Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Overal zie je opeens AI code generators verschijnen, die op basis van door gebruikers gegeven input of een omschrijving code genereren. Deze generators zijn getraind met allerlei code die op internet is te vinden, waarop weer allerlei verschillende licenties van toepassing zijn. Maar geldt op de uitvoer dan niet gewoon de opensourcelicentie van die bronwerken, zodat je resultaat (bij GPL) dan toch ook open source moet worden?

Antwoord: Het simpele geval is wanneer deze codegenerator simpelweg een lap tekst oplevert die uit een specifieke bron afkomstig is. Dergelijk letterlijk reproduceren ("regurgitation" in het jargon) gebeurt bij gewone genAI niet zo vaak, maar bij softwaregeneratoren wel omdat de context daar specifieker is en de vrije ruimte dus navenant minder.

De enige vraag is dan of dat overgenomen stuk code auteursrechtelijk beschermd is. In gevallen die ik zie, gaan bijvoorbeeld ook de comments mee en worden namen van variabelen niet gewijzigd. Dat is eigenlijk al genoeg. Bij niet-triviale codestructuren is ook wel sprake van auteursrechtelijk relevante inbreng. Bij een technisch bepaald stukje code (zoals een aanroep van een API met standaardstappen er voor en na) wordt dit twijfelachtig.

Dat de code door een AI-generator is aangedragen, is dan niet relevant. Het zit in je werk, en onder het auteursrecht ben je er dan aansprakelijk voor jegens de rechthebbende. (Bij de grote betaalde generatoren krijg je contractueel een vrijwaring of indemnification, dat is een garantie dat de leverancier je schadeloos stelt bij zo'n claim. Maar het betekent niet dat je vrij blijft van claims.)

Het is een hardnekkig misverstand dat je door het verwerken van opensourcecode in je werk je automatisch vast zit aan de licentie. Een licentie is een contractueel aanbod, en dat kun je aanvaarden maar dat hoeft niet. Echter, wijs je het af dan erken je dat je inbreuk gepleegd hebt. En dat kan leiden tot schadeclaims, plus een bevel je werk van de markt te halen (op straffe van een dwangsom). Dus het is vaak handig om het licentieaanbod te accepteren. Maar als jij liever je producten terugroept en de code vervangt, is dat juridisch aanvaardbaar.

Het lastige geval is wanneer de generator weliswaar geen lappen tekst oplevert, maar wel getraind is op al die open source code. Het is juridisch nog een open vraag of je auteursrecht schendt door een AI-model te trainen op beschermde bronwerken. Dat is namelijk wat anders dan dat de uitvoer beschermde tekst bevat.

De meningen zijn sterk verdeeld. Het ene kamp zegt "nietes, want AI-training is alleen patronen zoeken, data mining" en het andere kamp zegt "welles, want je AI was niets waard zonder het beschermde werk en dus behoort dit inbreuk te zijn". Er lopen nu zo'n dertig rechtszaken wereldwijd waarin dit met alle mogelijke argumenten bevochten wordt. Op dit punt zou ik me gesterkt voelen door de vrijwaring van de leverancier.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.