오픈소스 코드를 가져다 쓰다 보면 라이선스 종류가 워낙 다양해 어디까지 허용되는지 헷갈릴 때가 많습니다. 코드를 수정해 사내 시스템에만 쓰거나 외부로 상용 배포할 때, 라이선스 조건을 잘못 지키면 예상치 못한 저작권 침해 문제로 이어질 수 있습니다.
오픈소스 라이선스 배포 시 법적 문제를 방지하려면, 사용하려는 라이선스의 전파성 여부와 저작권 표시 의무를 가장 먼저 확인해야 합니다.
실무에서 자주 쓰이는 오픈소스 라이선스의 특징과, 배포 과정에서 반드시 점검해야 할 실질적인 기준들을 짚어봅니다.
- 오픈소스라고 해서 무조건 자유롭게 써도 되는 것은 아니며, 라이선스별 의무 조항이 다릅니다.
- GPL 같은 강한 전파성 라이선스는 소스코드 공개 의무를 수반하므로 상용 제품 배포 시 주의가 필요합니다.
- 저작권 표시와 라이선스 사본 첨부는 가장 기본적이면서도 놓치기 쉬운 필수 조건입니다.
허용 범위가 넓은 퍼블릭 도메인 및 허용적 라이선스
MIT나 Apache 2.0, BSD 같은 라이선스는 상대적으로 제약이 적어 실무에서 가장 선호됩니다. 원저작자 표시와 라이선스 고지 조건만 지키면 수정, 배포, 상용화는 물론 비공개 소스로의 전환도 비교적 자유롭습니다.
그렇다고 아무런 조건이 없는 것은 아닙니다. 코드를 빌드하거나 패키징해 배포할 때, 소프트웨어 내부에 원저작자의 저작권 고지와 라이선스 텍스트를 포함해야 법적 의무를 다하는 것이 됩니다.
주의해야 할 강한 전파성 라이선스
GPL(General Public License) 계열은 소스코드를 사용하는 기업 입장에서 가장 까다로운 규제 조항을 담고 있습니다. GPL 라이선스가 적용된 코드를 원본 그대로 쓰거나 일부 결합해 상용 소프트웨어로 배포할 경우, GNU 일반 공중 라이선스 원칙에 따라 연동된 전체 소스코드를 동일한 GPL 조건으로 공개해야 합니다.
사내 내부망에서 시스템 구동 용도로만 쓰는 것은 배포로 보지 않아 소스 공개 의무가 발생하지 않는 경우가 많지만, 외부 고객에게 클라우드 서비스 형태로 제공하거나 패키지 형태로 다운로드 제공하면 전파성 이슈가 수면 위로 떠오릅니다.
배포 전 반드시 확인해야 할 4가지 체크 포인트
- 프로젝트 내 의존성 전수 조사: 패키지 매니저(npm, pip, Maven 등)를 통해 설치된 라이브러리 중 간접 의존성(Transitive Dependency)까지 포함해 모든 라이선스를 리스트업합니다.
- 상용 배포 여부 및 형태 파악: 해당 소프트웨어가 내부 전용인지, 외부 고객에게 판매·설치되는지, 혹은 SaaS 형태로 제공되는지 배포 방식을 명확히 정의합니다.
- 소스코드 공개 의무 확인: 사용하는 라이선스 중 LGPL, GPL, AGPL 등 전파성 조항이 포함된 라이선스가 있는지 식별하고 격리 조치가 가능한지 검토합니다.
- 고지 문구 및 라이선스 파일 첨부: 빌드된 결과물이나 배포판 패키지에 필요한 저작권 고지와 라이선스 사본이 빠짐없이 포함되도록 자동화 파이프라인을 구축합니다.
흔히 저지르는 실수와 예방 대책
개발 과정에서 편의를 위해 인터넷상담 코드나 오픈소스 스니펫을 무단 복사해 붙여넣는 경우가 많습니다. 이 과정에서 라이선스 정보가 누락되거나 출처를 알 수 없는 코드가 섞이면 나중에 대규모 감사나 라이선스 클레임 대응 시 큰 차질을 빚습니다.
오픈소스 컴플라이언스(Compliance) 도구를 빌드 파이프라인에 연동해, 프로젝트에 포함된 모든 오픈소스와 라이선스 종류를 주기적으로 자동 스캔하는 체계를 마련하는 것이 안전합니다.
자주 묻는 질문
사내 사내 시스템 내부에서만 쓰는 프로그램에도 GPL 코드를 쓰면 소스를 공개해야 하나요?
일반적으로 GPL은 외부로의 ‘배포(Distribution)’를 기준으로 소스 공개 의무를 부과합니다. 사내 인트라넷 등 내부 전용으로만 구동하고 외부로 반출하거나 서비스 형태로 제공하지 않는다면 배포로 해석되지 않아 소스 공개 의무가 면제되는 경우가 많습니다. 다만 라이선스 세부 버전에 따라 해석이 다를 수 있으므로 주의해야 합니다.
오픈소스 라이선스 종류가 너무 많는데 일일이 수동으로 확인해야 하나요?
수동으로 일일이 확인하기는 현실적으로 어렵습니다. 소스코드 빌드 및 배포 단계에서 의존성 라이선스를 자동으로 스캔해 라이선스 위반 여부와 주의 항목을 리포트해주는 오픈소스 라이선스 관리 도구를 활용하는 것이 일반적입니다.
MIT 라이선스와 아파치 2.0 라이선스의 가장 큰 차이점은 무엇인가요?
두 라이선스 모두 사용과 수정, 배포가 자유로운 허용적 라이선스입니다. 다만 Apache 2.0은 저작권 외에 특허권과 관련된 명시적인 조항을 포함하고 있어, 원저작자가 특허 소송을 제기할 수 없도록 권리를 보호하는 장치가 추가되어 있다는 점이 다릅니다.
