Jak programovat s Claudem, Copilotem a Cursorem podle právníků?

Nástroje jako GitHub Copilot, Claude Code nebo populární editor Cursor se staly běžnou výbavou moderního vývojáře. V tomto světě velké úspory času, neustálého finetuningu nastavení a obav, jestli nevyčerpáte limity, je však někdy na druhé koleji to, jestli používání těchto nástrojů nemůže porušit to, co jste si dohodli s vývojářským studiem (nebo studio s klientem). 

Rozpor se statem quo 

Situace je – minimálně v zakázkovém vývoji – už desetiletí poměrně jasná. Klient potřebuje software. Přijde se zadáním za vývojáři. Ti se s ním buď na několik měsíců zavřou a programují jako diví (waterfall) anebo postupně s klientem dochází k tomu, co vlastně chce (agile).

Máme tu samozřejmě SaaS včetně low-code / no-code. A máme tu nově vibecoding. Ale ve vývoji na míru se na uvedené businessové logice nic moc nemění. Co se ale mění je to, co se děje za oponu, tedy práce vývojáře. A to i z pohledu práva. 

Autorské právo chrání prakticky všechny složky software jako dílo. Tedy jako něco, co vzniklo tvůrčí duševní činností člověka. Software jako činnost omezená logikou samotného vývoje a syntaxí jazyka tedy nevyžaduje, aby šlo o jedinečný výsledek tvůrčí činnosti, ale aby šlo o původní autorův duševní výtvor. V definici však stále máme autora jako člověka. 

Když svěřím vývoj software AI, minimálně ohrožuji nebo dokonce úplně vylučuji autorskoprávní ochranu. A tedy možnost udělit k software nebo jeho částem vyvinutým s AI výhradní i nevýhradní licenci. Proč? Protože se vývojář v určitých fázích (nebo kompletně) z vývoje „odstraňuje“, zbavuje se tvorby vlastní tvůrčí duševní činností a nechává tvořit stroj. 

Proč říkáme, že používáním AI autorství ohrožujete nebo úplně vylučujete? Protože závisí samozřejmě na rozsahu používání AI. Pokud píšu svůj kód a občas si nechám v některé části dopsat boilerplate a pak to stejně přepíšu, nejspíš ten požadavek vlastní tvůrčí duševní činnosti splním. Pokud ale vygeneruji 300 řádků kódu a pak tam změním dvě proměnné, už si zahrávám s tím, že něco tvrdí smlouva a vývoj vypadal jinak. 

Takže teď jsme asi v suchu. Procento vývoje, které se svěřuje AI, však je čím dál větší. A nelze jednoduše říct, kdy dojdeme k tomu, že software jako výsledek vývoje nebude chráněný. Je proto dobré minimálně rizika vnímat a připravovat se na ně. I proto, že chybějící autorství software a tím potenciálně porušení smlouvy s klientem nebude jediným problémem. 

Zde se hodí jako poznámka pod čarou dodat, že jakkoliv zmiňujeme zakázkový vývoj a SaaS jako určité protiklady, tak vývoj s AI je rizikový i pro SaaS. Jen tam většinou zákazník nečeká výhradní licenci (a dokonce nemusí být potřeba licence jako taková, ale to je na delší povídání). Takže minimálně ve vztahu k zákazníkovi to běžně nebolí. Ale dále uvedené problémy musíte řešit jako SaaSkaři taky. 

Jak si s novou realitou poradit?

Umělá inteligence už z vývoje software asi nikdy nezmizí, stejně jako nevrátíte zubní pastu zpátky do tuby. Je potřeba se jí tedy přizpůsobit a základní přístupy jsou dva. Nejsou nutně vzájemně protichůdné, jako modrá a červená pilulka v Matrixu. Ale v úvodu se jako zkratka k zamyšlení hodí: 

