編按：本文綜合整理自 Tom’s Hardware、加州議會官方記錄、Electronic Frontier Foundation（EFF）、Hacker News 社群討論，並加入 Siami 編輯部觀點與分析。
加州議會於 8 月 21 日由參議院修正、26 日以 39 比 0 票數通過 AB 1856 號法案修正案，27 日由眾議會以「concur vote」無異議接受這些修正，正式將開放源碼作業系統與以 GPL、MIT、BSD、Apache 等授權釋出的軟體，排除於加州《數位年齡保證法》（Digital Age Assurance Act，AB 1043）的年齡驗證義務之外。法案已送交州長 Gavin Newsom 簽署。這項修正為 Debian、Fedora、Ubuntu、Arch、整個 BSD 家族等開源發行版，畫出清楚的合規紅線。
法案修正重點：哪些軟體被豁免
這次修正案重新定義了「作業系統提供者」（operating system provider），排除任何依「允許接收者複製、再散布、修改軟體」之授權條款散布作業系統或應用程式的人或實體。任何在 GPL、MIT、BSD、Apache 等自由軟體授權下發布的軟體，都自動符合這個標準。
具體豁免範圍包含三大類：
- 自由開源作業系統：Debian、Fedora、Ubuntu、Arch、FreeBSD、OpenBSD、NetBSD 等整個家族都被排除在 AB 1856 適用範圍之外。
- 函式庫與套件依賴：透過 apt、pacman、dnf 等套件管理器散布的函式庫與相依套件，因不是「在受規範應用程式商店以獨立可執行檔方式提供給消費者」，同樣不在「應用程式」定義內。
- 瀏覽器擴充套件商店：僅在宿主應用程式內執行的擴充與附加元件商店，列為第三類豁免對象。
AB 1856 並未明文規定「軟體套件庫不算應用程式商店」，但商店在法案下的主要義務是「向使用者的作業系統提供者請求年齡訊號並傳給開發者」；被豁免的開源作業系統本身不會產生任何訊號，因此實務上等於套件庫不需承擔此義務。
修正案連帶修掉的法律瑕疵
除了豁免開源 OS 之外，議員們也順手修掉了原 AB 1043 法案中兩個明顯的邏輯漏洞：
- 「使用者」定義的矛盾：原條文將「使用者」定義為「身為裝置主要使用者的兒童」，這在技術上把所有加州裝置持有人都歸類為兒童。由於法案訊號框架仰賴成年人在帳號設定時主動聲明年齡（裝置會被標記為 18+），按這個定義就永遠不會有人被標為成年人。修正案刪除了這條定義。
- 年齡 API 濫用防堵：修正案新增條款，禁止任何人在「法律未強制要求」的情況下，向作業系統提供者或應用程式商店請求年齡訊號。這避免了原本可能被當作「通用資料收集管道」的 API，即使在不需要年齡驗證的情境下也被迫收集使用者資料。
另外，平台與開發者對錯誤年齡訊號擁有「善意安全港」（good-faith safe harbor），當年齡判讀出錯時不需承擔法律責任。
誰仍受規範？三大作業系統 + 不確定的灰色地帶
Windows、macOS、iOS、Android 仍完整落在法案規範之內，須在 2027 年 1 月 1 日起的帳號設定流程中收集使用者年齡；在 1 月 1 日之前設定完成的裝置，則有較晚的 2027 年 7 月 1 日截止日。
幾個值得追蹤的灰色地帶：
- SteamOS：Arch 底層系統元件是開源，但 Valve 與專有 Steam 客戶端一同散布整個映像檔。SteamOS 是否完全豁免，目前仍不明朗。
- GrapheneOS：今年 3 月曾表態拒絕遵守年齡驗證強制令，由於其以 MIT 與 Apache 授權散布，現在已完全落在 AB 1856 豁免範圍之外。但巴西的《數位兒童年齡驗證法》（Digital ECA）仍對其有適用力。
- 混合型裝置：使用者自行安裝開源作業系統、但透過受規範的應用程式商店（如 Google Play）取得應用程式時，年齡驗證義務歸屬仍是模糊地帶。
立法背景：EFF 與開源社群的兩年抗戰
