Lisensi Open Source untuk Developer dan Vibe Coder: Jawaban atas Pertanyaan yang Benar-Benar Kamu Tanyakan

Proyekmu hari ini mungkin berisi ratusan paket dari npm install atau pip install, potongan kode dari Stack Overflow, dan separuh fungsi yang ditulis Cursor, Copilot, atau Claude. Semuanya jalan. Pertanyaannya baru muncul saat kamu mau menjual produknya, membuka repo-nya ke publik, atau ada investor yang melakukan due diligence: apakah semua kode ini memang boleh kamu pakai dengan cara seperti ini?

Artikel ini menjawab pertanyaan yang benar-benar ditanyakan developer dan vibe coder di forum, issue GitHub, dan grup komunitas, bukan sekadar daftar isi lisensi. Setiap bagian dimulai dengan jawaban singkat, lalu alasannya.

Catatan penting: ini penjelasan teknis untuk engineer, bukan nasihat hukum. Untuk kontrak, akuisisi, atau sengketa, tanyakan ke konsultan hukum yang paham kekayaan intelektual.

Peta singkat: lima keluarga lisensi

Hampir semua lisensi yang kamu temui masuk ke salah satu keluarga ini. Kolom terpenting adalah apa yang memicu kewajiban.

Keluarga	Contoh	Kewajiban utama	Dipicu saat
Permisif	MIT, BSD-2/3-Clause, ISC, Apache-2.0	Sertakan teks lisensi dan copyright. Apache-2.0 menambah file NOTICE, catatan perubahan, dan lisensi paten.	Kamu mendistribusikan kodenya
Copyleft lemah	LGPL-2.1/3.0, MPL-2.0	Perubahan pada library (LGPL) atau file (MPL) itu sendiri harus dibuka. Kodemu sendiri boleh tetap tertutup.	Distribusi
Copyleft kuat	GPL-2.0, GPL-3.0	Karya turunan yang kamu distribusikan harus dibuka dengan lisensi GPL juga.	Distribusi
Copyleft jaringan	AGPL-3.0	Seperti GPL, ditambah: pengguna yang memakai versi modifikasi lewat jaringan berhak atas source code-nya.	Distribusi atau menyajikan versi modifikasi lewat jaringan
Source-available (bukan open source)	BSL 1.1, SSPL, Elastic License, banyak lisensi model AI	Kode bisa dibaca, tetapi ada larangan penggunaan, biasanya untuk layanan pesaing atau skala tertentu.	Tergantung teks lisensinya

Satu kategori lagi sering terlupa: tidak ada lisensi sama sekali. Itu bukan berarti bebas. Penjelasannya di bawah.

Sebenarnya apa itu lisensi open source?

Secara default, kode yang kamu tulis dilindungi hak cipta dan tidak ada orang lain yang boleh menyalin, mengubah, atau mendistribusikannya. Lisensi adalah izin tertulis dari pemilik hak cipta yang membuka sebagian hak itu, dengan syarat tertentu.

Lisensi disebut open source jika memenuhi Open Source Definition dari Open Source Initiative (OSI): boleh dipakai untuk tujuan apa pun, termasuk komersial, boleh diubah dan didistribusikan ulang, dan tidak mendiskriminasi orang atau bidang usaha. Karena itulah lisensi yang melarang pemakaian komersial atau membatasi jumlah pengguna, seberapa pun terbukanya kode, tidak termasuk open source menurut OSI.

Konsekuensi praktisnya: melanggar syarat lisensi berarti izinnya gugur, dan pemakaianmu kembali menjadi pelanggaran hak cipta biasa. GPL-3.0 memberi jalan keluar: jika ini pelanggaran pertamamu dan kamu memperbaikinya dalam 30 hari setelah diberi tahu, lisensimu dipulihkan.

Boleh pakai kode dari repo GitHub yang tidak punya file LICENSE?

Tidak. Repo publik tanpa lisensi berstatus "semua hak dilindungi". Ketentuan GitHub memang mengizinkan orang melihat dan mem-fork repo publik di dalam GitHub, tetapi tidak memberi izin untuk memakai, mengubah, atau mendistribusikan kodenya di proyekmu.

Yang bisa kamu lakukan:

• Buka issue dan minta pemiliknya menambahkan lisensi. Sering kali mereka hanya lupa.
• Tulis implementasimu sendiri dari pemahaman idenya. Ide dan algoritma tidak dilindungi hak cipta; ekspresi kodenya yang dilindungi.
• Jangan menempelkan kode itu ke prompt AI lalu menganggap hasilnya bersih. Jika outputnya mirip baris demi baris, masalahnya tetap sama.

