Une avocate spécialisée dans l'open source donne son point de vue sur la plainte contre GitHub Copilot

L'assistant de programmation basé sur l'IA

GitHub Copilot est un outil d'intelligence artificielle basé sur le cloud développé par GitHub et OpenAI pour aider les utilisateurs des environnements de développement intégrés Visual Studio Code, Visual Studio, Neovim et JetBrains en complétant automatiquement le code. Matthieu Butterick, qui porte les casquettes d'écrivain, designer, développeur et avocat, a évoqué en juin 2022 les problèmes juridiques liés au fonctionnement de GitHub Copilot, « en particulier sa mauvaise gestion des licences open source ». Récemment, il a revêtu sa casquette d'avocat pour s'associer à des confrères plaideurs en recours collectif. Ensemble, ils ont enquêté sur une poursuite potentielle contre GitHub Copilot pour violation de ses obligations légales envers les auteurs open source et les utilisateurs finaux. Au terme de cette enquête lancée en octobre, ils ont déposé une plainte contre GitHub Copilot.

Kate Downin, une avocate spécialisée dans l'open source, a donné son point de vue sur la plainte en question. En somme, elle explique que les utilisateurs de Github accordent une licence spéciale à GitHub, qui contourne la licence d'origine. Cependant, si cela est vrai, tout téléchargement (upload) de code dont les utilisateurs n'ont pas le contrôle à 100% du droit d'auteur est alors une violation du droit d'auteur puisque l'utilisateur n'aurait pas le pouvoir d'accorder à Github cette licence spéciale. Ce serait similaire à un utilisateur téléchargeant (upload) un film protégé par des droits d'auteur sur YouTube, et Google l'utilisant comme licence pour se servir du film dans une publicité par exemple.

GitHub Copilot, qu'est-ce que c'est ?

Copilot a été lancé en fin juin après une Preview technique d'un an, promettant de faire gagner du temps en répondant au code des utilisateurs par ses propres suggestions intelligentes. Ces suggestions sont basées sur des milliards de lignes de code public dont les utilisateurs ont publiquement contribué à GitHub, en utilisant un système d'IA appelé Codex de la société de recherche OpenAI.

GitHub décrit Copilot comme l'équivalent IA de la « programmation en paire », dans laquelle deux développeurs travaillent ensemble sur un seul ordinateur. L'idée est qu'un développeur peut apporter de nouvelles idées ou repérer des problèmes que l'autre développeur aurait pu manquer, même si cela nécessite plus d'heures de travail.

Dans la pratique, cependant, Copilot est plutôt un outil utilitaire de gain de temps, qui intègre les ressources que les développeurs devraient autrement chercher ailleurs. Lorsque les utilisateurs saisissent des données dans Copilot, l'outil leur suggère des extraits de code à ajouter en cliquant sur un bouton. Ainsi, ils n'ont pas à passer du temps à chercher dans la documentation de l'API ou à rechercher des exemples de code sur des sites spécialisés.


Un réseau neuronal dans GitHub Copilot est entraîné à l'aide de volumes massifs de données, constituées du code : des millions de lignes téléchargées par les 65 millions d'utilisateurs de GitHub, la plus grande plateforme au monde permettant aux développeurs de collaborer et de partager leur travail. Le but est que Copilot en apprenne suffisamment sur les modèles de code pour pouvoir faire du hacking lui-même. Il peut prendre le code incomplet d'un partenaire humain et terminer le travail en ajout les parties manquantes. Dans la plupart des cas, il semble réussir à le faire. GitHub prévoit de vendre l'accès à l'outil aux développeurs.

Comme pour la plupart des outils d'IA, GitHub souhaite également que Copilot devienne plus intelligent au fil du temps en fonction des données qu'il collecte auprès des utilisateurs. Lorsque les utilisateurs acceptent ou rejettent les suggestions de Copilot, son modèle d'apprentissage automatique utilisera ce retour d'information pour améliorer les suggestions futures, de sorte que l'outil deviendra peut-être plus humain à mesure qu'il apprendra.

Matthew Butterick a décidé de porter plainte contre GitHub Copilot aux côtés d'avocats spécialisés dans le recours collectif

Le point de vue d'une avocate au sujet de la plainte

La plainte est fascinante, car la seule chose qu'elle n'allègue pas est la violation du droit d'auteur. La plainte anticipe explicitement une défense d'utilisation équitable sur ce front et tente d'éviter toute cette question principalement en portant plainte en vertu du Digital Millennium Copyright Act, centrée sur l'article 1202, qui interdit de dépouiller les œuvres protégées par le droit d'auteur de diverses informations liées au droit d'auteur. La plainte comprend également d'autres réclamations liées à :

