AI编程工具版权风暴：Claude Code企业合规与治理实战指南

✅ 企业AI编程工具合规检查清单（EU AI Act 有限风险级别）
═══════════════════════════════════════════════════════

□ 1. 用户告知义务
   □ 在开发流程文档中明确标注使用了AI编程工具
   □ 在代码仓库README中声明AI辅助开发
   □ 对外部审计方提供AI工具使用声明

□ 2. AI生成内容标识
   □ 对AI生成的代码块添加注释标记
   □ 在git commit message中标注AI参与
   □ 建立AI代码溯源追踪机制

□ 3. 训练数据合规
   □ 确认AI工具供应商的数据来源声明
   □ 了解供应商是否提供IP赔偿保障
   □ 审查供应商的隐私政策和数据处理协议

□ 4. 质量保证流程
   □ AI生成代码必须经过人工审查
   □ 建立AI代码的安全扫描流程
   □ 对AI生成代码进行许可证合规检查

□ 5. 记录保存
   □ 保存AI工具使用日志至少5年
   □ 记录AI生成代码的审查决策
   □ 维护AI工具版本和配置的变更历史

□ 6. 风险管理
   □ 定期评估AI工具的安全风险
   □ 建立AI工具使用的应急预案
   □ 为关键项目制定人工兜底方案
═══════════════════════════════════════════════════════

# 安装FOSSology或ScanCode工具
pip install scancode-toolkit

# 对Claude Code生成的文件进行扫描
scancode -clpeui --license-text \
  --json-pp scan_results.json \
  ./src/ai-generated/

# 查看扫描结果
cat scan_results.json | python -c "
import json, sys
data = json.load(sys.stdin)
for f in data.get('files', []):
    if f.get('licenses'):
        print(f\"文件: {f['path']}\")
        for lic in f['licenses']:
            print(f\"  许可证: {lic['spdx_license_key']}\")
            print(f\"  匹配度: {lic.get('score', 'N/A')}\")
            print(f\"  规则: {lic.get('matched_rule', {}).get('identifier', 'N/A')}\")
        print()
"

# .license-policy.yml - 企业许可证策略配置
allowed_licenses:
  - MIT
  - Apache-2.0
  - BSD-2-Clause
  - BSD-3-Clause
  - ISC
  - 0BSD
  - Unlicense
  - CC0-1.0

requires_review:
  - LGPL-2.1
  - LGPL-3.0
  - MPL-2.0
  - EPL-1.0
  - EPL-2.0

prohibited:
  - GPL-2.0
  - GPL-3.0
  - AGPL-3.0
  - SSPL-1.0
  - BSL-1.1
  - Commons-Clause

review_threshold:
  similarity_score: 0.7  # 代码相似度超过70%需人工审查
  min_lines_matched: 10  # 最少匹配行数

# .github/workflows/ai-code-license-check.yml
name: AI Code License Compliance

on:
  pull_request:
    paths:
      - 'src/**'

jobs:
  license-check:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install ScanCode
        run: pip install scancode-toolkit

      - name: Scan for License Issues
        run: |
          # 识别AI生成的文件（通过注释标记或git blame）
          AI_FILES=$(git diff --name-only origin/main...HEAD | \
            while read f; do
              if git log -1 --format="%B" -- "$f" | grep -qi "ai-generated\|claude\|copilot"; then
                echo "$f"
              fi
            done)

          if [ -n "$AI_FILES" ]; then
            echo "$AI_FILES" | tr '\n' ' ' | xargs scancode -clpeui \
              --license-policy .license-policy.yml \
              --json-pp scan_results.json

            # 检查是否有禁止的许可证
            python scripts/check-license-policy.py scan_results.json
          fi

      - name: Upload Scan Results
        if: always()
        uses: actions/upload-artifact@v4
        with:
          name: license-scan-results
          path: scan_results.json