Boleh pakai library MIT atau Apache-2.0 di aplikasi berbayar yang tertutup?

Boleh. Itu memang tujuan lisensi permisif. Kamu boleh menjual produknya dan tidak wajib membuka kodemu. Syaratnya hanya satu yang sering dilewatkan: teks lisensi dan copyright harus ikut di setiap salinan yang kamu distribusikan.

Di mana "salinan" itu muncul tanpa kamu sadari:

• Bundle JavaScript di browser. Kode library yang ter-bundle dan ter-minify tetap salinan yang dikirim ke pengguna. Simpan komentar lisensi (/*! ... */) saat minify, atau buat file third-party notices saat build dan tautkan dari aplikasi.
• Aplikasi mobile dan desktop. Biasanya ada halaman "Open source licenses" di menu pengaturan. Itu bukan hiasan; itu kepatuhan lisensi.
• Image Docker yang kamu berikan ke pelanggan. Image yang dikirim ke pihak lain adalah distribusi.

Alat seperti license-checker atau rollup-plugin-license untuk JavaScript dan pip-licenses untuk Python bisa membuat daftar ini otomatis.

MIT atau Apache-2.0 untuk proyekku sendiri?

Perbedaan utamanya adalah paten. Apache-2.0 memberi lisensi paten secara eksplisit dari setiap kontributor kepada pengguna, dan lisensi itu gugur bagi siapa pun yang menggugat paten terkait proyek tersebut. MIT pendek dan sederhana, tetapi tidak menyebut paten sama sekali.

Pilih	Jika
MIT	Proyek kecil, utilitas, template, atau kamu ingin lisensi yang bisa dibaca dalam satu menit.
Apache-2.0	Proyek besar, didukung perusahaan, atau di bidang yang rawan paten seperti AI, kriptografi, dan jaringan.
MIT OR Apache-2.0	Pola dual lisensi yang umum di ekosistem Rust: pengguna memilih salah satu, termasuk yang kompatibel dengan GPL-2.0 (Apache-2.0 tidak kompatibel dengan GPL-2.0).
GPL-3.0 atau AGPL-3.0	Kamu ingin setiap versi turunan tetap terbuka, dan siap dengan konsekuensinya: banyak perusahaan menghindari dependensi copyleft.

Apa pun pilihannya, taruh file LICENSE di root repo dan tulis identifier SPDX-nya (misalnya "license": "MIT" di package.json) supaya alat pemindai bisa membacanya.

Boleh pakai library GPL di aplikasi SaaS tertutup?

Untuk kode yang hanya berjalan di server: umumnya boleh. Kewajiban GPL dipicu oleh distribusi. Pengguna yang memakai aplikasimu lewat browser tidak menerima salinan program server, jadi tidak ada distribusi. Celah ini sering disebut SaaS loophole.

Tetapi ada tiga jebakan:

• Kode frontend. JavaScript yang dikirim ke browser pengguna adalah distribusi. Library GPL di bundle frontend menarik kewajiban GPL ke kode yang digabungkan dengannya.
• Versi self-hosted atau on-premise. Begitu pelanggan menerima software-nya untuk dipasang sendiri, itu distribusi.
• AGPL. AGPL dibuat justru untuk menutup celah SaaS. Lihat bagian berikutnya.

LGPL lebih longgar: kamu boleh memakai library LGPL dari kode tertutup selama library-nya tetap bisa diganti pengguna, praktisnya dengan dynamic linking, dan perubahan pada library itu sendiri dibuka. MPL-2.0 bekerja per file: file MPL yang kamu ubah harus dibuka, file milikmu tidak.

AGPL: kapan aku wajib membuka kode?

Jika kamu mengubah program AGPL dan orang lain memakainya lewat jaringan, kamu wajib menawarkan source code versi modifikasimu kepada pengguna itu. Itulah isi pasal 13 AGPL-3.0.

• Memakai tanpa modifikasi (misalnya menjalankan database AGPL apa adanya di belakang aplikasimu): pasal 13 tidak terpicu. Kode aplikasimu yang hanya berkomunikasi dengannya lewat jaringan umumnya tidak ikut terkena.
• Tool internal yang hanya dipakai karyawan: umumnya tidak terpicu. Hati-hati dengan kontraktor, akun uji yang dibagikan ke klien, dan link publik; begitu ada pihak luar yang memakai versi modifikasi, kewajibannya berlaku.
• Produk SaaS yang membangun di atas kode AGPL yang kamu ubah: kewajibannya berlaku untuk seluruh karya turunan itu.

