AI开源合规全景梳理：从许可证审查到企业应用与风险治理。
作者丨王红燕 刘珂诗
开源大模型已成为企业AI应用的基础设施，但“开源”二字在AI领域含义并不统一：有的模型采用MIT（MIT License），几乎没有限制；有的附带使用政策、用户规模门槛和命名要求；有的只开放权重，训练数据和代码并不公开。本文所称“AI开源”采广义，指向公众公开代码、权重、数据集等并通过许可证授予使用权利，不以符合OSI《开源AI定义》为前提。
一、AI 开源的对象与界定
AI系统主要由四类对象构成，权利基础各不相同。代码受《著作权法》和《计算机软件保护条例》保护，可适用MIT、Apache 2.0等传统许可证，法律关系最清晰。权重由训练自动生成，能否构成作品尚有争议，公开后也难以按商业秘密保护，使用条件主要靠许可证这一合同安排约束。数据集的内容可能受著作权保护，可能含个人信息，还可能受来源方合同限制；数据集许可证只解决数据集本身的授权，不能替代对内容权利的核查。工具与智能体生态多为软件代码，但提示词、技能包等非代码内容的许可状态可能不明确。
“开放到什么程度”同样重要。OSI《开源AI定义》1.0（Open Source AI Definition，OSAID）要求同时提供数据信息、完整代码和模型参数，仅公开权重不符合要求[1]；Linux基金会的模型开放框架（Model Openness Framework，MOF）则按组件的完整度把模型分为三级，并进行分级评价。[2]实践中被称为“开源”的模型大致有三种：训练代码、数据和日志较完整公开的（如OLMo[3]）；权重采用MIT、Apache2.0的（如DeepSeek-R1[4]）；权重可下载但附自定义许可证的（如Llama，OSI已指出Llama 2的许可证不属于开源许可证[5]）。因此，能否商用、有无附加义务，须依据具体对象和许可证逐一判断，不能凭模型“自称开源”推断。
二、AI 开源许可证
（一）许可证的分类
点击可查看大图
第二层需要警惕。例如，Llama 4设有月活7亿的门槛，要求显著展示“Built with Llama”，以其材料或输出训练并分发的模型须以“Llama”开头命名，并约定适用加州法律；[6]Kimi K3对达到规模的商业产品要求展示模型名称，对12个月累计收入超过2000万美元的MaaS业务要求另行签约；[7]GLM-5.3对收入超过100亿美元的托管方要求先通过安全审查。[8]同一厂商不同型号、不同版本的许可证还可能不同（如GLM-5.3收紧，同期的GLM-5.3-Flash仍为MIT），建议按“型号+版本+查阅日期”登记并留存许可证文本。
（二）AI 许可证特有条款
1. 使用限制（AUP）。禁止用途常以附件或引用方式并入许可证，并要求再分发者向下游传导。最终用户通常未与许可方直接缔约，使用限制能否约束下游，主要依赖再分发者是否有效履行传导义务；许可方单方更新政策条款的效力存在争议。
2. 衍生模型与署名命名。各许可证对“衍生”的界定宽窄不一，Gemma1—3[9]和OpenRAIL-M[10]把蒸馏、以输出合成数据训练的学生模型也纳入衍生；蒸馏所得模型不含教师权重，其约束力来自许可证对“衍生”的合同性扩张。
3. 用户规模、地域和主体限制。本质是针对大型平台和云服务商的商业模式过滤器，门槛按被许可人及其关联方合并计算；Llama4中的多模态模型还不向居住在欧盟的个人和主营业地在欧盟的公司授权。
4. 禁止用输出训练其他模型。该类条款只约束已接受条款的缔约方，救济手段主要是违约责任、终止许可和停止使用/删除材料等；当输出被第三方获取并用于训练后，将难以追及。
5. 终止、免责与法律适用。违约可导致许可终止并须删除模型；“按现状提供”的免责不能排除《民法典》规定的无效情形；境外法院专属管辖会抬高国内企业的争议解决成本。
三、AI开源风险
（一）引入阶段
数据集的风险在于违反许可证（如将非商用数据用于商业模型）、数据提供者并非内容权利人、含个人信息，以及采买合同对用途和期限的限制。基础模型的风险包括违反商用限制和规模门槛、训练数据来源不清而向下游传导、上游变更许可证或下架（近年已有GLM-5.3、Kimi K3许可证收紧的情形）。模型文件本身也可能是攻击载体：采用pickle序列化的权重在加载时可执行嵌入代码，JFrog曾披露Hugging Face上约100个含真实恶意载荷的模型[11]。训练框架中含GPL、AGPL组件的，则可能触发开源义务。
（二）训练与微调阶段
常见问题是“引入时的用途”与“实际用途”不一致，例如仅许可研究的数据被用于训练商业模型；内部数据和客户数据可能被模型记忆并在输出中再现；使用他人模型输出训练，可能违反其条款；微调模型是否属于基模许可证下的“衍生模型”，须结合条款判断。
（三）开源发布阶段
引入阶段的来源和授权风险，在公开后被放大。新增的风险主要是不可撤回：已被下载或分叉的版本难以收回，Apache 2.0授予的许可也是永久、不可撤销的。此外还有许可证选择不当、模型卡与实际不符的披露风险，以及下游滥用或输出侵权时开源方的责任。
（四）运营与输出阶段
违反使用限制、署名要求或规模门槛可能构成违约；输出可能再现受保护内容；生成内容还须按《人工智能生成合成内容标识办法》履行标识义务[12]。
（五）监管风险
