开源软件新规有哪些

wen IT资讯 2026-06-15 3

本文目录导读：

开源软件新规有哪些

开源软件新规”，由于这是一个涉及政策、法律和行业实践动态的领域，具体条款会随着国家（如中国、欧盟、美国）和具体法规（如《网络安全法》《数据出境安全评估办法》、欧盟《数据法案》或美国AI行政令）的不同而变化。

为了给你最准确和最新的信息，建议你开启联网搜索功能，查询最新的官方文件或权威律所解读。

基于截至2025年5月的通用行业认知,全球范围内关于开源软件的几个关键“新规”趋势和热点主要集中在以下几个方面，你可以参考：

中国：强监管下的合规要求

中国近年来对开源软件的监管重点从“鼓励使用”转向“安全可控与合规”。

《网络安全法》与《关键信息基础设施安全保护条例》：要求使用开源软件（特别是操作系统、数据库）时，必须通过安全审查，避免使用有“后门”的国外开源项目，对关键信息基础设施（CII）运营者使用开源软件提出更严格的供应链安全管理要求。
《数据安全法》与《个人信息保护法》：若开源软件涉及处理个人数据或重要数据，使用者（特别是企业）需要履行数据安全保护义务，如果某个开源项目（如AI模型或大数据工具）在运行中收集了用户数据，项目贡献者或二次开发者需确保合规。
《软件供应链安全要求》行业标准：要求企业建立开源软件物料清单（SBOM，即Software Bill of Materials），明确记录使用的所有开源组件及其版本、漏洞信息。
“十四五”规划与开源生态政策：国家鼓励发展自主可控的开源社区（如OpenAtom），并对使用国外开源协议（如GPL、Apache）的项目提出了“先合规、后使用”的指导。核心变化：过去“拿来就用”的时代结束，现在必须进行合规审查。

欧盟的法规对开源软件行业影响巨大,尤其是对企业级应用。

《欧盟数据法案》（Data Act）：
- “反云锁定”条款：要求软件（包括开源软件）在开发时，必须允许用户自由迁移数据，这对商业软件（SaaS）影响更大，但对开源项目来说，如果提供商业版本，不能强制限制用户导出数据。
- 弱势条款：允许在某些情况下（如安全漏洞、公共紧急状态时），政府可以要求公开软件源代码（包括开源代码的衍生版本）的细节。
《欧盟AI法案》（AI Act）：
- 对开源AI模型的豁免与限制：对非高风险的开源AI模型有豁免权，但一旦开源模型被商业部署用于高风险场景（如生物识别、教育、就业评估），开发者必须承担透明度、问责和风险管理责任。
《网络安全弹性法案》（Cyber Resilience Act，CRA）：
- 最受争议的法规：要求所有连网的软件（包括开源组件）必须满足安全默认设置、漏洞报告和修补义务。对开源开发者的冲击： 即使是业余开发者，如果其开源项目被商业产品使用，理论上可能被要求承担安全维护的责任，目前欧盟正讨论是否全免或部分豁免“非商业”开源项目。

美国的政策聚焦于地缘政治和技术控制。

AI开源新规（2024-2025年）：
- 《关于安全、可靠和可信地开发和使用人工智能的行政令》 及其后续细则：要求开发“基础模型”（特别是权重开放的开源模型，如Llama、Mistral）的公司向政府报告训练数据和安全测试结果。核心变化： OpenAI、Meta等公司发布了“开源”模型，但近期美国商务部正在讨论是否要限制“开源模型权重的出口”，因为开源AI可能被竞争对手（如中国）利用。
出口管制：对使用美国技术或源头（如CUDA、特定芯片架构）的开源软件，如果涉及实体清单上的国家，二次开发者可能无法合法获取或分发其最新版本。
开源安全法案：要求关键基础设施使用开源软件时，必须建立SBOM（软件物料清单）并接受联邦审查。

法律对现有开源许可证的理解和执行也在细化：

“非商业”条款的界定：传统开源协议（如GPL、MIT）通常允许商业使用，但一些新协议（如非“OSI批准”的）增加了“仅供个人使用或非商业用途”条款。法院判决趋势： 法院通常强调“严格遵循协议字面意思”，企业间接性使用（如SaaS服务）可能被视为违规定义。
SSPL（服务器端公开许可）争议结束：MongoDB、Redis等公司采用的SSPL协议，被OSI（开源促进会）明确认定为非开源协议，如果企业使用SSPL项目提供服务，必须开源整个服务程序或购买商业许可。
AI模型的许可证混战：针对训练数据是否构成“衍生作品”，开源许可证（如GPL）是否适用于AI模型权重，目前尚无定论，许多项目采用“RAIL”系列协议，限制使用AI生成有害内容。

如果你是开发者/个人项目：关注欧盟CRA（是否被商业用户拉入合规牢笼）和AI模型的可追溯性要求。
如果你是公司/企业用户：必须建立SBOM管理，检查出口管制（是否使用了实体清单上的技术），并评估AI法案对内部开发的开源模型使用限制。
如果你是投资/法务人员：注意许可证变更（如Redis、HashiCorp等公司从开源转向BSL），以及数据跨境是否因使用国外开源项目而受影响。

建议操作： 开启联网搜索，输入关键词如“2025年中国开源软件新规”、“欧盟数据法案开源豁免”或“美国AI开源模型出口管制”获取最新官方公告或行业分析。