╔══════════════════════════════════════════════════════════════╗
║  ISO 42001 × Claude Code 合规自检表                        ║
╠══════════════════════════════════════════════════════════════╣
║                                                              ║
║  A. 组织环境（Clause 4）                                     ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ A1: 明确Claude Code在组织中的使用范围和边界            │ ║
║  │       （哪些项目、哪些团队、哪些代码类型）                │ ║
║  │ □ A2: 识别利益相关方（开发团队、法务、客户、监管机构）    │ ║
║  │ □ A3: 确定AI编程工具使用的内外部议题                      │ ║
║  │       （数据隐私、代码质量、知识产权、安全合规）          │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  B. 领导力（Clause 5）                                       ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ B1: 指定AI编程工具治理的责任人（如CTO或工程VP）        │ ║
║  │ □ B2: 制定并发布AI编程工具使用政策                       │ ║
║  │ □ B3: 确保足够的资源投入（工具许可、培训、审计工具）      │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  C. 策略（Clause 6）                                         ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ C1: 制定AI影响评估（AIA）流程                          │ ║
║  │       每个使用Claude Code的项目需完成AIA                  │ ║
║  │ □ C2: 建立AI风险评估方法论                                │ ║
║  │       （版权风险、安全风险、质量风险、隐私风险）          │ ║
║  │ □ C3: 制定风险处置计划                                    │ ║
║  │       （接受/减轻/转移/规避四种策略）                     │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  D. 支持（Clause 7）                                         ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ D1: 建立Claude Code使用能力矩阵和培训计划              │ ║
║  │ □ D2: 确保代码库中的AI使用记录完整可追溯                 │ ║
║  │ □ D3: 建立内部知识库（最佳实践、案例、教训）             │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  E. 运营（Clause 8）                                         ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ E1: 实施AI生成代码的审查流程                           │ ║
║  │       （人工审查 + 自动化扫描 + 安全检测）               │ ║
║  │ □ E2: 监控Claude Code的输出质量和安全指标               │ ║
║  │ □ E3: 建立AI工具故障或异常的应急预案                     │ ║
║  │ □ E4: 管理与Anthropic的供应商关系和数据协议              │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  F. 绩效评估（Clause 9）                                     ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ F1: 建立AI编程工具使用KPI体系                          │ ║
║  │       （代码采纳率、Bug率、安全漏洞密度、开发效率提升）   │ ║
║  │ □ F2: 定期进行内部审计                                   │ ║
║  │ □ F3: 收集和分析AI工具使用的事故和事件                   │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
║  G. 改进（Clause 10）                                        ║
║  ┌─────────────────────────────────────────────────────────┐ ║
║  │ □ G1: 建立持续改进机制（PDCA循环）                      │ ║
║  │ □ G2: 定期更新AI使用政策以反映法规变化                   │ ║
║  │ □ G3: 记录和分享改进经验                                 │ ║
║  └─────────────────────────────────────────────────────────┘ ║
║                                                              ║
╚══════════════════════════════════════════════════════════════╝

# AI影响评估（AIA）—— Claude Code使用场景

## 1. 基本信息
- **评估日期**: YYYY-MM-DD
- **评估人**: [姓名/角色]
- **项目名称**: [项目名]
- **AI工具**: Claude Code [版本号]
- **使用场景描述**: [描述如何使用Claude Code]

## 2. 使用范围界定
| 维度 | 描述 |
|------|------|
| 代码类型 | [新功能/重构/测试/Bug修复/文档] |
| 涉及模块 | [列出受影响的代码模块] |
| 敏感度等级 | [公开/内部/机密/高度机密] |
| 部署环境 | [开发/测试/预生产/生产] |