• la rupture de contrat liée aux licences open source dans les dépôts GitHub individuels (encore une fois, pas une réclamation de droit d'auteur)
• l'ingérence délictuelle dans une relation contractuelle (en omettant de donner aux utilisateurs de Copilot les informations de licence appropriées auxquelles ils pourraient se conformer)
• la fraude (relative aux mensonges présumés de GitHub dans leurs conditions d'utilisation et leur politique de confidentialité sur la façon dont le code sur GitHub ne serait pas utilisé en dehors de GitHub)
• l'inversion de la substitution en vertu de la loi Lanham (pour avoir prétendument amené les utilisateurs de Copilot à croire que la sortie générée par Copilot appartenait à Copilot)
• l'enrichissement sans cause (vaguement pour tout ce qui précède)
• la concurrence déloyale (vaguement pour tout ce qui précède)
• la rupture de contrat liée à la violation présumée par GitHub des dispositions relatives aux données personnelles dans leurs conditions d'utilisation et leur politique de confidentialité
• la violation de la California Consumer Privacy Act (CCPA) en relation avec la prétendue violation par GitHub des dispositions relatives aux données personnelles dans leurs conditions d'utilisation et leur politique de confidentialité
• la négligence – traitement négligent des données personnelles
• le complot civil (vaguement pour tout ce qui précède)

Évaluation des réclamations

L'absence de revendication de droit d'auteur ici est très intéressante. La première pensée qui vient à l'esprit est que la plupart des gens qui ont du code sur GitHub ne prennent pas la peine d'enregistrer officiellement leurs droits d'auteur auprès du Bureau du droit d'auteur, ce qui signifie qu'en vertu de la Loi sur le droit d'auteur, bien qu'ils aient un droit d'auteur, ils n'ont pas le droit de faire valoir leur droit d'auteur devant les tribunaux. Parce qu'il s'agit d'un recours collectif, du moins en ce qui concerne une plainte pour violation du droit d'auteur, les avocats des plaignants auraient eu du mal à identifier les plaignants avec des droits d'auteur enregistrés et le groupe de plaignants dans le groupe serait considérablement réduit - probablement d'environ 99 %. Il existe cependant d'autres raisons de ne pas vouloir plaider une défense d'utilisation équitable. Un tel litige est extrêmement factuel, pour commencer. Il convient de noter que même si une entreprise motivée par les incitations financières qui accompagnent les recours collectifs peut ne pas vouloir intenter une action en violation du droit d'auteur, cela n'empêche certainement pas les personnes ayant d'autres motivations de porter une telle action. Sans la revendication de droit d'auteur, toute participation dans ce procès ne sera certainement pas la pierre angulaire vers laquelle les avocats se tourneront lorsqu'ils évalueront les risques juridiques liés à l'apprentissage automatique (ML).

L'autre élément qui semble étrange ici est que la plainte semble mal interpréter les conditions d'utilisation (ToS) de GitHub. Les conditions d'utilisation, comme toutes les conditions de service bien rédigées, identifient spécifiquement "GitHub" comme incluant tous ses affiliés (comme Microsoft) et les utilisateurs de GitHub accordent à GitHub le droit d'utiliser leur contenu pour exécuter et améliorer le "Service". Les conseillers en produits diligents ne seront pas surpris d'apprendre que « service » est défini comme tout service fourni par « GitHub », c'est-à-dire y compris tous les affiliés de GitHub. Alors que les profanes pourraient être surpris de savoir que publier du code sur GitHub permet en fait à un réseau géant d'entreprises d'utiliser leur code à des fins connues et inconnues, légalement, le ToS est clair sur ce point. Une allégation de fraude plus convaincante aurait été centrée sur les supports marketing de GitHub (le cas échéant) autour de l'utilisation par GitHub du code uniquement « pour GitHub ».

Presque toutes les réclamations dans cette plainte reposent sur l'idée que les seuls utilisateurs de licence de GitHub accordés à GitHub sont la licence open source sous laquelle ils ont publié leur code et il n'y a aucune mention de la licence que les utilisateurs de GitHub accordent à GitHub dans le ToS. Étant donné qu'un nombre non négligeable de dépôts GitHub ne contiennent aucune information de licence, la position des plaignants est qu'en l'absence d'une licence OSS, il n'y a ni licence dans le ToS ni aucune licence implicite permettant à GitHub d'héberger le code ? Ce serait une position étrange à prendre, d'autant plus que GitHub n'a commencé que récemment à inviter les utilisateurs à ajouter des informations de licence à leurs dépôts - ce n'est certainement jamais un champ obligatoire - et fondamentalement, chaque site Web commercial prend une licence pour le contenu utilisateur via leurs termes de service dans plus ou moins le même langage que GitHub. Il serait particulièrement étrange de prétendre qu'un utilisateur pourrait mettre n'importe quelle disposition de licence dans son dépôt et que GitHub devrait tirer l'intégralité de son droit d'héberger et d'utiliser autrement le code d'une licence invisible. Cela sonne un peu comme les "mèmes" Facebook d'antan promettant aux utilisateurs que s'ils copient et collent simplement ces phrases magiques sur leur calendrier, alors Facebook ne pourra pas faire quelque chose ou autre avec leurs données ou leurs comptes.