• Můžete jít s pravdou ven a snažit se změnit myšlení klientů a svůj business model. Když budete jednat s klienty, řeknete jim tedy něco jako: 
  „Používáme AI, abychom vám ušetřili. Nedokážeme kvůli tomu garantovat výhradní licenci, tedy ani to, že vás nikdo nezkopíruje. Ale máte to rychleji a levněji. Což není málo, protože když někdo bude chtít zkopírovat váš software, tak si ho stejně naprogramuje jinak a povede se mu to.“
  Jasně, budou asi stále edge cases, kde prostě AI vývoj asi budete moct použít jen omezeně a klient bude trvat na výhradní licenci. Ale hodně klientům může dávat tento trade off smysl. 
• Můžete stále trvat na běžném režimu výhradní licence. Pokud vyvíjíte na míru, můžete si stále trvat na tom, že děláte exkluzivní software dle potřeby klienta. A tedy garantovat mu výhradnost. Ono to tak dnes stále běžně bude. Jak píšeme výše, málokterý vývoj (aspoň doufáme) dnes jede čistě v AI. Pokud ale toto chcete zajistit nebo pokud přijde klient s hlubokými kapsami, který na tom trvá, znamená to nutnost hlídat si „čistotu“ vývoje. 

Co při používání AI při vývoji nebrat na lehkou váhu?

Otázce toho, jestli vůbec AI vytvořený software je autorské dílo, jsme se už věnovali výše. Co dalšího se ale vyplatí nepodcenit?

1. Hlídám si svůj kód?

Asi každého někdy napadne, co se děje s jeho kódem, když ho vloží do AI. Nestává se z něj krmivo pro AI a pěkný základ pro produkty konkurence? Tady samozřejmě záleží na tom, jakou AI používám. U velkých hráčů v entreprise předplatných můžete být většinou v klidu. 

Například GitHub Copilot (určitě ten zakoupený napřímo) má jasná pravidla: Inputy i outputy jsou vaše a vy si s nimi dělejte co chcete. My na nich netrénujeme, pokud nám to nedovolíte. Totéž platí u Anthropicu (Claude). 

Doporučujeme dávat si pozor u velmi oblíbeného editoru Cursor. Ten sice funguje skvěle, ale ve výchozím nastavení u účtů může sbírat data z vaší codebase, vaše prompty i akce v editoru k vylepšování a trénování vlastních AI funkcí. Pokud jako firma nemáte speciální Master Services Agreement nebo pokud si vývojáři manuálně nezapnou tzv. „Privacy Mode“, dobrovolně posíláte své nejcennější informace na cizí servery. 

Jasně, je pořád otázka, jestli tvůrcům AI to neučení máme věřit. Ale tady nám asi nic jiného nezbývá. Pokud tedy nechcete instalovat lokální model na svůj server nebo se AI úplně vzdát. 

Kromě toho se hodí myslet i na to, že AI může při vývoji zatáhnout do software toxický open source pod širokou copyleft licencí jako GPL. AI modely se učí na miliardách řádků veřejného kódu a riziko, že se něco takového stane, prostě statisticky nemůže být nulové. Pokud vám to AI propašuje do komerční appky za výhradní licencí s uzavřeným kódem a za klientem přijde někdo s tím, že musí zveřejnit zdarma zdrojový kód, asi vás nepochválí. 

2. Hlídám si, že do ničeho nezasahuji?

I tady byl v minulosti svět asi jednodušší. Vývojář si psal kód a když potřeboval, zkusil si najít, jestli si nemůže pomoct open sourcem (ideálně ne copyleftovým). U open source si našel attribution a text licence, ty správně použil a měl hotovo. 

Teď ale vývojáři dává AI moc použít teoreticky jakýkoliv kód, který leží na internetu a nějak se dostal do datasetu AI nástroje. Běžně to bude open source kód, který nemusí AI nástroj ani vývojář zachytit. A porušení open source licence je na světě. 

Kdo za to ponese vinu? Nástroje se odpovědnosti logicky zbavují. GitHub například ve svých podmínkách jasně uvádí, že kódové šablony a návrhy slouží pouze jako asistence pro urychlení vývoje. Jako uživatel nesete výhradní odpovědnost za jakoukoliv aplikaci, kterou s pomocí AI vytvoříte. A to včetně dodržování všech právních, regulačních a licenčních požadavků spojených s jejím použitím.

