Le logiciel libre désigne tout programme dont le code source est accessible, modifiable et redistribuable selon les termes d’une licence ouverte. Ce principe, ancré depuis plusieurs décennies dans la culture du développement informatique, traverse une période de mutations rapides. Réglementation européenne, stratégie de souveraineté numérique du secteur public français, pression croissante de l’intelligence artificielle sur les modèles de gouvernance : les lignes bougent sur plusieurs fronts simultanément.
Cyber Resilience Act : ce que change la réglementation européenne pour le code open source
Le Cyber Resilience Act (CRA) adopté par l’Union européenne redéfinit les obligations de sécurité applicables aux produits numériques, y compris ceux qui intègrent des composants open source. Le texte introduit une distinction entre les logiciels libres distribués dans un cadre commercial et ceux maintenus par des communautés bénévoles sans activité commerciale directe.
Concrètement, un éditeur qui intègre une bibliothèque open source dans un produit vendu ou monétisé devient responsable de sa conformité. La notion de « mise sur le marché » s’étend aux mises à jour et aux correctifs de sécurité : un patch manquant peut désormais être assimilé à un produit défectueux au sens de la nouvelle directive européenne sur la responsabilité des produits.
Pour les projets communautaires non commerciaux, le CRA prévoit un statut protégé, mais la frontière reste floue. Une fondation qui reçoit des dons d’entreprises ou qui propose du support payant pourrait basculer dans le périmètre commercial. L’OpenSSF (Open Source Security Foundation) a consacré plusieurs sessions à clarifier ces zones grises, notamment sur la question du moment où un composant est considéré comme « expédié » et sur la chaîne de responsabilité entre mainteneurs et intégrateurs. Plusieurs informations sur rockette-libre.org permettent de suivre ces évolutions réglementaires au fil de leur publication.
GNU/Linux dans l’administration française : le plan de la DINUM pour réduire les dépendances
En avril 2026, la Direction interministérielle du numérique (DINUM) a annoncé le basculement de l’ensemble des postes de ses administrateurs vers GNU/Linux. La démarche s’inscrit dans un plan interministériel de réduction des dépendances non européennes, présenté lors d’un séminaire à l’initiative du Premier ministre.
La DINUM, qui doit devenir ARIANE (Autorité référente pour l’IA et le numérique de l’État), rattache explicitement cette migration à la construction d’un écosystème des communs numériques. Le raisonnement dépasse le simple remplacement de système d’exploitation : il s’agit de maîtriser les briques logicielles sur lesquelles reposent les services publics, du poste de travail jusqu’aux applications métier.
Ce type de migration à grande échelle pose des questions concrètes que les annonces institutionnelles ne détaillent pas toujours :
- La compatibilité des applications métier existantes, souvent développées pour un environnement Windows, nécessite un audit applicatif complet et parfois une réécriture partielle.
- La formation des agents publics à un nouvel environnement de bureau représente un coût humain et organisationnel qui conditionne la réussite du projet.
- La maintenance long terme des distributions Linux choisies doit être garantie, sous peine de recréer une dépendance envers un nouvel éditeur ou une communauté fragile.
Le signal politique reste fort. Quand un État membre engage ses propres services informatiques sur du logiciel libre, cela légitime l’approche pour l’ensemble des collectivités et des établissements publics.
Open Source Maintenance Instrument : financer la pérennité des briques logicielles
La stratégie open source de la Commission européenne inclut un volet rarement abordé dans la presse généraliste : la question de la maintenance à long terme des composants libres. L’idée d’un Open Source Maintenance Instrument vise à financer directement l’entretien de bibliothèques et d’outils dont dépendent des milliers de projets, publics comme privés.
Le problème est documenté depuis des années. Une bibliothèque de chiffrement ou un analyseur de protocole réseau, maintenus par une poignée de développeurs bénévoles, peuvent se retrouver au cœur d’infrastructures critiques sans que personne ne finance leur audit ou leur évolution. La faille Log4Shell avait illustré ce risque de manière spectaculaire.
La Commission prévoit également des mécanismes d’analyse de dépendances pour cartographier les composants open source utilisés dans les systèmes européens. L’objectif est double : identifier les maillons fragiles de la chaîne logicielle et orienter les financements vers les projets qui en ont le plus besoin.
Intelligence artificielle et licences open source : un modèle de gouvernance sous tension
L’acquisition annoncée de Hugging Face par Nvidia pour près de treize milliards de dollars illustre une tendance de fond : les grandes plateformes d’IA open source attirent des investissements massifs, ce qui pose la question de leur indépendance future. Nvidia a affirmé vouloir préserver l’ouverture de la plateforme aux différents modèles, clouds et accélérateurs, mais l’histoire du logiciel libre montre que les promesses d’ouverture résistent mal aux logiques de rentabilité.
Le modèle de licence appliqué aux composants d’intelligence artificielle reste un sujet de débat. Un modèle de langage dont les poids sont publiés sous licence permissive, mais dont les données d’entraînement restent opaques, peut-il vraiment être qualifié d’open source ? L’Open Source Initiative travaille sur une définition adaptée, distincte de celle qui s’applique au code logiciel classique.
Le EU AI Act ajoute une couche réglementaire supplémentaire. Les modèles d’IA à usage général distribués sous licence libre devront satisfaire des obligations de transparence sur les données d’entraînement et les évaluations de risques. Les calendriers de mise en conformité du CRA et du AI Act se chevauchent, ce qui complique la tâche des développeurs et des fondations qui maintiennent ces projets.
La stratégie européenne couvre explicitement le cloud, l’edge computing, la cybersécurité et les outils de développement, avec un objectif affiché de réduction du verrouillage. Le logiciel libre n’est plus seulement une question de philosophie ou de coût : il devient un levier de politique industrielle. Les prochains mois détermineront si les mécanismes de financement et de gouvernance suivent le rythme des ambitions affichées.