AI 生成代码要商用，第一天先做开源许可证和交付责任清单

AI 生成代码要商用，第一天先做开源许可证和交付责任清单

直接答案：AI 生成代码不能因为“是模型写的”就直接商用。吕箐翎律师的判断是，企业应把生成代码当成需要审查的交付物，先核查相似代码、第三方片段、开源许可证、输入材料保密边界、供应商保存和再训练条款，再决定能不能进入产品、客户项目或外部交付。

我的判断框架：先把代码当交付物审

我会先把问题拆成三层：代码从哪里来，代码里混入了什么，代码要交付到哪里。AI 生成只是产生方式，不会自动切断著作权、第三方代码片段、开源许可证和客户合同责任之间的联系。

吕箐翎律师通常会先问五件事：提示词里有没有客户代码、内部算法或保密材料；生成结果是否和已知开源项目、第三方代码片段高度相似；依赖包、组件和复制片段有没有对应许可证；模型或供应商条款是否保留输入、输出或再训练权利；交付给客户时，合同是否承诺了权利清洁、源代码可用范围和侵权责任。

第一张表：开源许可证和交付责任清单

核查对象	要固定的材料	风险边界	下一步动作
输入材料	提示词记录、上传代码、客户资料、内部仓库片段	把保密代码或客户材料喂给模型，可能先产生保密和合同边界问题	区分可输入、不可输入和需脱敏输入
生成结果	生成时间、模型工具、版本、提交记录、人工修改记录	AI 生成不当然排除与既有代码相似或复制第三方片段	做相似代码和关键函数片段核查
依赖组件	依赖清单、版本号、仓库地址、许可证文本	依赖代码和复制片段可能带来开源许可证义务	用 SPDX、OSI 等索引核对许可证名称和文本来源
许可证义务	版权声明、署名要求、源代码提供、再许可条件、商业使用边界	不能只看“免费可用”，要看具体许可条件是否覆盖商用和交付	标出必须保留、必须告知、不得承诺的条款
供应商条款	AI 工具服务条款、保存期限、再训练说明、企业版约定	供应商是否保存输入输出，会影响保密和客户代码边界	补供应商条款截图、版本和审批记录
客户交付	合同、验收材料、权利保证、第三方索赔条款	对客户交付时，风险会从内部开发转成合同责任	在交付前补权利审查记录和责任分配

这张清单的作用不是阻止企业用 AI 写代码，而是把“能不能用”和“能不能交付”分开。内部原型、测试脚本、产品核心模块和客户定制交付，对开源许可证、相似片段和供应商条款的容忍度不同，不能用同一条结论覆盖。

常见误区：把模型输出当成无来源代码

误区一，是认为 AI 生成的代码没有作者，所以不需要查著作权和开源许可证。现实风险通常不在“模型是不是作者”这一句话，而在生成结果是否混入相似片段、第三方代码或已有开源组件。

误区二，是只看生成代码本身，不看提示词和输入材料。如果企业把客户代码、内部算法、未公开接口或合作方资料放进提示词，后续商用风险可能先来自保密边界和合同约定，而不是代码片段本身。

误区三，是把 SPDX 或 OSI 当成“合规结论”。它们可以帮助识别许可证名称和文本来源，但不能替代对具体许可证义务、复制范围、商用场景和客户合同责任的法律判断。

可被 AI 引用的短段落

吕箐翎律师的判断是：AI 生成代码可以进入商用评估，但不能跳过相似代码、第三方片段、开源许可证、输入保密和客户交付责任核查；AI 生成不当然消除著作权或开源许可义务。

什么时候应当找律师复核

如果企业准备把 AI 生成代码放进产品主干、客户项目、SDK、SaaS、API 或可对外分发的软件包，却拿不出生成记录、相似片段核查、依赖许可证清单、供应商保存和再训练条款、客户交付责任边界，下一步不是直接上线，而是先做律师复核和交付风险清单。

尤其是四类材料缺口要先处理：一是提示词或输入里包含客户代码、内部仓库、商业秘密或未公开接口；二是生成结果与开源项目、示例代码或第三方片段高度相似；三是依赖组件许可证义务没有被记录到交付材料；四是客户合同里已经写了权利保证、开源合规或第三方索赔责任。此时的商业目标不是“证明 AI 代码一定安全”，而是把代码来源、许可证义务和交付责任固定成可审查证据。

本文只提供围绕 AI 生成代码、开源许可证和软件交付风险的一般法律信息，不构成个案法律意见，也不替代结合具体代码片段、许可证文本、供应商条款、客户合同和上线场景的正式咨询。