大きく2つに分けて考える
OSSのライセンスは数多くありますが、「何を求められるか」で大きく分けられます。経済産業省の事例集に紹介されている企業の分類を参考にすると、次の3つの型になります [L6]。
| 型 | 求められること （企業の整理より） | 例 |
| 許諾型（非コピーレフト型） | 著作権表示とライセンスの表示を付ければ、使用・改変・配布ができる | Apache、MIT、BSDなど |
| 弱いコピーレフト型 （準コピーレフト型） | 上記に加えて、変更の記録、ソースコードなどの提供が求められる | EPL、MPL、CDDLなど |
| 強いコピーレフト型 | 上記に加えて、組み合わせた全体にも同じ条件が及ぶ | GPL、AGPLなど |
注記：この3分類は、経済産業省の事例集に載っているザランド社とSCSK社の
社内のライセンスの整理を私がまとめたものです。
法律や標準で決められた分類ではありません。
どのライセンスをどの型に入れるかは、企業によって異なります
（例えば、ザランド社はLGPLを強いコピーレフトに、
SCSK社は準コピーレフトの例にEPL、MPLを挙げています）[L6]。
許諾型：MIT、Apache License 2.0
MIT Licenseは、とても短く条件の軽いライセンスです。
ソフトウェアに付いている著作権表示と許可の表示を、すべてのコピー、または主要な部分に含めること、というのが主な条件です [L5]。
Apache License 2.0は同じく許諾型ですが、次の特徴があります [L4]。
- 特許のライセンス：コードを提供した人（コントリビューター）から、特許の許諾（使ってよいという許可）も受けられる
- 再配布の条件：ライセンスのコピーを他の受け取り手に渡すこと。ソース形式では、元の著作権・特許・商標などの表示を残すこと。「NOTICE」というファイルがあれば、その表示を派生物にも含めること
- 商標は許可されない：提供者の商号や商標、製品名を使う許可は含まれない
SPDXのリストの説明でも、ApacheライセンスはMITと比べて、コードの提供者から特許のライセンスも得られる点が特徴だと説明されています。
注記：MITライセンスの条件は、公開されている原文の内容
（著作権表示と許可の表示を、すべてのコピーに含めること）
を複数の公開ページで確認したものです。
「特許のライセンスの有無がMITとの違い」という点は、複数の解説資料で確認した内容です。
コピーレフト型：GPL
コピーレフトとは、「改変したものや組み合わせたものにも、同じ条件を求める」考え方です。
代表的なのがGNUプロジェクトのGPLです。GNUプロジェクトのFAQには、次のような説明があります [L2]。
- 改変版を一般に公開（配布）する場合は、改変したソースコードを利用者に、GPLのもとで提供しなければならない
- ソースコードなしのバイナリ（実行ファイル）を商用で配布する場合は、あとからソースコードを配布する書面での申し出を付けなければならない
- 改変版を公開する場合は、改変した部分だけでなく、全体をGPLで公開しなければならない
- あるプログラムを他のモジュールと静的にも動的にも「リンク」（組み合わせて動かすこと）すると、組み合わせた作品になると説明されている
「社内で使うだけ」なら？
FSF（フリーソフトウェア財団）のコンプライアンス担当の資料は、組織がGPLのプログラムを改変し自分たちの設備で動かす（社内で使う）ことは「配布」にあたらないため、ソースの公開を求められない場合があるという趣旨を説明しています。
例えば、会社が改変版を、社外に出さずに自社の設備にインストールする場合です [L3]。つまり、GPLの条件が問題になるのは、基本的にソフトウェアを他者に渡す（配布する）ときです。
注記：FSFの資料の趣旨を私が要約しました。
ただし、「どこまでが社内利用で、どこからが配布か」
（子会社への提供、委託先への提供など）は、事案ごとに判断が分かれうる点です。
専門家にご確認ください。
ネットワーク経由の提供：AGPL
GPLは、ソフトウェアを「配布」するときの条件です。そのため、ソフトウェアを配布せず、サーバーで動かしてサービスとして提供する場合は、GPLの条件が及ばないという「抜け穴」がありました。
これを埋めるのがAGPLです。
AGPLの第13条は、改変した版をネットワーク経由で使う利用者に対しても、ソースコードを受け取る機会を提供しなければならない、という趣旨を定めています [L7]。
このため、社内のルールとして、AGPLのソフトウェアは使用を認めない会社もあります。
経済産業省の事例集に載っているザランド社は、AGPL関連のライセンスの使用を認めていません [L6]。
注記：AGPL第13条の内容は、解説記事（Opensource.com）が引用した条文で確認しました。
GNUのAGPL原文のページは、今回、直接確認していません。
企業の実際のルールの例
経済産業省の事例集には、企業のルールが載っています。
例えば、ザランド社（ドイツ）は許諾型と弱いコピーレフトのライセンスの使用を認め、強いコピーレフト型は社内用にのみ使用可能としています。
AGPL、共通条項（Commons Clause）のライセンス、ライセンスのないコードは使用を認めていません [L6]。
SCSK社は、混入検査で見つかったOSSの対応の優先順位を利用条件が厳しい順に付けており、コピーレフト型（GPL、AGPLなど）を最優先、準コピーレフト型（EPL、MPLなど）、非コピーレフト型（Apache、MIT、BSDなど）の順としています [L6]。
注記：これらは、各企業の社内ルールの紹介であり、法律の要求ではありません。
自社のルールは、自社の事業（製品として配布するのか、サービスとして提供するのか）
に合わせて、決める必要があります。
発注の前に確認したいこと
- 使うOSSのライセンスは何か。許諾型か、コピーレフト型か
- GPL、AGPLなど、コピーレフト型のOSSを使う場合、自社のソフトを他者に配布するかサーバーで提供するか。その場合のソース公開の範囲は確認したか
- 社内で使うライセンスの方針（使ってよいもの、使えないもの）は決めているか
- ライセンスの表示（著作権表示、NOTICE、ライセンス文書）を、製品やマニュアルに載せる運用になっているか
注記：この4点は、各資料の内容から私が整理した確認項目です。
資料がこの形のチェックリストを示しているわけではありません。
参照元
[L2] GNU Project, Frequently Asked Questions about the GNU Licenses — https://www.gnu.org/licenses/gpl-faq.html
[L3] Free Software Foundation, Licensing and Compliance Lab: the most frequently asked frequently asked questions — https://www.fsf.org/blogs/licensing/licensing-and-compliance-lab-the-most-frequently-asked-frequently-asked-questions
[L4] SPDX License List, Apache License 2.0 — https://spdx.org/licenses/Apache-2.0
[L5] Open Source Initiative, The MIT License — https://opensource.org/license/mit
[L6] 経済産業省, OSSの利活用及びそのセキュリティ確保に向けた管理手法に関する事例集（令和4年8月1日） — https://www.meti.go.jp/policy/netsecurity/wg1/ossjirei_20220801.pdf
[L7] Opensource.com, Do I need to provide access to source code under the AGPLv3 license?（AGPL第13条の引用を含む解説記事） — https://opensource.com/article/17/1/providing-corresponding-source-agplv3-license
コメント