Lisensi AI: Periksa Kode, Bobot Model, dan Data

Sebelum memakai model AI dalam produk berbayar, periksa tiga izin: kode program, bobot model, dan data latih. Bobot model adalah parameter hasil pelatihan; data latih adalah bahan yang dipakai untuk melatihnya. Lisensi kode yang mengizinkan penggunaan komersial belum membuktikan dua bagian lainnya boleh dipakai. Catat izin setiap versi sebelum menjanjikan produk ke pelanggan.

Di artikel sebelumnya dalam seri ini saya membahas perilaku lisensi sumber terbuka di perangkat lunak komersial biasa. Produk AI menambah lapisan masalah yang menjebak bahkan tim yang sudah mengerjakan PR itu.

Penanda MIT atau Apache-2.0 pada repositori GitHub hanya menjelaskan lisensi bagian yang dicakupnya. Jangan menganggap penanda itu sebagai izin untuk seluruh kode, bobot model, dan data latih. Tidak ada satu tanda persetujuan yang menggantikan pemeriksaan semua komponen.

Risikonya muncul ketika tim langsung menjalankan uji coba dan menjanjikan produk setelah melihat lisensi kode. Pembatasan bobot untuk riset mungkin baru ditemukan ketika pemeriksaan kepatuhan dilakukan, saat model sudah menjadi bagian penting aplikasi. Artikel ini memberi panduan pemeriksaan teknis; penilaian hukum mengikuti ketentuan setiap komponen.

Apa yang diizinkan lisensi kode?

Ini lisensi yang ditampilkan GitHub di halaman repositori, dan satu-satunya yang dibaca kebanyakan perekayasa. Cakupannya skrip pelatihan, penghubung inferensi, dan definisi arsitektur. Kalau MIT, BSD, atau Apache-2.0, sisi kode biasanya aman — simpan pemberitahuan, sertakan teks lisensi, selesai.

Kode juga dapat membawa kewajiban kode sumber. Ultralytics YOLO tersedia dengan AGPL-3.0 dan opsi lisensi komersial. Periksa modifikasi, cara integrasi, distribusi, serta akses jaringan untuk menentukan bagian karya yang tercakup; jangan menganggap seluruh sistem otomatis wajib dibuka. Jika kewajiban lisensi tidak sesuai rencana produk, evaluasi lisensi komersial atau komponen alternatif.

Jika lisensi kode saja tidak sesuai rencana penggunaan, hambatan itu perlu diselesaikan lebih dahulu. Izin bobot dan data tetap harus diperiksa sebelum komponen boleh masuk produk.

Apakah bobot model boleh dipakai dalam produk berbayar?

Parameter terlatih yang benar-benar Anda deploy didistribusikan dengan ketentuannya sendiri — kadang di LICENSE repositori, kadang di model card. Ketentuan itu sering jauh lebih ketat daripada kode di sekitarnya.

Dunia 3D vision menyediakan contoh paling gamblang. DUSt3R dan MASt3R, dirilis di bawah CC BY-NC-SA 4.0: nonkomersial, berbagi dengan ketentuan serupa. Kodenya jalan mulus di pilot Anda. Namun memasukkan bobot model itu ke produk berbayar tanpa lisensi terpisah dari pemegang haknya adalah pelanggaran, titik.

Implementasi referensi 3D Gaussian Splatting yang asli memakai lisensi terbatas untuk riset atau evaluasi nonkomersial dari institusinya. Implementasi lain, seperti gsplat, memakai Apache-2.0. Teknik yang sama dapat memiliki implementasi dengan izin berbeda; periksa berkas serta versi yang benar-benar akan digunakan.

Itulah pola yang perlu diresapi: pertanyaannya tidak pernah "apakah teknik ini boleh dipakai komersial" — izin kode tidak otomatis memberi hak atas semua implementasi; paten juga perlu dinilai bila relevan. Pertanyaannya: "apakah komponen ini, pada versi ini, berlisensi untuk hal yang akan saya lakukan."

Apakah data latih boleh dipakai untuk tujuan ini?

Bobot model merupakan hasil pelatihan menggunakan data latih, dan kumpulan data juga membawa ketentuan. Izin uji pembanding bukan izin pelatihan komersial: banyak kumpulan data akademik mengizinkan evaluasi dan riset tetapi membatasi pelatihan model untuk distribusi komersial. Kalau Anda fine-tune (melatih ulang model orang lain dengan data sendiri) di sebuah kumpulan data, periksa apakah ketentuannya membatasi pelatihan, pemakaian, atau distribusi bobot hasilnya. Jangan menganggap semua lisensi kumpulan data berlaku dengan cara yang sama.

Gambar hasil scraping membawa risiko hak cipta dan privasi yang tidak bisa dicuci oleh lisensi kode mana pun. Untuk apa pun yang menghadap pelanggan, baseline amannya: data milik sendiri, data berlisensi, atau data yang ketentuan pelatihan komersialnya eksplisit dan tercatat.

Bagaimana mencatat izin setiap komponen AI?

Solusinya bukan analisis hukum heroik, tetapi pembukuan: daftar komponen dengan satu baris per berkas atau paket, diisi sebelum komponen masuk jalur produk.

Untuk setiap versi model saya mencatat:

1. Tipe komponen — kode, bobot model, kumpulan data, Docker image. Lisensinya berbeda per tipe, jadi masing-masing dapat baris sendiri.
2. URL sumber, versi atau commit, dan checksum, sidik jari digital yang memastikan berkas tidak berubah — "kami download sekitar bulan Maret" tidak akan lolos audit.
3. Nama lisensi plus tautan ke berkas lisensi persisnya — teks yang benar-benar mengikat Anda, bukan badge di README.
4. Pemakaian komersial dan redistribusi: ya, tidak, atau tidak jelas — ditulis sebagai jawaban eksplisit, karena "tidak jelas" adalah temuan, bukan kekosongan.
5. Status: hijau, kuning, atau merah — hijau boleh rilis dengan pemberitahuan yang diwajibkan, kuning butuh pemeriksaan sebelum rilis, merah tidak boleh masuk jalur produk.

Daftar tersebut memudahkan pemeriksaan karena dasar izin setiap versi sudah tercatat. Beri versi baru baris tersendiri agar perubahan ketentuan tidak terlewat ketika model diperbarui.

Kapan komponen AI boleh masuk produk?

Komponen yang belum jelas izinnya perlu ditahan untuk pemeriksaan sebelum rilis. Status kuning menunjukkan pekerjaan yang belum selesai, bukan persetujuan penggunaan.

Intinya

Periksa kode, bobot model, dan data sebagai tiga bagian dengan ketentuan masing-masing. Catat versi serta hasil pemeriksaannya, lalu gunakan daftar itu sebagai syarat rilis. Membaca lisensi kode saja meninggalkan dua sumber risiko lainnya.