开源代码用了就要公开吗？三个判决划出三层责任

三个判赔数字，问的是同一个问题

50 万元、50 万元、800 元。

三个法院、三份判决，争的是同一件事：把别人的开源代码用进自己的产品，后果落在谁头上。数字差得远，但并不矛盾——它们各自守住这条责任链上的一层。

2026 年 9 月 2 日，工业和信息化部印发《“人工智能+软件”专项行动实施方案》（工信部信发〔2026〕209 号），在开源部分提出“加强自主开源许可协议应用与合规指引”；发布会披露，截至 2026 年 8 月，国家级开源社区 AtomGit 已托管超过 8 万个模型、37 万个数据集。政策在扩大开源的供给面，司法在收紧责任面。这两件事得一起读。

第一层：开源许可附条件，不是放弃著作权

广州知识产权法院审的罗盒案（〔2019〕粤73知民初207号）是第一层的界碑。

罗盒公司持有 VirtualApp 著作权，该项目在 GitHub 上以 GPLv3 开源。玩友公司开发四款微信视频美颜相机 App，其中沙盒分身功能与涉案软件构成实质相似，且始终未提供源代码下载。罗盒索赔 1500 万元。

判决的推理分两步。

第一步，GPLv3 是合同，不是声明。法院把它定性为附解除条件的非典型著作权许可使用合同——许可是有条件的，条件就是遵守协议；用户违反，许可前提不复存在，授权自动终止。终止之后再用，就是没有权利来源的使用。

第二步，开源不等于免费。法院驳回了“下载免费所以收会员费违约”的主张：会员费对应运营维护和技术支持，属服务收费，不违反协议。真正违约的是不提供源代码——沙盒分身代码作为衍生部分整体发布，按传染性规则，整个被诉软件都要按 GPLv3 开源。

一审判赔 50 万元，双方均未上诉，该案入选 2021 年中国法院 10 大知识产权案件。

这一层纠正的是最常见的误解：开源作者放弃的是卖拷贝这条路，不是著作权本身。

第二层：违约不剥夺著作权，抗辩“你自己也没开源”没用

第二层由最高人民法院知识产权法庭划出（〔2021〕最高法知民终51号）。

某网关产品软件是在受 GPLv2 约束的开源软件基础上改进形成的。被告通过关联公司挖走原告前员工，做出实质相似的软件。其抗辩很有代表性：既然涉案软件受 GPLv2 约束，原告依约就负有公开源代码的义务，你没履行，我用了自然不侵权。

最高法没有采纳。二审说得很干脆：开发者自身是否违反 GPLv2 协议，和是否享有著作权，是相对独立的两个法律问题，不宜混为一谈；违反协议的一方能否得到侵权救济，与它将来在违约或侵权之诉中是否要担责，也是两个相对独立的问题。

一审 50 万元，二审驳回上诉、维持原判。

这一层掐掉的是一条看似聪明的抗辩路径。它和第一层不冲突：第一层说违约让授权终止，第二层说违约不让著作权消失。授权和权利是两回事——前者是发给使用者的通行证，后者是权利人自己的产权。

授权链会因违约断裂，著作权却不因违约消灭，两条线各自成立、互不抵销

第三层：传染性约束分发者，不替终端使用者免单

第三层最新，也最容易被误读。〔2024〕苏民终581号，一审是无锡市中级人民法院〔2023〕苏02民初482号。

一家口腔医院用 DedeCMS V5.7 搭了经营性官网。程序里集成了一个受 GPLv2 约束的全文检索库文件 sphinxclient.class.php。医院的抗辩是：软件整体已受 GPL 约束，我是终端使用者，凭什么还要付商用授权费。

一审支持了这个逻辑，认为医院因 GPL 获得许可，只认定删除主页版权标识侵害署名权，判赔 800 元。二审改判了法律适用，赔偿额维持。

江苏高院的分析分两头。

一头，软件确实受 GPL 约束。法院查明，权利人把 sphinxclient 直接集成、整体发布，文件处于随时可调用状态，实现的全文检索与软件自有程序并不相同，删掉它全文检索就失效——两者不是相互独立的作品，涉案软件属于包含该文件的派生作品。

