Debian決議、AI支援によるコントリビューションを禁止せず　バッチ型エージェント操作には引き続きコミュニティの事前合意が必要

Debianの生成AIに関する一般決議の投票は8月28日に締め切られ、結果が8月29日に公表された。採択された案は、ソフトウェア、パッケージ、ドキュメント、その他のDebianコンテンツで生成AIを利用することを支持も禁止もしない。AIが生成または支援したコンテンツにも、正確性、保守性、ライセンス、法的要件に関する既存の基準が引き続き適用され、その責任はモデルプロバイダーやレビュー担当者ではなく、実際にコンテンツを提出し、署名するコントリビューターが負う。

この決議は、coding agentを用いたワークフローにいくつかの具体的な境界を設けている。コントリビューターは生成結果を理解し、レビューし、テストしたうえで、必要に応じて修正しなければならない。適切な人手によるレビューを経ていないコンテンツをそのままアップロードすることは、Debianの開発慣行に適合しない。AIの利用を明記する義務はなく、自発的な開示が推奨されるにとどまる。このため、メンテナーはcommit messageからモデルの出所や生成された割合を確実に把握できるとは想定できない。プロジェクトでトレーサビリティが必要な場合は、CI、署名プロセス、またはコントリビューションガイドラインに証跡用のフィールドを独自に追加する必要がある。

セキュリティ面では、明示的な許可がない限り、私的な通信、未公開のセキュリティ脆弱性、キー、認証情報、その他の非公開Debianデータを第三者のAIサービスへ渡してはならないと決議は定めている。また、エージェントによるバッチ操作を無条件に認めたわけでもない。大量のbug報告、複数パッケージにまたがるpatchの提出、広範なコード変更などは、引き続き適切なチャネルで事前に協議して合意を得る必要があり、人による監督と責任の所在も不可欠となる。

投票結果は、コミュニティ内に意見の相違がないことを意味しない。Debian開発者のLucas Nussbaumは、候補同士の比較票数に基づき、採択案が最も支持を集めた禁止案に対して約64%対36%、より慎重な利用抑制案に対して約61%対39%だったと指摘した。エンジニアリングチームが次に注視すべきなのは、Debianがこれらの原則を機械的に検査可能な提出ルール、機密情報の漏えい防止制御、バッチ型エージェントのスロットリング機構として実装するかどうかだ。それまでは、「利用可能」をAI生成コンテンツの自動的な受け入れと解釈してはならない。