## 3. 风险评估

### 3.1 知识产权风险
- AI生成代码与现有开源代码的相似度: [高/中/低]
- 涉及的开源许可证类型: [列出]
- 代码原创性评估: [描述]
- 风险等级: [高/中/低]

### 3.2 安全风险
- 是否涉及安全敏感代码（加密/认证/授权）: [是/否]
- AI生成代码的漏洞扫描结果: [描述]
- 输入数据是否包含敏感信息: [是/否]
- 风险等级: [高/中/低]

### 3.3 质量风险
- AI生成代码的测试覆盖率: [%]
- 人工审查完成度: [%]
- 代码质量评分（SonarQube等）: [评分]
- 风险等级: [高/中/低]

### 3.4 合规风险
- 是否涉及受监管领域代码: [是/否]
- EU AI Act合规状态: [合规/待确认/不适用]
- 数据跨境传输问题: [是/否]
- 风险等级: [高/中/低]

## 4. 缓解措施
| 风险项 | 缓解措施 | 责任人 | 完成日期 |
|--------|---------|--------|---------|
| [风险1] | [措施1] | [人1] | [日期1] |
| [风险2] | [措施2] | [人2] | [日期2] |

## 5. 审批
- 技术负责人签字: ___________ 日期: _________
- 安全负责人签字: ___________ 日期: _________
- 合规负责人签字: ___________ 日期: _________

# [企业名称] AI编程工具使用政策

## 1. 适用范围
本政策适用于所有使用AI辅助编程工具（包括但不限于Claude Code、GitHub Copilot、
Cursor等）的开发人员、外包人员和合同工。

## 2. 批准使用的工具清单
| 工具名称 | 版本 | 适用场景 | 数据处理模式 | 负责人 |
|---------|------|---------|-------------|--------|
| Claude Code | 最新稳定版 | 通用开发 | API模式，不训练 | [姓名] |
| [其他工具] | [...] | [...] | [...] | [...] |

