Linux och åldersverifiering i Kalifornien kommer äntligen att upphöra att vara ett problem för de flesta distributioner av fri programvara. Kaliforniens lagstiftande församling har antagit ett tillägg som undantar operativsystem som distribueras under licenser som tillåter kopiering, omdistribution och modifiering av programvaran från skyldigheterna i den kontroversiella åldersverifieringslagen.
Beslutet ger betydande lättnader för projekt som Debian, Ubuntu, Fedora, Arch Linux och andra system med öppen källkod, vilka fram till nu kunde ha påverkats av regleringar som främst var utformade för stora teknikplattformar. Den ursprungliga lagen skulle ha krävt att operativsystemleverantörer skulle samla in information om användarnas ålder och tillhandahålla en åldersverifieringssignal till applikationer, ett särskilt problematiskt krav för decentraliserade projekt som underhålls av communities eller volontärer.
Kalifornien godkänner undantag för Linux och fri programvara
Ändringen kommer genom Bill AB 1856 , som omdefinierar begreppet operativsystemleverantör inom Digital Age Assurance Act. Den nya formuleringen utesluter individer och organisationer som distribuerar ett operativsystem under licensvillkor som tillåter mottagaren att kopiera, omdistribuera eller modifiera programvaran.
I praktiken skyddar detta en stor del av Linux-ekosystemet och fri programvara. Distributioner som Debian, Fedora, Ubuntu och Arch Linux skulle vara undantagna från skyldigheten, liksom olika BSD-system som distribueras under licenser som uppfyller de krav som fastställs i den nya formuleringen.
Åtgärden representerar en betydande förändring från den situation som skapades genom den ursprungliga lagen. När Kalifornien antog Digital Age Assurance Act uppstod omedelbart frågor om hur öppen källkod-projekt skulle kunna uppfylla en skyldighet utformad för företag med centraliserade användarkonton och en kommersiell infrastruktur bakom sig.
Den ursprungliga lagen kunde kräva att användarens ålder samlas in.
Digital Age Assurance Act, tidigare AB 1043, inrättar ett ålderssignaleringssystem som är utformat för att göra det möjligt för appar och tjänster att fastställa en användares åldersintervall. Lagstiftningen lägger en betydande del av detta ansvar på operativsystemleverantörer och appbutiker.
Systemet kräver att åldersinformation samlas in under den initiala enhetens installation och att en signal som motsvarar ett av de etablerade åldersintervallen tillhandahålls när en applikation begär det. Lagen är planerad att träda i kraft den 1 januari 2027.
För företag som Apple, Microsoft eller Google kan den här modellen förlita sig på deras konton, appbutiker och centraliserade infrastruktur. Att tillämpa samma krav på ett projekt som Debian eller Arch Linux medförde dock helt andra problem.
Det stora problemet var Linux decentraliserade natur
Många Linuxdistributioner fungerar inte som traditionella kommersiella produkter. Det finns inte nödvändigtvis ett företag som kontrollerar varje installation, ett obligatoriskt konto för varje användare eller en centraliserad infrastruktur som kan verifiera åldern på dem som laddar ner och installerar systemet.
Detta gjorde det särskilt svårt att avgöra vem som var ansvarig för att uppfylla juridiska skyldigheter. I vissa projekt utvecklas och distribueras programvaran av internationella volontärgrupper, medan bilderna kan replikeras, modifieras och distribueras vidare av tredje part.
Idén att kräva att den här typen av projekt skulle skapa ett åldersverifieringssystem väckte betydande oro inom fri mjukvarugemenskapen. Frågan var inte bara teknisk, utan även ekonomisk och juridisk: att upprätthålla ett sådant system kan kräva infrastruktur, behandling av personuppgifter och resurser som många samhällsprojekt helt enkelt inte har.
Undantaget skyddar licenser som tillåter kopiering och modifiering
Den godkända texten fastställer distributionsvillkoren för programvaran som ett grundläggande element. Om licensen tillåter kopiering, omdistribution och modifiering av systemet, faller dess distributör utanför motsvarande definition som används i föreskrifterna.
Detta täcker de väsentliga funktionerna i många av de mest använda licenserna inom fri och öppen källkodsprogramvara. Förändringen gynnar således inte bara en specifik distribution, utan en hel utvecklingsmodell baserad på möjligheten att studera, modifiera och omdistribuera programvara.
Beslutet förhindrar att projekt behöver implementera centraliserade datainsamlingssystem enbart för att följa kalifornisk lag. Det minskar också sannolikheten för att en lag som är utformad för att skydda minderåriga skulle lägga en oproportionerlig börda på utvecklare som inte har en direkt kommersiell relation med varje användare.
Situationen gällande beroenden och tillägg klargörs också.
Det godkända tillägget är inte begränsat till operativsystem. Den nya texten förtydligar även olika aspekter relaterade till distributionen av programvarukomponenter.
Bibliotek och beroenden som distribueras via pakethanterare som APT eller Pacman ingår inte längre i definitionen av applikationer som erbjuds som fristående körbara filer via en butik som omfattas av reglerna.
Detta är särskilt relevant för Linux, där en stor mängd programvara distribueras just genom repositories och pakethanterare. Utan detta förtydligande skulle varje enskild komponent kunna bli en ny källa till tvivel om utvecklarnas juridiska skyldigheter.
Butiker som distribuerar tillägg avsedda att köras i en värdapplikation faller också utanför vissa rättsliga skyldigheter.
Lagstiftningen korrigerar även andra problem med den ursprungliga lagen.
Kaliforniens ändringsförslag inför ytterligare ändringar som är avsedda att åtgärda vissa problem som identifierades i den ursprungliga formuleringen. En av dessa tar bort en användardefinition som skulle kunna leda till särskilt problematiska tolkningar av vem som ska betraktas som minderårig inom systemet.