Karena batasnya mudah bergeser saat produk berkembang, banyak perusahaan punya aturan sederhana: tidak ada dependensi AGPL di dalam kode produk tanpa persetujuan.

BSL dan SSPL itu open source?

Bukan. Lisensi seperti Business Source License (BSL) dan Server Side Public License (SSPL) disebut source-available: kodenya bisa dibaca dan biasanya bisa dipakai, tetapi ada larangan, umumnya menawarkan software itu sebagai layanan yang bersaing. BSL juga punya tanggal perubahan: setelah beberapa tahun, setiap versi berubah menjadi lisensi open source yang disebut di dalamnya.

Ini penting karena proyek yang kamu andalkan bisa berganti lisensi:

• HashiCorp (2023): Terraform, Vault, dan lainnya pindah dari MPL-2.0 ke BSL 1.1. Komunitas membuat fork open source: OpenTofu dan OpenBao.
• Redis (2024–2025): pindah ke lisensi source-available dan SSPL pada 2024, lalu menambahkan AGPL-3.0 sebagai pilihan mulai Redis 8. Fork Valkey tetap BSD.
• Elastic (2021–2024): pindah ke SSPL dan Elastic License pada 2021, lalu menambahkan AGPL-3.0 pada 2024. Fork OpenSearch tetap Apache-2.0.

Pelajarannya: lisensi melekat pada versi. Versi lama yang sudah dirilis dengan lisensi open source tetap open source. Kunci versi dependensimu dan baca lisensi saat upgrade versi mayor.

Siapa pemilik kode yang ditulis Cursor, Copilot, atau Claude?

Menurut ketentuan layanan alat-alat itu, outputnya milikmu. Tetapi apakah output itu dilindungi hak cipta adalah pertanyaan terpisah.

• Ketentuan vendor: GitHub tidak mengklaim kepemilikan atas saran Copilot, dan Cursor menyatakan kode yang dihasilkan menjadi milik pengguna. Vendor hanya bisa menyerahkan hak yang memang ada.
• Hak cipta: laporan U.S. Copyright Office tentang AI bagian 2 (29 Januari 2025) menyimpulkan bahwa prompt saja, sedetail apa pun, belum menjadikan kamu pencipta output AI. Yang bisa dilindungi adalah kontribusi manusia: kode yang kamu tulis sendiri, perubahan substansial pada output AI, serta pemilihan dan penyusunan bagian-bagiannya. Penilaiannya kasus per kasus. Negara lain bisa berbeda; Inggris misalnya punya aturan khusus untuk karya yang dibuat komputer.
• Artinya untuk vibe coder: repo yang hampir seluruhnya dihasilkan dari prompt mungkin punya perlindungan hak cipta yang tipis, sehingga pesaing yang menyalinnya lebih sulit digugat. Review, susun ulang, dan ubah kode yang dihasilkan AI; selain lebih aman secara hukum, kodenya juga lebih baik.

Bolehkah memberi lisensi MIT pada kode buatan AI? Boleh. Lisensi berlaku untuk bagian yang memang kamu miliki; bagian yang tidak dilindungi hak cipta tetap bisa dipakai siapa saja.

Bisakah kode dari AI membawa lisensi GPL ke proyekku?

Bisa, walau jarang. Model dilatih pada kode publik dengan berbagai lisensi, dan GitHub sendiri mengakui Copilot sesekali mengulang potongan kode dari data latihnya secara persis. Jika potongan itu berasal dari proyek GPL dan cukup panjang untuk dilindungi hak cipta, lisensinya ikut terbawa ke kodemu.

• Aktifkan filter yang memblokir saran yang cocok dengan kode publik jika alatmu menyediakannya (Copilot punya pengaturan ini).
• Curigai blok panjang yang muncul utuh, terutama yang berisi komentar, nama variabel khas, atau header copyright proyek lain.
• Jalankan pemindai lisensi dan kemiripan kode di CI jika produkmu komersial atau sedang menuju akuisisi.
• Perhatikan jaminan ganti rugi (indemnity) atas klaim kekayaan intelektual: beberapa paket bisnis alat AI menyediakannya, sebagian lain tidak. Cek ketentuan paketmu.