另一头，但受约束不等于自动按 GPL 许可。权利人没按 GPL 发布，而是自拟商业许可协议对外授权。法院原话：其应当遵循 GPL 协议而未遵循，并不意味着涉案软件自动适用 GPL 协议进行了许可。于是医院商用建站未付授权费，侵害复制权；移除主页版权标识，侵害署名权。

索赔 14500 元，判赔 800 元。

三层到这里闭合：协议有效（第一层）→ 权利人违约不失权（第二层）→ 权利人可以主张，但正因为自己违约，主张的力度要被压下来（第三层）。传染性约束的是把代码打包分发出去的人，不是给终端使用者发免费通行证。

反过来：违约的代价，落在赔偿额上

800 元与 14500 元的落差，是本文最有实操价值的一组数字。

江苏高院列的酌定因素有四条：权利人自发布起就宣传“开源免费”，在先版本还用过 GPL，对协议内容很清楚；把 GPL 文件直接调用集成、整体发布，没做有效隔离；也没联系上游作者取得商业许可来规避影响；涉案软件本身建立在他人开源代码之上，确定赔偿额要考虑权利人自己做了多少贡献。加上侵权性质、情节、维权成本较低，酌定 800 元。

索赔一万四千五百元、判赔八百元，差额来自四条酌定因素

所以，权利人自己的违约不构成被告的抗辩理由，却会变成法院压低赔偿的筹码。这条对自研企业同样成立——产品里夹带了没隔离干净的开源代码，将来维权时这个瑕疵会被对方拿出来，一层层削你的判赔额。

二审还改了责任方式：一审的赔礼道歉改为在企业官网主页发布 30 日消除影响声明。影响范围与责任形式要对得上。

企业该做的，按身份分两条线

判断自己站在哪一层，只问一句：代码是往外发的，还是自己用的。

往外发，指编进产品、交付客户、上架应用商店。这时传染性直接指向你，三件事必须落地：建组件清单，把每个第三方库的名称、版本、许可证类型登记在册；对 GPL、AGPL 这类强传染许可证做隔离评估，能动态链接、独立进程调用的别静态打包；交付前做一次许可证审查，结论写进交付文档。

自己用，指拿开源软件搭系统、网站、内部平台。重点不在传染性，在授权条款。开源不等于永久免费商用，不少项目区分个人或非营利与商业用途。上线前查三件事：主页授权说明现在写的是什么、历史上是否变更过、你用的这个版本对应哪一版协议。江苏案里的医院，输就输在把这三点当成了默认值。

还有一条容易忽略：自己开源的项目，也要守上游协议。你可能既是权利人又是违约方，两个身份同时成立。这一点在技术该锁进保险柜还是挂在公示牌上那篇里埋过伏笔——保护方式的选择，本来就带着义务。著作权侧的规则底盘，见著作权司法解释新规。

至于怎么纳入体系，企业知识产权风险管理（一）给的是识别与分级的路子；开源许可证风险属于外部技术来源风险，值得单列一条。

本文依据

• 罗盒公司诉玩友公司等侵害计算机软件著作权纠纷案，广州知识产权法院〔2019〕粤73知民初207号；裁判理由见广州知识产权法院官网《违反开源许可协议构成侵权》（《人民司法·案例》2022 年第 32 期），入选最高人民法院 2021 年中国法院 10 大知识产权案件。
• 网某科技（苏州）公司诉浙江亿某通信科技公司等案，最高人民法院〔2021〕最高法知民终51号；来源：最高人民法院知识产权法庭官网“五年百案”第 45 案。
• 卓某公司与摩某医院案，一审无锡市中级人民法院〔2023〕苏02民初482号，二审江苏省高级人民法院〔2024〕苏民终581号；来源：江苏高院 2025 年服务保障科技创新和产业创新融合十件知识产权典型案例、全国法院知识产权案件法律适用问题年度报告（2025）。
• 工业和信息化部《“人工智能+软件”专项行动实施方案》（工信部信发〔2026〕209 号，2026 年 9 月 2 日印发）及政策解读，来源：工业和信息化部官网。
• 当事人名称按官方通报口径以“某”代称；正文不作法条序号引用，只引法院裁判表述。