## 3. 使用规范

### 3.1 允许的使用场景
✅ 生成样板代码和配置文件
✅ 编写单元测试和集成测试
✅ 代码重构建议
✅ 文档生成
✅ Bug分析和修复建议
✅ 学习和探索新的API/框架

### 3.2 限制使用场景（需额外审批）
⚠️ 安全敏感模块（认证、加密、权限控制）
⚠️ 涉及个人数据处理的功能
⚠️ 金融交易核心逻辑
⚠️ 合规性要求高的模块

### 3.3 禁止使用场景
❌ 直接将生产环境代码粘贴到AI工具中
❌ 将客户数据或PII数据作为prompt输入
❌ 在未审查的情况下直接合并AI生成代码
❌ 绕过代码审查流程提交AI生成的代码

## 4. 代码标记与溯源要求

### 4.1 代码注释标记
所有经过AI工具辅助生成的代码块，应在文件头部或函数级别添加标记：

// AI-Assisted: Claude Code v4.x | Reviewed-by: [姓名] | Date: YYYY-MM-DD

### 4.2 Git提交规范
使用AI工具生成的代码，在commit message中包含标识：
[ai-assisted] feat: 添加用户认证模块（Claude Code辅助生成，已审查）

### 4.3 PR/MR要求
包含AI生成代码的PR必须：
- 在PR描述中标注AI参与比例
- 附带AI影响评估（AIA）文档（如适用）
- 至少由两名审查者批准（其中一名为指定AI代码审查员）

## 5. 审查流程

所有AI生成代码必须经过以下审查：
1. 功能正确性审查
2. 安全漏洞扫描（SAST/DAST）
3. 开源许可证合规检查
4. 代码风格和质量审查

## 6. 违规处理
[根据企业实际情况制定]

## 7. 政策更新
本政策每季度审查一次，或在以下情况下立即更新：
- 相关法律法规变化
- AI工具重大版本更新
- 发生安全或合规事件

# 项目AI使用规范

## 安全约束
- 不要将任何环境变量、API密钥、密码等敏感信息包含在prompt中
- 不要将客户数据或PII数据发送给AI
- 所有AI生成的数据库查询必须使用参数化查询
- 所有AI生成的认证代码必须经过安全团队审查

## 代码质量要求
- AI生成的代码必须遵循项目的ESLint/Prettier配置
- 所有AI生成的函数必须有单元测试
- 函数复杂度不超过10（cyclomatic complexity）
- 所有公共API必须有文档注释

## 合规标记
- AI生成的代码文件在头部添加: [AI-ASSISTED]
- 使用 /ai-review 命令触发合规审查流程
- 每次AI辅助的修改都在commit中标注

{
  "permissions": {
    "allow": [
      "Bash(npm test)",
      "Bash(npm run lint)",
      "Bash(git diff)",
      "Bash(git log)"
    ],
    "deny": [
      "Bash(rm -rf *)",
      "Bash(git push --force)",
      "Bash(curl * | sh)",
      "Bash(eval *)"
    ]
  },
  "hooks": {
    "PreToolUse": [
      {
        "matcher": "Write|Edit",
        "hooks": [
          {
            "type": "command",
            "command": "python3 scripts/check-sensitive-data.py \"$FILE_PATH\""
          }
        ]
      }
    ],
    "PostToolUse": [
      {
        "matcher": "Write|Edit",
        "hooks": [
          {
            "type": "command",
            "command": "python3 scripts/add-ai-marker.py \"$FILE_PATH\""
          }
        ]
      }
    ]
  }
}

#!/usr/bin/env python3
# scripts/check-sensitive-data.py
"""检查文件中是否包含敏感数据，防止通过Claude Code泄露"""

import sys
import re

SENSITIVE_PATTERNS = [
    (r'(?:password|passwd|pwd)\s*[=:]\s*["\'][^"\']{4,}', '硬编码密码'),
    (r'(?:api_key|apikey|api-key)\s*[=:]\s*["\'][^"\']{8,}', 'API密钥'),
    (r'(?:secret|token)\s*[=:]\s*["\'][^"\']{8,}', 'Secret/Token'),
    (r'(?:private_key|privatekey)\s*[=:]\s*["\'][^"\']{20,}', '私钥'),
    (r'\b\d{3}-\d{2}-\d{4}\b', 'SSN号码'),
    (r'\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b', '邮箱地址（可能是PII）'),
    (r'\b4\d{12}(?:\d{3})?\b', '信用卡号'),
    (r'BEGIN\s+(?:RSA\s+)?PRIVATE\s+KEY', 'PEM私钥'),
]

SEVERITY_LEVELS = {
    '硬编码密码': 'CRITICAL',
    'API密钥': 'CRITICAL',
    'Secret/Token': 'CRITICAL',
    '私钥': 'CRITICAL',
    'SSN号码': 'HIGH',
    '邮箱地址（可能是PII）': 'MEDIUM',
    '信用卡号': 'CRITICAL',
    'PEM私钥': 'CRITICAL',
}

def check_file(filepath):
    issues = []
    try:
        with open(filepath, 'r', encoding='utf-8', errors='ignore') as f:
            for line_num, line in enumerate(f, 1):
                for pattern, description in SENSITIVE_PATTERNS:
                    if re.search(pattern, line, re.IGNORECASE):
                        severity = SEVERITY_LEVELS.get(description, 'MEDIUM')
                        issues.append({
                            'line': line_num,
                            'type': description,
                            'severity': severity,
                        })
    except Exception:
        pass
    return issues

if __name__ == '__main__':
    filepath = sys.argv[1] if len(sys.argv) > 1 else None
    if not filepath:
        sys.exit(0)

    issues = check_file(filepath)
    if issues:
        print(f"⚠️  检测到敏感数据风险 [{len(issues)}处]:")
        for issue in issues:
            print(f"  行{issue['line']}: [{issue['severity']}] {issue['type']}")

        # CRITICAL级别阻止操作
        if any(i['severity'] == 'CRITICAL' for i in issues):
            print("\n❌ 操作被阻止：存在CRITICAL级别的敏感数据")
            sys.exit(1)
    sys.exit(0)