Ілінойс змусив Linux перевіряти вік користувачів: коли закон не розуміє, як працює відкритий код

Штат Іллінойс ухвалив закон про перевірку віку, під формулювання якого потрапляє операційна система Linux. Не сайт, не застосунок, не соцмережа — ядро, на якому працюють мільярди серверів, роутерів і телефонів по всьому світу. Проблема не в тому, що законодавці хотіли зарегулювати Linux. Вони навіть не знали, що можуть.

Як текст закону з'їв те, чого не мав чіпати

Закони про age verification пишуть під конкретну мішень: порносайти, соцмережі, ігрові платформи. Але юридична мова любить широкі означення — «будь-який оператор, що надає доступ до контенту користувачам штату». Коли таке означення не має технічного запобіжника, воно накриває все, що технічно підпадає під слова.

Linux нікому «не надає доступ» у сенсі, який мали на увазі автори. Це фундамент, поверх якого хтось інший будує сервіс. Але формально дистрибутив можна витлумачити як компонент, що уможливлює доступ до контенту. А відкритий проєкт не має юридичної особи, яка сплатить штраф, найме комплаєнс-відділ чи впровадить перевірку паспортів. Є тисячі волонтерів у десятках країн, які пишуть код безкоштовно.

Тут закон і ламається об реальність. Регулятор звик до моделі «є компанія — є на кого тиснути». Open source цю модель не має за визначенням. Штраф нема кому виставити, а зобов'язання нема кому виконати.

Чому це стосується Diia і не тільки

Україна будує цифрову державу на відкритих компонентах. Diia.ua, реєстри, e-Government — усе це стоїть на Linux, PostgreSQL, nginx, тисячах бібліотек з відкритим кодом. Це не політичний вибір, а інженерна норма: закритий стек для держави означає залежність від одного постачальника і неможливість аудиту.

Тепер уявіть закон про верифікацію віку чи «захист даних», написаний українським депутатом так само широко, як іллінойський. Формулювання «оператор програмного забезпечення, що обробляє дані користувачів» здатне зачепити не лише сервіс держави, а й кожен open source компонент усередині нього. Розробник бібліотеки з Польщі чи Індії не підписувався виконувати вимоги українського закону — він просто виклав код під вільною ліцензією.

Наслідок конкретний: проєкти починають блокувати юрисдикцію замість того, щоб ризикувати. Саме так американські порносайти вже вимикаються в цілих штатах. Якщо український закон налякає мейнтейнерів, вони не судитимуться — вони просто напишуть у ліцензії «not for use in Ukraine» або перестануть приймати баг-репорти звідси. Держава, що будує сервіси на цьому коді, залишиться з дірою в фундаменті.

Чек-лист, щоб не зламати open source законом

• Означуйте суб'єкта через контроль, а не через технологію. Зобов'язання має падати на того, хто керує сервісом і отримує з нього вигоду, — не на автора компонента всередині.
• Прив'яжіть до порогу. Обов'язки для оператора з мільйоном користувачів і для волонтерського проєкту не можуть бути однаковими. Немає порогу — закон накриває всіх.
• Явно виведіть із-під дії безкоштовне ПЗ без комерційного оператора. Один пункт-виняток рятує весь екосистемний код.
• Показуйте чернетку інженерам до голосування. Той, хто читає код, за годину бачить те, чого юрист не побачить ніколи.
• Штраф має бути адресним. Якщо порушника неможливо визначити, норма або мертва, або б'є навмання.

Іллінойс показав ціну одного недбалого означення: закон, спрямований на захист дітей, юридично зачепив систему, яка тримає інтернет. Цифровий закон, написаний без інженера в кімнаті, — це не помилка виконання. Це помилка в самому тексті, і виправляти її доведеться тим, хто на цьому коді працює.