1997年，一位程序员写下名为《大教堂与集市》的文章，首次提出了开放源代码(OpenSoure)的概念，提倡软件源代码能被任何人查看、修改、分发。开源自此深刻影响了互联网行业的每一个角落。

在生成式AI崛起的当下，开源再次成为话题焦点：Meta的开源大模型Llama2公开商用，几乎一夜之间重塑了大模型的发展路线;开源社区Github上的生成式AI项目，一年同比增加248%;HuggingFace预言，2024年开源大模型的能力会与闭源持平。

但就和开源软件诞生时一样，开源AI的安全性备受争议。不同的是，它还面临着定义模糊、巨头游戏等新生问题。要不要对开源AI“开绿灯”?不同开放程度的AI都算开源吗?如何理解它们的价值和风险?

带着这些问题，近日多位学界和业界专家参加了“清华伍舜德楼行政法学工作坊·人工智能立法之开源发展与法律规制”会议，一同讨论开源AI的规制问题。本次会议由清华大学科技发展与治理研究中心及清华大学公共管理学院政府法制研究中心共同举办，清华大学公共管理学院院长朱旭峰教授、清华大学公共管理学院于安教授致欢迎辞。

现状：开源豁免尽管生成式AI的风险一直处于风口浪尖，但不管是从业者还是监管者，目前都对开源AI更为包容。

以欧盟为例，即将发布的两部法律为开源AI明确亮了“绿灯”。同济大学法学院助理教授、上海市人工智能社会治理协同创新中心研究员朱悦介绍，一部是接近全文定稿的欧盟《人工智能法案》，目前的版本将不会监管免费、开源的AI系统;另一部则是《产品责任指令》。这一指令将AI产品纳入了适用范围，也就是当AI系统里的软件、硬件作为产品投向市场时，需要遵守相应条款，但“在商业活动之外研发、提供自由且开源的软件”除外。

中美也有类似的探索。比如中国社科院与南财合规科技研究院共同起草的《人工智能示范法(专家建议稿)》拟定，“免费且开源提供人工智能的个人、组织能证明已经采取足够安全措施的，可以减轻或不承担责任。”最近两位美国议员的《人工智能基础模型透明度法案》提案备受关注，当中开源模型也享有豁免权。

这种普遍宽松的态度，朱悦认为主要目的是鼓励创新、促进技术交流。从整条人工智能产业链来看，无论是框架性的代码，还是数据、预训练模型、评估基准，开源都发挥了难以替代的作用。以评估基准为例，“如果做出了AI大模型，要看它达到了怎样的性能水平，就需要跟其他大模型的基准比较。但这种评估基准存在于哪里?很多时候离不开开源平台，比如HuggingFace。可以说，大部分AI组件都是在开源的生态里发生的。”朱悦说。

中国信息通信研究院的人工智能研究中心高级业务主管呼娜英同样表示，相比于工业时代的封闭产业模式，开源的分工效率更高。开源AI在建设一个开放的产业生态上有重要作用，在产业经济的贡献上，它的作用也是显而易见的。

而更直接的原因是，开源本身就意味着更透明。朱悦指出，在GitHub、huggingface这些开源社区上传AI组件时，开发者需要披露权重、参数、架构等详细信息，来帮助其他人更好地使用，实际上已经履行了监管者期待的大部分义务。所以，“已经有很好的自我监督、社群监督，还有没有必要再施加硬性监管?需要考虑。”

难题：开源“留一手”更透明、更创新是开源的固有优势，但碰上生成式AI，开源有新的问题要面对。

多位专家都提到，要警惕AI“假开源”的现象：目前的开源AI往往是“有限的开放”，只公开模型架构，很少公开训练数据和过程。除此之外，它可以限制使用者身份，限制核心功能的使用，还可以选择旧版本开源、新版本闭源。比如开源界的明星Llama2大模型，其实就限制了月活跃用户超过7亿的公司使用。

究其原因，21世纪经济报道合规科技部副主任王俊指出，开源站在法律、技术、商业的交叉口，开源AI更多时候是一种商业选择。

星纪魅族集团数据合规执行总监朱玲凤进一步解释，目前有些开源AI由头部公司主导，“越多人使用，就越能强化网格效应，而且不是真正的开放，后续需要使用它们的配套工具、配套服务。头部公司还可能利用监管豁免的方式，获得寻租空间。”换言之，以开源为噱头的巨头游戏，可能会进一步强化大公司的垄断地位，反而不利于产业竞争。

呼娜英还提到，国际科技巨头在用开源AI扩大影响力的同时，潜移默化地推行了一套自己的规则。产业自主性、国际依赖性的问题必须要谨慎考虑，国内应当尝试发展自己的开源生态。

不过限制竞争的隐忧，已经得到了一定缓解。朱悦表示，上文提到的欧盟两部法律，都强调公益性的、社群性的、自律性的开源。具体来说，它们明确限定了“开源”的附加条件，如果是通过开源换取货币对价，绑定额外的服务，或者出于安全、兼容之外的目的获得个人信息，进行商业变现，那就不能享受豁免。此外，法规还鼓励通过数据卡、模型卡、系统卡等信息披露的方式，进一步促进行业互助。

因此，朱悦认为更重要的问题可能是：如何运用立法技术厘清开源AI的边界?需不需要设定，如何设定最基本的义务?

治理：定义与安全风险评估难是否要对开源豁免，与会