Impact

Dans l'ensemble, on ne sait pas ce que les plaignants (le groupe réel, pas les avocats) gagneraient réellement à forcer Copilot à afficher les informations de licence pour toutes ses suggestions protégées par le droit d'auteur. En imaginant un monde où cela est possible et facile, est-ce qu'un titulaire de droits d'auteur se sent mieux en sachant qu'un produit commercial est associé à son nom dans un fichier d'attribution d'un million de pages ? Les attributions de milliers de pages sont déjà courantes, même sans l'utilisation de Copilot sur presque tous les fichiers. Bien sûr, ce type d'informations n'est pas vraiment facile à fournir. En pratique, pour une suggestion donnée, il est fort probable qu'elle provienne de plusieurs sources différentes. Les demandeurs eux-mêmes décrivent Copilot comme fondant ses suggestions sur les approches les plus courantes. À qui revient le crédit si des milliers de personnes ont écrit cette fonction particulière de cette manière particulière (même si nous supposons qu'elle est suffisamment détaillée pour être protégée par le droit d'auteur) ? Les créditer tous est-il utile ou pratique ? Qui décide si une suggestion est réellement nouvelle ou dérivée d'un autre code et quelles mesures doivent être utilisées pour décider cela sur une échelle de millions de suggestions par jour ? La loi ne fournit pas de réponses claires à ces questions ; les experts du Bureau du droit d'auteur réfléchissent souvent à ces questions pendant des mois pour une seule œuvre protégée par le droit d'auteur et même cette décision est souvent annulée par les tribunaux. En pratique, même si GitHub voulait fournir toutes les informations de licence pertinentes pour une suggestion donnée, cela est probablement impossible dans la plupart des cas.

Si l'on en croit GitHub, Copilot ne régurgite des extraits de code exacts à partir des données d'entraînement que 1 % du temps. Une partie de ce 1 % est certainement constituée d'extraits non protégés par le droit d'auteur. Ainsi, les plaignants demandent essentiellement une attribution pour moins de 1 % des suggestions Copilot. La plainte prévoit à plusieurs reprises que toute réclamation gagnante découlera de ce 1%. Bien sûr, les titulaires de droits d'auteur concernés ont des droits, mais il ne s'agit pas exactement d'un "litige à fort impact". Cela ressemble beaucoup plus à la pêche à la traîne si une technologie par ailleurs incroyablement utile et stimulant la productivité est bloquée par des personnes qui souhaitent recevoir des paiements pour un manque d'attributions dénuées de sens.

La plupart des plaintes ouvertes sont liées à une attribution OSS incorrecte, mais curieusement, une seule ligne est consacrée à l'idée que le modèle Copilot lui-même est en fait soumis à peut-être certaines des licences du code sous-jacent et devrait en fait être open source. Si l'objectif de la plainte était d'avoir un impact significatif sur l'avenir de l'IA et du ML, alors ce serait vraiment le nœud de la plainte car ce serait un argument selon lequel les modèles de ML sont protégés par le droit d'auteur (c'est une question très controversée), que les modèles ML sont des œuvres dérivées des données de formation (c'est vraiment spécifique aux faits en fonction de la façon dont le modèle fonctionne réellement et peut-être aussi un grand bourbier philosophique), et que la sortie du modèle ML est protégée par le droit d'auteur (également très controversé parce que le Bureau du droit d'auteur n'enregistrera pas les droits d'auteur des non-humains aujourd'hui, selon leur interprétation de la Copyright Act). L'effet pratique serait probablement qu'au moins dans l'espace logiciel, le monde verrait au moins un modèle ML sous licence copyleft (ce qui pourrait ne profiter à personne si le modèle lui-même est toujours hébergé et jamais distribué et donc les propriétaires du modèle n'ont aucune obligation de partager son code source).

Mais en dehors de l'espace logiciel, où les licences open source ne prolifèrent pas et où les données de formation peuvent ne pas être du tout soumises au droit d'auteur (comme les données de formation qui sont purement des données ou qui sont dans le domaine public), cela peut créer un précédent que ML/ Les modèles d'IA devraient être protégés par le droit d'auteur, et les propriétaires d'un modèle pourraient potentiellement bloquer le développement d'un modèle similaire, bloquant ainsi les connaissances qu'un tel modèle pourrait produire sur un domaine entier de tout le monde, sauf les toutes premières personnes à créer un modèle pour cela domaine. Ou pire, la reconnaissance du droit d'auteur dans le modèle conduit à la reconnaissance du droit d'auteur dans la sortie et maintenant les humains peuvent être poursuivis pour violation des droits d'auteur liés au contenu généré par l'IA, qui peut être généré à grande échelle en très peu de temps sans aucun effort humain. Sous la bannière «ouverte», cette action en justice et d'autres similaires contribuent en fait à ouvrir la voie à une plus grande reconnaissance des droits de propriété dans une catégorie d'œuvres plus large, pas moins.

Source : Kate Downing

Et vous ?

Que pensez-vous du point de vue de Kate Downing ?