柯律师：
您好！
我们是一家科技型企业，研发人员在开发过程中经常会从GitHub、Gitee等平台查找代码。有同事认为，网上公开的开源代码可以直接复制到公司产品中使用，只要不对外说明来源即可。请问，开源代码能否直接用于商业项目？企业需要注意哪些法律风险？
张先生
//
杨先生：
张先生：
您好，来信收悉。
开源代码并不等同于“无版权代码”或者“可以任意使用的免费代码”。计算机软件依法受著作权保护。权利人将代码公开，并选择MIT、Apache、GPL等开源许可证，本质上是通过许可证预先授予他人复制、修改、分发、商业使用等权限。企业能否使用以及如何使用，应以具体许可证的内容为准。
实践中，风险主要体现在三个方面：一是没有核查许可证，直接复制代码进入公司核心产品，可能违反保留版权声明、附带许可证文本、标注修改内容等义务；二是误用GPL等开放要求较强的许可证代码，在对外发布或销售产品时，可能引发源代码开放义务争议；三是网上代码来源未必合法，个别仓库可能混入他人商业软件、前单位项目或者未获授权的代码，企业直接使用仍可能承担侵权风险。
建议企业建立开源代码使用流程。研发人员引入外部代码前，应记录代码来源、项目地址、版本号和许可证类型；对拟用于商业产品、核心模块或者对外交付项目的代码，应由技术、法务共同审查。对于宽松型许可证，也应保留版权声明和许可证文本。对于GPL、LGPL等许可证，需结合使用方式、链接方式和是否对外分发进行专项判断。外包开发项目中，还应要求供应商提交开源组件清单并承诺权利来源合法。
总的来说，GitHub上的代码“能下载”不代表“能无条件商用”。企业可以利用开源生态提高研发效率，但应以许可证合规、来源留痕和内部审批作为基本边界。
北京大成（上海）律师事务所
刘峰 律师
柯律师信箱：
kelvshi2022@126.com
扬法律服务之帆
护科创奋楫之航
