8장 license는 scanner 경고가 아니라 배포 의무다

license scanner가 MIT라고 표시해도 package 안의 file별 license나 bundled asset이 다를 수 있다. UNKNOWN은 “문제 없음”이 아니라 조사되지 않음이다. 조직 정책은 법률 자문과 제품 배포 방식에 맞춰 만든다.

일반 절차:

1. component와 실제 배포 여부를 식별한다.
2. SPDX expression을 가능한 범위에서 정규화한다.
3. notice·copyright·source 제공 등 의무를 법무와 분류한다.
4. 배포 package에 notice를 생성한다.
5. 알 수 없거나 상충하는 license는 사람 review로 보낸다.

AI가 생성한 code에 “license 문제 없다”고 단정하게 하지 않는다. 학습 data의 개별 출처를 AI가 증명할 수 없고, 생성 결과가 기존 code와 우연히 유사할 수 있다. 비정상적으로 구체적이고 긴 code가 생성되면 검색과 사람이 검토한다. third-party snippet을 prompt로 넣었다면 원출처와 license를 별도 기록한다.