OSSのライセンス義務は、開発中ではなく「配布する瞬間」に効いてきます。組込み機器・パッケージ・受託納品など、ソフトを世に出す前に確認したい観点を、チェックリストにまとめました。リリース直前の抜け漏れ防止にお使いください。

なぜ「出荷前」なのか

多くのOSSライセンスの義務（著作権表示の同梱、ソース開示など）は、第三者に配布した時点で発生します。社内利用だけなら問題にならなかったものが、製品に載せて出荷した瞬間にリスクになる——これがよくある落とし穴です。

出荷前チェックリスト

① 依存の棚卸し（バージョン固定）

  • 依存マニフェスト／ロックファイル（package-lock.json・requirements.txt・go.sum・pom.xml 等）を集めたか
  • 実際に出荷するバージョンで確認しているか

② ライセンスの一覧化

  • 依存のOSSライセンスを一覧化したか（→ ライセンスの確認方法）
  • 「不明・独自ライセンス」を残していないか

③ コピーレフトの確認（GPL / AGPL / LGPL）

  • GPL/AGPL系を製品に組み込んで配布していないか（→ GPLとは）
  • LGPLの結合形態（動的/静的）は条件を満たすか（→ LGPLと動的リンク）
  • ネットワーク提供がある場合、AGPLの論点はないか（→ AGPLとSaaS）

④ 表示義務（MIT / BSD / Apache-2.0）

⑤ 自社コードへの混入

  • コピペ／vendoring で取り込んだOSS断片はないか（依存一覧に出ないため要注意）

⑥ 取引先要求・規制

  • 取引先からSBOM提出を求められていないか（→ SBOMを求められたら）
  • EU向け（CRA）・医療機器（FDA）等の規制対象でないか（→ CRA対応）

⑦ 更新できる運用

  • 依存は更新で変わるため、「誰が・どう確認して出すか」を決めたか

よくある抜け

  • 「動いているから大丈夫」：動作とライセンス遵守は別問題。
  • 表示の同梱漏れ：MIT等は「自由に使える」が表示は義務。クレジット同梱を忘れがち。
  • 宣言ベースの過信：マニフェストのライセンス表示と、内部の実体は異なることがある。

出荷前の確認を、1枚にまとめます

このチェックを毎回ゼロからやるのは負担です。OSSClear は、依存リストをもとに検出ライセンス・義務・配布可否の論点を「1枚のクリアランスレポート」に整理し、社内承認や取引先提出にそのまま使える形でお渡しします（最終的な法的判断は顧問弁護士へ、という前提です）。