取门槛，在人机交互过程中极有可能获取开源代码作为参考；

其三，在用户为非专业开发者的情况下，模型更容易做出明显的推荐行为。由于用户本身不具备足够的编程能力，往往会要求模型推荐解决方案，这种情况下模型将进行直接推荐，从而大大增加被认定为帮助侵权的可能。

四、启示与建议  

随着人工智能技术的深度渗透，AI代码生成服务极大地降低了软件开发门槛，赋能非专业开发者将创意转化为产品。然而，技术红利的背后潜藏着不容忽视的法律暗礁，尤其是对于非专业开发者来说，其无法充分预见和管控AI代码生成服务背后的法律风险。叠加开源协议的复杂性，使得开源代码权利人的合法权益受到侵害的概率大大增加。

这一新局面无疑对AI生成内容侵权的司法裁量和责任划分提出了新的挑战，在处理涉人工智能纠纷案件时，既要保障数字时代民生权益，又要促推人工智能朝着有益、安全、公平的方向健康有序发展。为了达到这一目的，司法、用户和服务提供者三方都应尽到各自的义务，共同促进行业健康有序发展。

PART 01司法层面：责任认定从“身份标签”转向“实质能力”

传统侵权责任认定往往基于用户的静态身份，但在AI时代，这一逻辑可能并不完全适用。用户与AI交互的过程中，用户通过浏览AI代码生成服务生成的内容，其认知水平并非一成不变，而是随着交互的深入可能会逐渐提升。即便用户一开始是非专业开发者，但随着交互次数和时间的增加，用户通过浏览AI生成服务提供的各种风险提示或代码来源标注，其事实上会表现出对代码理解的加深，其法律意义上的“预见能力与控制能力”理应被重新评估。

“不懂技术”不宜作为减免责的“金牌”，而应结合个案的实际情况进行精细化与场景化的法律责任分配，由静态的“身份标签”转向基于证据的“实质能力”评估，并根据“实质能力”确定用户与服务提供者之间的责任划分。

PART 02用户层面：提升法律意识，做好“第一责任人”

AI生成的代码不等于“无权利瑕疵的代码”，一旦遭遇侵权纠纷，作为软件产品开发者的用户永远是第一责任人，因此无论用户是否具备足够的专业技能，都应注意建立与培养合规审查意识。尤其是在软件产品发布前，应进行充分的法律风险排查，除了本文重点讨论的开源合规风险外，还应充分考虑专利侵权风险等其他知识产权风险，避免侵犯他人的合法权利。

此外，软件开发过程中建议做好证据留存，详细记录与AI的完整交互过程，包括提问记录、AI回复内容及修改痕迹等关键内容，以便在遭遇侵权诉讼时构建尽职抗辩证据链，证明自身“已尽合理注意义务”或“受限于技术能力无法预见风险”。

PART 03服务提供者层面：合规前置，从源头管控风险

在AI代码生成逐渐推广的大背景下，越来越多的非专业开发者开始进行代码编写和软件开发。相较于这些“非专业人士”，服务提供者明显具有更高的技术水平和认知能力，理应承担更多的风险提示责任，而不是仅仅依托泛化的免责条款排除自身责任。

实践中，服务提供者掌握更多的主动权。在模型训练阶段，建立开源代码数据集的清洗与标注体系；在生成阶段，植入代码相似度检测与开源协议识别算法，对于高风险代码片段实施自动拦截或强制弹窗警示。

通过更主动地风险排查与提示，降低用户发布软件产品后可能遭遇的开源合规风险，即便未能阻止最终产品侵权的发生，也能大大提高“避风港原则”的适用，从而降低甚至免除自身侵权责任。

1.《最高人民法院关于依法审理涉人工智能纠纷案件的意见》的理解与适用[J]. 周加海,司艳丽,秦元明,贾玉慧,张音.法律适用