单纯对外开源模型通常不直接触发《生成式人工智能服务管理暂行办法》的备案、评估义务，但开源的同时自营面向公众的服务的，须关注备案、安全评估和内容标识义务。向境外公开源代码、权重的，还存在被视为技术出口的风险，涉及的技术属于出口管制清单或禁止、限制出口技术目录的，须履行相应的许可或审批程序；向欧盟市场提供模型的，须评估《人工智能法》的适用，开源豁免不适用于具有系统性风险的模型，也不免除版权政策和公开训练数据摘要义务[13]。
四、合规体系与典型业务场景
（一）企业合规体系的构建
1. 许可证分组管理。自由使用组（MIT、Apache 2.0等）登记入库、保留声明；审查批准组（带使用政策、规模门槛、署名命名要求的模型许可证，相同方式共享的数据）逐项核对后经法务审批；禁止使用组（仅限研究或非商用的模型和数据、来源不明或无许可证的对象、GPL/AGPL等强著佐权组件）原则上禁止。没有明确许可证，不等于可以自由使用，通常意味着权利人保留全部权利。
2. AI-BOM。记录基础模型、数据集、代码、工具的版本、来源、许可证、获取日期和哈希值，可用SPDX 3.0或CycloneDX的相关规范[14]。它应在引入和训练阶段同步建立，是引入审查、对外开源、客户交付和投融资尽调共用的底稿。
3. 两道审查。引入审查要求申请人声明实际用途，核查许可证、数据权利和模型文件安全，经分级审批后登记入库并持续监控上游变更。对外开源审查覆盖对象清点、数据集、代码和权重审查，许可证与模型卡设计，监管与出口审查，由法务、安全、业务负责人共同批准。由于已发布版本难以收回，发布前审查应当是必经环节。
（二）典型业务场景的合规要点
1. 内部自用。不向他人提供副本的，一般不构成“分发”，不触发GPL等源码提供义务，但不等于没有义务：使用政策自使用时起即适用；向关联公司、外包方提供副本是否构成分发存在争议，建议按分发处理。
2. 项目交付嵌入开源模型或代码。向客户交付副本即构成分发，须随附许可证文本和声明，落实展示与命名要求，向下游传导使用限制，识别并隔离GPL、AGPL组件。交付合同应附开源清单，不宜作“不含开源”“完全自主知识产权”等与事实不符的承诺。
3. 微调后再开源。这是风险链条最长的场景。须承接基模许可证义务，选择与基模相容的许可证，核查微调数据（尤其是他人模型的输出），同步开源数据集的，核对其许可证和再分发范围，并如实披露基模和数据来源。仅发布LoRA或权重差分的，不意味着发布者可免于遵守基模许可证。
4. 对外提供API、Token服务。通常不构成分发，GPL义务一般不触发，但AGPL针对的正是网络服务，经修改的AGPL组件须特别评估。使用政策、展示义务和针对MaaS的收入门槛并不因“非分发”而消失，应将许可证核查作为上线前置条件，并随业务增长持续评估。服务协议应向客户传导使用政策，并建议保持可切换的多模型架构。
5. 融资、并购、上市尽调。投资人关注的已不限于软件代码。常见问题包括：没有清单，无法证明开源使用范围；基模许可证与商业模式冲突，规模增长后触及门槛；数据来源缺乏证据；员工未经审批向社区贡献代码；对外宣称“完全自主研发”与事实不符。需要出具开源合规承诺函的，范围应与实际相符，并有清单、扫描报告和审批记录支撑，承诺函不能代替核查。
五、司法实践
（一）国内
2026年9月7日，最高人民法院发布《关于依法审理涉人工智能纠纷案件的意见》[15]。其中，第十二条要求AI开发者提出不侵权抗辩时，提供训练数据来源、训练过程记录等佐证；第十三条规定，认定开源软件开发者、提供者的侵权责任，应综合考量许可协议类型、权利限制内容、安全合规举措和信息披露程度等因素，并给予适当的责任豁免，但其措辞限于“代码模块”和“免费开源”，对权重、数据集是否适用并不明确。
个案方面：
奥特曼LoRA案[16]：平台提供开源基础模型和LoRA训练功能，用户训练并发布侵权模型。法院认定平台对侵权模型未采取必要措施，构成帮助侵权，并指出平台基于开源模型商业应用、从用户创作中获益，应承担更高的注意义务。使用开源模型不会当然减轻服务提供者的责任。
美杜莎LoRA案[17]：法院认为平台提供的是中立技术服务，通过用户协议、审核和投诉机制尽到了注意义务，接到通知后及时下架并向海外 AI 平台转通知，不构成侵权，并强调复制权的本质是“再现权”，判断核心是输出是否再现了作品。
某短视频平台诉某图像应用公司案：法院以反不正当竞争法保护模型的结构和参数，未经许可直接使用即构成不正当竞争，并重视被告能否提供训练证据。该案不涉及开源，但提示企业使用开放权重并微调、蒸馏时，应保留训练过程记录，以区分自己的训练与对他人参数的直接使用。
截至2026年10月，经公开渠道检索，国内尚未见以AI模型许可证效力为争议焦点的公开判决。
（二）域外
开放权重是否构成侵权复制件以及使用版权作品是否构成合理使用，是各国法院关注的重点之一：英国高等法院在某图库公司 v. Stability AI案中认定权重未存储作品，不是“侵权复制件”；美国法院在Kadrey v. Meta案中否定了Llama模型本身是侵权衍生作品，并认定该案证据下的训练构成合理使用，但强调这限于该案证据记录，“市场稀释”[18]是未来原告可主张的方向[19]；慕尼黑地方法院在GEMA v. OpenAI 案中则认为，歌词被“记忆”于参数之中时可构成复制，结论取决于技术证据。[20]
在数据集方面，汉堡高等法院在Kneschke v. LAION案中认定，为制作开放数据集而下载图片适用文本数据挖掘例外，但这是欧盟和德国法规则，我国《著作权法》没有此类例外，不能直接借鉴[21]。开源许可证的署名、保留声明等条件能否约束AI训练和输出，则要看仍在审理中的Doe v. GitHub案的违约之诉。[22]
