Vrije software verwijst naar elk programma waarvan de broncode toegankelijk, aanpasbaar en herdistribueerbaar is volgens de voorwaarden van een open licentie. Dit principe, dat al tientallen jaren verankerd is in de cultuur van softwareontwikkeling, ondergaat een periode van snelle veranderingen. Europese regelgeving, strategie voor digitale soevereiniteit van de Franse publieke sector, toenemende druk van kunstmatige intelligentie op governance-modellen: de lijnen verschuiven op verschillende fronten tegelijkertijd.
Cyber Resilience Act: wat de Europese regelgeving verandert voor open source code
De Cyber Resilience Act (CRA) die door de Europese Unie is aangenomen, herdefinieert de veiligheidsverplichtingen die van toepassing zijn op digitale producten, inclusief die welke open source componenten bevatten. De tekst introduceert een onderscheid tussen commerciële vrije software en software die wordt onderhouden door vrijwilligersgemeenschappen zonder directe commerciële activiteit.
Concreet wordt een uitgever die een open source bibliotheek in een verkocht of gemonetariseerd product integreert, verantwoordelijk voor de naleving. Het begrip “op de markt brengen” wordt uitgebreid naar updates en beveiligingspatches: een ontbrekende patch kan nu worden gelijkgesteld aan een defect product in de zin van de nieuwe Europese richtlijn over productaansprakelijkheid.
Voor niet-commerciële gemeenschapsprojecten voorziet de CRA in een beschermde status, maar de grens blijft vaag. Een stichting die donaties van bedrijven ontvangt of betaalde ondersteuning aanbiedt, kan in het commerciële domein terechtkomen. De OpenSSF (Open Source Security Foundation) heeft verschillende sessies gewijd aan het verduidelijken van deze grijze gebieden, met name over de vraag wanneer een component als “verzonden” wordt beschouwd en over de verantwoordelijkheidsketen tussen onderhouders en integrators. Verschillende informatie op rockette-libre.org maakt het mogelijk om deze regelgevende evoluties te volgen naarmate ze worden gepubliceerd.
GNU/Linux in de Franse overheid: het plan van de DINUM om afhankelijkheden te verminderen
In april 2026 heeft de Interministeriële Directie voor Digitale Zaken (DINUM) de overstap van alle werkplekken van haar ambtenaren naar GNU/Linux aangekondigd. Deze aanpak maakt deel uit van een interministerieel plan om niet-Europese afhankelijkheden te verminderen, gepresenteerd tijdens een seminar onder leiding van de premier.
De DINUM, die ARIANE (Referentieautoriteit voor AI en digitale zaken van de Staat) moet worden, koppelt deze migratie expliciet aan de bouw van een ecosysteem van digitale gemeenschappen. De redenering gaat verder dan alleen het vervangen van het besturingssysteem: het gaat om het beheersen van de softwarecomponenten waarop de publieke diensten zijn gebaseerd, van de werkplek tot de zakelijke toepassingen.
Dit soort grootschalige migratie roept concrete vragen op die de institutionele aankondigingen niet altijd in detail behandelen:
- De compatibiliteit van bestaande zakelijke toepassingen, vaak ontwikkeld voor een Windows-omgeving, vereist een volledige applicatie-audit en soms een gedeeltelijke herschrijving.
- De training van publieke medewerkers in een nieuwe bureaumedium vertegenwoordigt een menselijke en organisatorische kost die de succesvolle uitvoering van het project bepaalt.
- De lange termijn onderhoud van de gekozen Linux-distributies moet gewaarborgd zijn, anders ontstaat er opnieuw een afhankelijkheid van een nieuwe uitgever of een fragiele gemeenschap.
Het politieke signaal blijft sterk. Wanneer een lidstaat zijn eigen IT-diensten inzet op vrije software, legitimeert dit de aanpak voor alle gemeenten en openbare instellingen.
Open Source Maintenance Instrument: de duurzaamheid van softwarecomponenten financieren
De open source strategie van de Europese Commissie omvat een aspect dat zelden in de algemene pers wordt behandeld: de kwestie van de langdurige onderhoud van vrije componenten. Het idee van een Open Source Maintenance Instrument is bedoeld om direct het onderhoud van bibliotheken en tools te financieren waarvan duizenden projecten, zowel publiek als privé, afhankelijk zijn.
Het probleem is al jaren gedocumenteerd. Een encryptiebibliotheek of een netwerkprotocolanalyzer, onderhouden door een handvol vrijwilligers, kan zich in het hart van kritieke infrastructuren bevinden zonder dat iemand hun audit of evolutie financiert. De Log4Shell-kwetsbaarheid illustreerde dit risico op spectaculaire wijze.
De Commissie voorziet ook in mechanismen voor afhankelijkheidsanalyse om de open source componenten die in Europese systemen worden gebruikt in kaart te brengen. Het doel is dubbel: de kwetsbare schakels in de softwareketen identificeren en de financiering richten op de projecten die het meest behoefte hebben.
Kunstmatige intelligentie en open source licenties: een onder druk staand governance-model
De aangekondigde overname van Hugging Face door Nvidia voor bijna dertien miljard dollar illustreert een onderliggende trend: grote open source AI-platforms trekken massale investeringen aan, wat de vraag oproept naar hun toekomstige onafhankelijkheid. Nvidia heeft verklaard de openheid van het platform voor verschillende modellen, clouds en accelerators te willen behouden, maar de geschiedenis van vrije software toont aan dat de beloften van openheid slecht standhouden tegen rendementslogica.
Het licentiemodel dat wordt toegepast op componenten van kunstmatige intelligentie blijft een onderwerp van debat. Kan een taalmodel waarvan de gewichten onder een permissieve licentie zijn gepubliceerd, maar waarvan de trainingsgegevens ondoorzichtig blijven, echt als open source worden gekwalificeerd? De Open Source Initiative werkt aan een aangepaste definitie, die verschilt van die welke van toepassing is op klassieke softwarecode.
De EU AI Act voegt een extra regelgevingslaag toe. Algemeen bruikbare AI-modellen die onder een vrije licentie worden verspreid, moeten voldoen aan transparantieverplichtingen over de trainingsgegevens en risicobeoordelingen. De tijdschema’s voor naleving van de CRA en de AI Act overlappen, wat de taak van ontwikkelaars en stichtingen die deze projecten onderhouden, bemoeilijkt.
De Europese strategie omvat expliciet de cloud, edge computing, cyberbeveiliging en ontwikkeltools, met een uitgesproken doel om lock-in te verminderen. Vrije software is niet langer alleen een kwestie van filosofie of kosten: het wordt een hefboom voor industrieel beleid. De komende maanden zullen bepalen of de financierings- en governance-mechanismen het tempo van de uitgesproken ambities kunnen bijhouden.