這項豁免並非天上掉下來。原始的《數位年齡保證法》（AB 1043）由加州議員 Buffy Wicks 提出，於去年 10 月由州長 Newsom 簽署生效，要求所有作業系統與應用程式商店建立「年齡分級系統」。
EFF 在今年 5 月的「One Step Forward, Two Steps Back」文章中明確指出，AB 1043 的年齡分級機制是「言論審查的配方」：對存取合法言論設下不必要的違憲障礙、威脅匿名權、迫使線上服務收集高價值的個人資料庫。法案同時將年齡驗證義務擴展到「瀏覽器與網站」，連非作業系統層級的存取都要被納入規範。
「AB 1856 雖然擴張了法案的觸及範圍，但同時也回應了 EFF 與開源社群對強制 OS 層級收集年齡的強烈反彈。這是個有意義的改善，但開源作業系統被併入商業產品時如何適用？法案在『作業系統提供者』定義下的豁免條款，還需要更明確的應用範圍。」—— EFF Deeplinks 立場整理
Buffy Wicks 於今年 2 月正式提出豁免修正案，呼應來自 Linux 開發者與 EFF 的批評。從法案通過的時程與罕見的 39-0 全票同意來看，加州議會兩黨對「不該把開放源碼社群當作年齡驗證的執法代理人」這點，已有高度共識。
為什麼這件事重要
這次修法表面上只是「技術性豁免」，實際上卻是「政府能否以保護兒少之名，把年齡驗證義務強加在開源社群頭上」這個問題的明確答案。
加州《數位年齡保證法》原訂 2027 年 1 月 1 日生效，若無這次修正，所有 Linux 發行版、Debian/Ubuntu/Fedora 社群、Arch Wiki 文件站都得被迫在某個時間點實作「作業系統層級的年齡收集」——這對開源社群的開發成本、打擊盜版的隱私代價都是毀滅性的，更別提 systemd 開發者先前已為了「Birthdate field」議題吵得沸沸揚揚。
更深一層的訊號是：當大型商業平台（Google、Meta、Microsoft、Steam）都有完整法務與工程資源配合法案時，唯有開源社群與小型開發者沒有「為 6 千美元一次違規罰款」設計複雜合規系統的餘力。法案若不主動排除 OSS，等於變相懲罰自願維護公共技術基礎建設的社群。
從政策面來看，這個 39-0 票數傳遞出一個訊息：自由開源軟體不只是程式碼授權問題，而是公共基礎建設議題。當雲端服務、桌面作業系統、AI 推論引擎越來越集中於少數公司時，加州議會選擇讓「使用者可以隨時離開到開源 OS」這條路保持暢通，這對未來十年的數位主權與隱私自主權，是結構性的保障。
數據解讀與質疑
從公開資料來看，AB 1856 修正案至少浮現三個值得追蹤的訊號：
- 「使用者」定義錯誤暴露立法品質問題：把所有人預設為兒童、讓成年人永遠無法被標記——這種寫法能在加州議會通過初審，直到開源社群抗議後才修掉，代表法案起草時的技術想像極為粗略。EFF 文章已點出整個「年齡訊號 API」框架從設計階段就有結構性問題。
- 混合散布 OS 的灰色地帶：SteamOS（Arch + 專有 Steam）、Debian + Google Play 這類「自願安裝開源 OS 但從受規範商店下載應用」的情境，法案文字並未明確處理。實務上可能需要靠 AB 1856 的「作業系統提供者」定義再去打官司釐清，這對小型開源專案是高風險。
- 國際擴散訊號：Hacker News 與 Reddit 上多位高階討論者指出，加州 AB 1043 / AB 1856 已成為其他州（伊利諾 HB5511）與聯邦層級類似立法的參考範本。一旦這個「作業系統層級年齡收集」框架被美國其他州複製採用，開源社群面對的將不是單一州的合規問題，而是整個美國市場的連鎖壓力。
Siami 編輯部觀點：這次 39-0 票數通過的「Linux 豁免」，某種意義上是 EFF 與開源社群兩年倡議的實質勝利，但法案本身的擴張（瀏覽器與網站也被納入）才是真正的戰場。對 GrapheneOS、SteamOS、混合型裝置的適用邊界，後續司法與行政解釋仍有得吵。值得關注的下一個戰役是：其他州是否會跟進加州的「作業系統豁免」設計？如果聯邦層級的類似立法也納入相同條款，這將是開源社群在 AI 監管時代的第一場結構性勝利。
網友熱門留言 (5)