Světlou výjimkou je fakt, že někteří giganti vám přece jen částečně kryjí záda. Pokud máte komerční smlouvu s GitHubem a někdo vás zažaluje za to, že vygenerovaný AI kód porušuje jeho autorská práva, může se na tyto outputy vztahovat ochrana proti nárokům třetích stran. Běžně to však ve smlouvě mít nebudete. Značně vylepšenou ochranu proti narušení autorských práv nabízí ve svých B2B podmínkách i Anthropic. 

Co si z toho vzít?

Jako vývojář programujte chytře a udělejte si z AI asistenta, ne nepřítele:

• Hlídejte si Privacy Mode: Ať už používáte Cursor, Claude Code nebo jiné nástroje, vždy si ověřte v nastavení editoru, že neodesíláte citlivý kód k trénování. Za nás je dobré myslet na to, že AI nástroje teď nutně na vývojářích nevydělávají a spíše se snaží porcovat trh (kdo má předplatné a díval se někdy na využité tokeny, nejspíš nám dá za pravdu). V budoucnosti tak může hrozit, že i v levnějších předplatných buď učení vypnout vůbec nepůjde nebo se minimálně „záhadně“ zapne. Proto je dobré si to hlídat a mít připravený i plán pro situace, kdy bude potřeba přejít jinam. 
• AI je parťák, ne architekt: Nenechte AI přemýšlet kompletně za vás. Pokud za vás vymyslí celou strukturu a napíše všechno sama, chybí tam originalita. Kód vždy zkontrolujte, upravte a vložte do něj svůj „lidský otisk“ a tvůrčí jiskru. Zvlášť pokud víte, že to máte ve smlouvě s klienty. 
• Pozor na "hardcoded secrets": To je asi jasné, ale dobré doporučení je nikdy do promptů v Claude Code nebo Copilotu nevkládat hesla, API klíče nebo přístupy do produkční databáze. I když nástroj deklaruje, že netrénuje na vašich datech, vstupy a výstupy mohou být poskytovatelem uchovávány za účelem poskytování služby, například pro udržení kontextu konverzace. Případně se můžou objevit v kódu. A asi se shodneme, že není dobré, aby se objevily kdekoliv. 

Jak si můžete jako firma pohlídat, že vývojáři nebudou používat AI „na divoko“?

• Připlaťte si za entreprise verzi: Free a běžné uživatelské verze nástrojů mohou mít diametrálně odlišné podmínky než ty B2B. Komerční verze negarantují jen to, že se na vašich datech nebude trénovat, ale přináší někdy i zmíněné právní krytí proti autorskoprávním žalobám. I když to funguje jako každé pojištění se spoustou výluk, jde o krajní záchrannou brzdu. Berte to tak, že pokud tuto verzi vývojářům nepořídíte, budou se ohlížet jinde a necháváte zcela na nich, jak AI používají. 
• Filtrujte veřejný kód: Nástroje jako Copilot umožňují na úrovni organizace administrátorům zapnout filtr, který automaticky blokuje návrhy kódu, jež se shodují s veřejně dostupným kódem na GitHubu. Tím razantně snížíte riziko toxického FOSS kódu. 
• Používejte skenery: Pokud to s vývojem komerčního softwaru myslíte vážně, může dávat smysl pořídit si skener kódu jako Snyk nebo Black Duck, který výsledný projekt před releasem zkontroluje na přítomnost známého kódu se špatnou licencí. 
• Nastavte interní AI Policy: Mějte jasný a srozumitelný předpis, který vývojářům přesně řekne, které AI nástroje smí používat, za jakých podmínek a jaký kód do nich za žádných okolností nesmí vkládat (např. vaši core byznys logiku). 

AI z vývoje softwaru už nezmizí a ignorovat ji by znamenalo ztratit konkurenční výhodu. Nezaprodejte ale firmu nebo neriskujte smluvní pokutu jen proto, abyste ušetřili pár desítek hodin času. Udělejte si pořádek a bude se vám dobře spát.

Pokud vyvíjíte v AI a chcete upravit smlouvy, určitě nám prosím dejte vědět na napistenam@elegal.cz a domluvíme se na schůzce.