GitHub Copilot をはじめ、AIによるコード生成が急速に普及しています。便利な一方で、AIは大量のOSSを学習しているため、OSSコンプライアンス上の新しい論点を持ち込みます。基本姿勢は「AIだから安全でも危険でもなく、従来の“混入”問題の延長として技術的に扱う」です。

3つの論点

① 出力コードの権利帰属が不明確

AI生成物に著作権が生じるか、生じるなら誰に帰属するかは各国で議論中で、確立した結論はありません。「AIが書いたから無権利」と単純には言えない、不確実な領域です。

② 既存OSSコードの再生成（混入相当）

AIが学習元のOSSコード断片をほぼそのまま出力することがあります。これは、無表示でライセンス条件付きのコードが自社コードに紛れ込むのと同じリスクです。とくにGPLなどのコピーレフトだと影響が大きくなります。

③ ライセンス義務の継承

もし生成コードがOSS由来なら、その元ライセンスの義務（表示・公開等）が及ぶ可能性があります。

企業としての実務対応

  1. AIコーディング規程：許可ツールを明確化し、重複検出フィルタ（公開コードと一致する提案をブロック/参照表示する機能）を有効化。生成コードは人がレビュー。
  2. 生成物もスキャン対象に：AI生成コードも含めてソーススキャンで既知OSSとの一致を確認し、管理に織り込む。
  3. 由来の記録：重要モジュールはAI利用の有無を記録し、後追いできるようにする。
  4. 不確実性を前提に：判例・法令が固まっていないため、重要・公開製品ほど保守的に。

規制・判例は流動的です。本記事は作成時点の一般的理解であり、最終的な判断は専門家の領域です。

OSSClearの考え方

AI生成コードに紛れ込んだ既知OSS断片の「検出・整理」は技術的な支援の対象です。一方、著作権の帰属や適法性の判断は専門家の領域です。「AIだから別物」ではなく、従来の混入検出の延長として扱うのが現実的かつ誠実だと考えます。

まとめ

  • AI生成コードは ①権利帰属の不確実性 ②OSSコードの再生成（混入相当）③義務の継承 の論点を持つ。
  • 対応は 重複検出フィルタ＋生成物のスキャン＋規程＋由来記録。
  • 「AIだから安全」と考えず、混入リスクとして棚卸し・整理するのが堅実。

出典としては各ツール提供元のドキュメント、SPDX・OSI、公的機関の指針（IPA等）が参考になります。