A responsabilidade civil do open source está chegando

Artigo original ↗ Discussão no Hacker News ↗

A UE planeja atualizar as regras de responsabilidade por produtos e de cibersegurança para que fabricantes de software possam ser responsabilizados quando seus produtos causarem danos, estendendo a responsabilidade objetiva ao software de forma semelhante aos bens físicos. Os comentadores concordam em grande parte que fornecedores comerciais devem responder por vulnerabilidades nos componentes de código aberto que escolhem embarcar, mas temem definições vagas de “atividade comercial”, o impacto em pequenas empresas e se o open source financiado por doações ou hobby pode ficar exposto a processos. Vários apontam que os rascunhos atuais isentam explicitamente o open source não comercial, veem o artigo alarmista como exagerado ou enganoso e esperam que os principais efeitos práticos sejam mais diligência, mais seguro e possíveis novos modelos de negócio em torno de open source “certificado”.

Âmbito e intenção das regras da UE

  • Muitos comentadores dizem que o artigo é enganoso ou FUD: a proposta de Diretiva de Responsabilidade pelos Produtos da UE / Lei de Resiliência Cibernética visa a atividade comercial, não a maior parte do FOSS não comercial.
  • Vários links para documentos da UE observam que software livre e de código aberto desenvolvido ou fornecido fora de uma atividade comercial, e o próprio código-fonte, são excluídos.
  • Quando o software é fornecido por um preço ou por meio da monetização de dados pessoais (além de segurança/compatibilidade), aplica-se a responsabilidade normal do produto.

Quem é responsável por quê

  • Consenso: a entidade que “coloca o produto no mercado” (vende software, dispositivo ou serviço, ou monetiza via anúncios/rastreamento) é responsável perante os consumidores por defeitos, inclusive os originados em dependências OSS.
  • Licenças como MIT/Apache não podem renunciar à responsabilidade objetiva imposta pelo Estado para fornecedores comerciais.
  • Para o uso direto e gratuito de OSS sem relação comercial ou monetização, vários comentadores afirmam que não há responsabilidade sob os rascunhos.
  • Ainda é um caso-limite pouco claro: o que exatamente conta como “atividade comercial” (suporte pago, telemetria vendida como “insights”, downloads financiados por anúncios, patrocínio, Patreon, caixas de gorjeta).

Impacto nos desenvolvedores de código aberto

  • Muitos temem um efeito inibidor:
    • Risco de que a ambiguidade em torno de “comercial” deixe mantenedores com pequenas fontes de renda (contratos de suporte, pequenos patrocínios) com medo de publicar ou manter o código público.
    • Preocupação de serem arrastados para processos mesmo que acabem vencendo; os custos jurídicos e o estresse por si só desestimulam a contribuição.
    • Temor de que ganhar a vida com OSS na UE fique mais difícil se a responsabilidade surgir assim que houver qualquer fluxo de dinheiro.
  • Outros argumentam que autores de OSS não comerciais permanecem seguros e que isso afeta principalmente empresas que vendem produtos ou serviços.

Impacto nas empresas e no ecossistema

  • Visões favoráveis:
    • Obriga fornecedores a auditar dependências, corrigir vulnerabilidades conhecidas em OSS e parar de culpar projetos de hobby pelos danos aos seus clientes.
    • Alinha o software com outros setores em que produtos vendidos carregam responsabilidade.
  • Visões críticas:
    • Grandes empresas podem absorver papelada, auditorias e seguros; pequenos fornecedores e desenvolvedores independentes podem ser excluídos pelo custo.
    • Pode levar empresas a:
      • Evitar OSS, reescrever componentes internamente ou comprar forks comerciais “certificados”/pacotes com garantia.
      • Migrar para SaaS (muitas vezes excluído) em vez de software distribuído.

Perguntas em aberto e hipóteses

  • A responsabilidade quando consumidores usam diretamente apps OSS (por exemplo, aplicativo Android gratuito, leitor de tela, ferramentas com instaladores) continua sendo uma preocupação central; alguns acham que é isento, outros veem risco.
  • Ambiguidade sobre a responsabilidade por open core, licenciado duplamente ou OSS com suporte comercial, e por contribuições de código de colaboradores não pagos em um projeto monetizado comercialmente.
  • Vários observam que o impacto jurídico final dependerá de como os tribunais interpretarão “atividade comercial” e causalidade, o que atualmente é incerto.