GCC weigert AI-gegenereerde code boven de 15 regels

GCC, de compiler waarop vrijwel alle Linux- en embedded-software wordt gebouwd, weigert voortaan bijdragen die een taalmodel schreef zodra ze juridisch zwaar genoeg wegen voor auteursrecht. Het stuurcomité legde dat op 29 juli vast.

Voor een Nederlandse devshop of digital agency die Copilot, Codex of Claude laat meeschrijven aan klantcode verschuift daarmee iets heel concreets. Wie een patch terugduwt naar een open-source project waar zijn product op leunt, krijgt nu de vraag waar elke regel vandaan komt. De redenering achter het besluit staat bovendien los van open source: code zonder aanwijsbare menselijke auteur is code die niemand bezit, en wat niemand bezit kun je ook niet licentiëren of overdragen.

Wat er precies is vastgelegd

GCC wijst voortaan alle juridisch significante bijdragen af die LLM-gegenereerde inhoud bevatten of daarvan zijn afgeleid. Die drempel is niet nieuw bedacht: de GNU-richtlijnen rekenen meer dan ongeveer 15 regels code of tekst als juridisch significant voor auteursrecht, en alles daaronder als te klein om een eigen werk te zijn. Zelf een AI-implementatie naderhand herschrijven helpt niet: ook door mensen bewerkte code valt eronder zolang ze van modeloutput is afgeleid.

Drie uitzonderingen staan er tegenover. Kleine, juridisch onbeduidende AI-bijdragen mogen wel, mits ze duidelijk als zodanig gemarkeerd zijn. Testcases mogen zelfs boven de drempel door een model gemaakt zijn. En code die GCC uit andere projecten importeert, zoals libsanitizer, valt buiten het beleid.

De administratie is minstens zo interessant als het verbod. Elke bijdrage met LLM-inhoud moet een Assisted-by:-tag in de commitboodschap krijgen. Alleen een mens mag de Signed-off-by:-tag zetten die het Developer Certificate of Origin bevestigt, alleen een mens mag beslissen dat een bijdrage erin gaat, en een LLM mag niet zelf committen. Het gereedschap zelf blijft toegestaan: onderzoek, analyse, bugs zoeken en melden, patch-review en debuggen mogen, net als schermlezers en spellinghulp, zolang die output niet in de inzending belandt. Het stuurcomité, dat de aanbeveling van zijn eigen AI-werkgroep overnam onder leiding van Jonathan Wakely, herziet het beleid uiterlijk begin 2027.

Waarom een compiler zich hier druk om maakt

Dit gaat niet over codekwaliteit, maar over de licentieketen. De GPLv3 werkt doordat er een auteursrechthebbende is die kan optreden tegen iemand die de code in gesloten software stopt zonder de licentievoorwaarden na te leven. Zit er een stuk in dat niemand bezit, dan valt precies dat handhavingsmechanisme voor dat stuk weg. Apache 2.0, de licentie waaronder LLVM draait, leunt voor handhaving niet op dezelfde manier op eigendom, wat verklaart waarom die concurrerende compiler een soepeler AI-lijn kon kiezen.

De juridische bodem eronder is dezelfde als bij AI-teksten en AI-beelden: auteursrecht ontstaat alleen bij aantoonbare menselijke creativiteit, niet door een tool te gebruiken, ervoor te betalen of te prompten. GCC is het eerste kernproject dat die abstracte regel omzet in een harde drempel in zijn bijdrageproces.

Open source splijt op dit punt

Een eensgezinde beweging is dit niet. Twee weken eerder hield Linus Torvalds de deur voor AI-codeertools in de Linux-kernel juist wijd open en verwees hij voorstanders van een verbod naar de forkknop, met technische waarde als enige maatstaf. Debian koos weer een derde route en legt de vraag aan zijn ontwikkelaars voor: sinds 24 juli loopt een General Resolution met vijf voorstellen, van een volledig verbod tot toestaan met een meldplicht.

Dat is geen detail voor wie software levert. Linux, Debian en GCC zitten samen onder vrijwel elke serverstack in Nederland. Hun regels bepalen straks wat er in de pakketten zit die je zonder nadenken installeert, en welke bewijslast je zelf moet kunnen dragen als je iets teruggeeft.

Waar dit heen wijst

De verschuiving zit niet in het verbod, maar in de bewijsplicht. GCC vraagt niet of je AI gebruikt hebt, GCC vraagt of je per bijdrage kunt aanwijzen wat een model maakte en wat een mens. Die Assisted-by:-regel is in feite herkomstregistratie, samengeperst in één regel commitboodschap, en het is de goedkoopste versie van een controle die een auditor, een rechter of gewoon een kritische klant later kan opvragen.

Daarmee komt de vraag terug op de plek waar hij ook thuishoort in commercieel maatwerk. Wie eigenaar is van de gegenereerde code en van de trainingsdata hoort expliciet in het contract te staan, en dat kun je alleen afspreken als je weet welke regels waar vandaan komen. Het compilerproject dat je software bouwt, heeft nu vastgelegd dat het dat wil weten. De kans is klein dat jouw klanten er lang over doen om hetzelfde te vragen.