Lagstiftningen inkluderar även skydd för plattformar och utvecklare som agerar i god tro när en åldersindikator är felaktig. Denna typ av bestämmelse kan vara viktig eftersom system för åldersverifiering och uppskattning inte är ofelbara.
Dessutom begränsar den nya formuleringen möjligheten att begära en åldersverifieringssignal från en operativsystemleverantör eller appbutik när det inte uttryckligen krävs enligt lag. Syftet är att förhindra att denna mekanism används som en ytterligare kanal för att samla in användarinformation för andra ändamål.
SteamOS kan fortfarande vara i en gråzon
Det nya undantaget löser många av de tvivel som finns kring traditionella Linuxdistributioner, men det finns fortfarande några oklara fall. Ett av de mest intressanta är SteamOS.
Valves system är byggt på komponenter med öppen källkod och använder en bas relaterad till Arch Linux, men det distribueras tillsammans med proprietär programvara och är nära kopplat till Steam, en kommersiell plattform med en centraliserad infrastruktur.
Av denna anledning kan det finnas en juridisk skillnad mellan en helt öppen distribution och en Linuxbaserad produkt som kombinerar gratis komponenter med proprietära tjänster och programvara. Den slutliga tillämpningen av undantaget på dessa system kan bero på hur myndigheterna tolkar den specifika distributionsmodellen.
Hybriddistributioner kan också väcka frågor
En annan potentiell osäkerhetspunkt påverkar system som kombinerar fri programvara med proprietära komponenter. Många distributioner inkluderar firmware, drivrutiner eller blobbar som inte distribueras under samma villkor som resten av systemet.
Den nya lagstiftningen skyddar tydligt de som distribuerar programvara under licenser som tillåter kopiering, omdistribution och modifiering, men situationen kan vara mer komplex när en installationsavbildning innehåller element med olika licensvillkor.
Detta betyder inte nödvändigtvis att all hybriddistribution kommer att omfattas av lagen. Dessa fall kan dock kräva specifik tolkning baserat på det exakta sättet produkten distribueras och vilken enhet som juridiskt sett anses vara dess leverantör.
Samhällets reaktion var avgörande
Påtryckningar från fri mjukvarugemenskapen spelade en betydande roll i utvecklingen av denna fråga. Den ursprungliga lagens potentiella inverkan påpekades snabbt av utvecklare och organisationer som arbetar för att försvara digitala rättigheter.
Den största oron var att en sådan skyldighet skulle gynna stora plattformar som kan absorbera kostnaden för nödvändig infrastruktur, medan små, decentraliserade projekt skulle hamna i en praktiskt taget omöjlig situation att hantera.
I den meningen erkänner Kaliforniens tillägg en grundläggande skillnad mellan ett företag som kontrollerar ett operativsystem och ett nätverk som publicerar programvara som vem som helst kan kopiera, modifiera och omdistribuera.
Undantaget löser inte problemet utanför Kalifornien
Även om beslutet representerar en betydande seger för Linux och fri programvara är situationen långt ifrån löst internationellt. Olika stater och länder utvecklar sina egna regler relaterade till åldersverifiering och skydd av minderåriga online.
Ett undantag enligt kalifornisk lag gäller inte automatiskt i andra jurisdiktioner. Ett projekt med fri programvara kan skyddas från en specifik skyldighet i Kalifornien medan det står inför andra krav på andra marknader.
Detta tvingar utvecklare av internationella projekt att noggrant övervaka regelutvecklingen. Den globala karaktären av fri programvara kan kollidera med ett landskap där varje land eller stat etablerar olika mekanismer för verifiering, databehandling och ansvar.
Linux undviker en börda som skulle ha förändrat dess distributionsmodell
Godkännandet av undantaget undviker ett av de scenarier som har skapat mest oro i gemenskapen. Om Linuxdistributioner hade varit tvungna att samla in användarnas ålder som ett villkor för att följa kalifornisk lag, hade många projekt kanske tvingats införa mekanismer som var helt främmande för sin traditionella modell.
Skapandet av obligatoriska konton, lagring av åldersrelaterad information eller införandet av centraliserade tjänster skulle ha inneburit en djupgående förändring för projekt som byggts kring decentralisering och möjligheten att fritt ladda ner och modifiera programvara.
Lagändringen erkänner äntligen denna skillnad och inrättar ett undantag baserat just på de grundläggande friheterna med öppna licenser. För större Linuxdistributioner innebär beslutet en betydande lättnad innan Digital Age Assurance Act träder i kraft.
En stor seger för fri programvara
Undantaget som godkänts av Kalifornien eliminerar inte debatten om åldersverifiering och löser inte heller spänningarna mellan integritet, barnskydd och digital reglering. Det förhindrar dock att en regel som främst är utformad för stora plattformar inför betungande skyldigheter för öppen källkodsprojekt.
För Linux innebär förändringen att man kan behålla den distributionsmodell som har definierat ekosystemet i årtionden. Debian, Fedora, Ubuntu, Arch Linux och andra projekt kommer inte att behöva omvandlas till centraliserade datainsamlingsplattformar för att följa en lag som i sin ursprungliga lydelse inte tillräckligt åtskilde mellan ett stort teknikföretag och en global gemenskap av utvecklare.
Med antagandet av AB 1856 representerar Linux och åldersverifiering i Kalifornien inte längre, åtminstone för de flesta distributioner med öppen källkod, den regulatoriska konflikt som de en gång gjorde. Lagen behöver fortfarande slutföra sin formella lagstiftningsprocess, men ändringen representerar redan en betydande seger för fri programvara och för idén att teknikreglering måste beakta skillnaderna mellan stora kommersiella tjänster och decentraliserade projekt med öppen källkod.