Apakah Llama open source? Lisensi model AI berbeda dari lisensi kode

Llama adalah model open weight, bukan open source menurut OSI. Bobotnya bisa diunduh dan dipakai komersial, tetapi Llama Community License punya syarat yang tidak ada di lisensi open source:

• Perusahaan dengan lebih dari 700 juta pengguna aktif bulanan harus meminta lisensi terpisah dari Meta.
• Wajib atribusi "Built with Llama" dan mematuhi kebijakan penggunaan (acceptable use policy).
• Aturan memakai output Llama untuk melatih model lain berubah antar versi: Llama 2 melarangnya untuk model bahasa besar lain, sedangkan versi berikutnya mengizinkan dengan syarat penamaan. Baca lisensi versi yang kamu pakai.

OSI merilis Open Source AI Definition 1.0 pada Oktober 2024. Menurut definisi itu, model AI open source harus menyertakan bobot, kode pelatihan dan inferensi, serta informasi yang cukup tentang data latihnya. Bobot berlisensi Apache-2.0 tanpa kode dan informasi data lebih tepat disebut open weight dengan lisensi permisif.

Saat mengunduh model dari Hugging Face atau marketplace mana pun, cek tiga hal:

1. Lisensi bobot di model card: Apache-2.0 dan MIT bebas dipakai komersial; CC BY-NC dan lisensi "research only" tidak; OpenRAIL boleh komersial tetapi membawa daftar larangan penggunaan yang harus kamu teruskan ke penggunamu.
2. Lisensi model dasar. Model hasil fine-tuning tetap terikat lisensi model dasarnya. Fine-tune dari Llama tetap tunduk pada lisensi Llama.
3. Lisensi checkpoint yang persis. Ukuran berbeda dalam satu keluarga model bisa punya lisensi berbeda.

Di marketplace Intura, setiap halaman model menyebut model dasarnya, misalnya DistilBERT, supaya kamu bisa menelusuri lisensinya. SDK Python intura-ai sendiri berlisensi MIT.

Boleh menyalin kode dari Stack Overflow?

Boleh, dengan atribusi. Konten Stack Overflow berlisensi Creative Commons BY-SA (versinya tergantung tanggal posting). Tautkan jawaban aslinya di komentar kode. Klausul ShareAlike mewajibkan karya turunan memakai lisensi yang kompatibel, dan karena itu sebagian perusahaan melarang menyalin potongan panjang dari sana.

Aturan "di bawah 10 baris pasti aman" adalah mitos; hukum hak cipta tidak punya ambang jumlah baris. Potongan yang benar-benar sepele dan hanya bisa ditulis satu cara memang umumnya tidak dilindungi, tetapi itu dinilai kasus per kasus.

Bisakah aku mengganti lisensi proyekku nanti?

Untuk kode yang seluruhnya milikmu: bisa kapan saja, tetapi hanya untuk versi berikutnya. Siapa pun yang sudah menerima versi lama dengan lisensi lama tetap memegang izin itu.

Begitu ada kontributor lain, setiap kontributor memegang hak cipta atas kontribusinya. Mengganti lisensi berarti perlu izin mereka semua, kecuali mereka sudah menandatangani Contributor License Agreement (CLA) yang memberimu hak melisensikan ulang. Jika ada kontributor yang tidak bisa dihubungi, pilihannya adalah menulis ulang bagian mereka. Karena itu, putuskan lisensi sejak awal, dan pertimbangkan CLA atau Developer Certificate of Origin (DCO) jika proyekmu mulai menerima kontribusi.

Checklist sebelum kamu rilis

1. Repo-mu punya file LICENSE dan identifier SPDX di manifest paket.
2. Daftar lisensi semua dependensi dibuat otomatis dan dicek di CI. Tandai GPL, AGPL, SSPL, BSL, dan "tanpa lisensi" untuk direview manual.
3. Tidak ada library GPL di bundle frontend atau di aplikasi yang kamu kirim ke pelanggan, kecuali produkmu memang GPL.
4. Tidak ada AGPL yang kamu modifikasi di produk yang dipakai pihak luar, kecuali kamu siap membuka kodenya.
5. File third-party notices ikut terkirim bersama build frontend, aplikasi mobile, dan image Docker.
6. Lisensi setiap model AI dan dataset sudah dicek, termasuk lisensi model dasarnya dan batasan penggunaan komersial.
7. Kode yang ditulis AI sudah direview, filter pencocokan kode publik aktif, dan blok mencurigakan ditulis ulang.
8. Potongan Stack Overflow diberi atribusi berupa tautan ke jawaban aslinya.

Lisensi bukan urusan di akhir proyek. Sepuluh menit memeriksa lisensi saat memilih dependensi jauh lebih murah daripada menulis ulang modul seminggu sebelum rilis.