结语：三点建议
企业可以从以下三个方面着手。第一，建立清单：为每个模型、数据集和代码组件建立带版本和许可证快照的清单，并声明实际用途。第二，用途变更须重新审查：自用转交付、转提供服务、转对外开源等用途变更，所触发的义务各不相同，规模增长也可能触及许可证门槛。第三，对外开源须先行审查：权重一旦公开，难以收回，发布前的数据、许可证、模型卡和监管审查步骤，不应省略。
[注]
[1] Open Source Initiative：《The Open Source AI Definition – 1.0》，2024年10月28日，https://opensource.org/ai/open-source-ai-definition。
[2] Matt White 等：《The Model Openness Framework: Promoting Completeness and Openness for Reproducibility, Transparency, and Usability in Artificial Intelligence》，2024年3月，arXiv:2403.13784，https://arxiv.org/abs/2403.13784。
[3] AI2：OLMo项目页，https://allenai.org/olmo。
[4] DeepSeek：DeepSeek-R1官方仓库，https://github.com/deepseek-ai/DeepSeek-R1。
[5] Open Source Initiative：《Meta’s LLaMA 2 license is not Open Source》，https://opensource.org/blog/metas-llama-2-license-is-not-open-source。
[6] Meta：《Llama 4 Community License Agreement》，2025年4月5日生效，Llama 4 Community License Agreement。
[7] Moonshot AI：Kimi K3 许可证，https://huggingface.co/moonshotai/Kimi-K3/blob/main/LICENSE。
[8] Z.ai：GLM-5.3 License，https://huggingface.co/zai-org/GLM-5.3/blob/main/LICENSE。
[9] Google：《Gemma Terms of Use》，https://ai.google.dev/gemma/terms。
[10] RAIL Initiative：《BigScience OpenRAIL-M License》，https://www.licenses.ai/blog/2022/8/26/bigscience-open-rail-m-license。
[11] JFrog Security Research：《Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor》，https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/.
[12] 国家互联网信息办公室等：《人工智能生成合成内容标识办法》，自2025年9月1日起施行。
[13] European Commission：《General-Purpose AI Models in the AI Act – Questions & Answers》，2025年9月9日，https://digital-strategy.ec.europa.eu/en/faqs/general-purpose-ai-models-ai-act-questions-answers。
[14] SPDX 3.0 设有 AI Profile 和 Dataset Profile，https://spdx.github.io/spdx-spec/v3.0.1/model/AI/AI/；CycloneDX 支持 ML-BOM，https://www.cyclonedx.org/capabilities/mlbom/。
[15] 最高人民法院：《关于依法审理涉人工智能纠纷案件的意见》（法发〔2026〕10号），2026年9月7日。
[16] 一审：(2024)浙0192民初1587号；二审：(2024)浙01民终10332号。
[17] 一审：（2025）沪0116民初2354号；二审：（2025）沪73民终1189号。
[18] “市场稀释”（market dilution）指模型经训练后可大量生成与原作品竞争的内容，即使这些内容本身不侵权，也可能挤占原作品的市场，从而影响合理使用判断中“对作品潜在市场或价值的影响”这一要素。法院指出此前尚无判例采纳该理论，本案原告未能提供相应证据。
[19] Kadrey v. Meta Platforms, Inc., 3:23-cv-03417 (N.D. Cal.).
[20] GEMA v. OpenAI, 42 O 14139/24.
[21] Kneschke v. LAION e.V., 5 U 104/24，该案仍处于德国联邦最高法院的后续审查程序中。
[22] Doe 1 v. GitHub, Inc., 4:22-cv-06823 (N.D. Cal.).
刘珂诗
杭州办公室 知识产权部
