Il software libero non sta più attraversando una fase di adozione. Entra in una fase di regolamentazione. I testi europei adottati negli ultimi due anni ridefiniscono gli obblighi degli editori, degli integratori e delle amministrazioni che distribuiscono codice aperto. Comprendere questi movimenti normativi è diventato strategico quanto seguire i commit su un repository Git.
Cyber Resilience Act e software libero: cosa cambia nel nuovo quadro di sicurezza
Il Cyber Resilience Act (CRA) europeo impone ora agli editori di software immessi sul mercato obblighi concreti: gestione delle vulnerabilità, fornitura di un SBOM e aggiornamenti di sicurezza per tutto il ciclo di vita del prodotto. Per i progetti open source distribuiti in un contesto commerciale, questi requisiti si applicano senza distinzione di modello economico.
Ulteriori letture : Le ultime tendenze e informazioni essenziali dal mondo degli affari da scoprire
Tuttavia, il regime prevede un trattamento semplificato per l’open source non commerciale. Un manutentore volontario che pubblica codice su una forge pubblica non è soggetto alle stesse restrizioni di un editore che integra quel codice in un’offerta a pagamento. La frontiera tra questi due status rimane però sfocata in diversi casi d’uso, in particolare per le fondazioni che forniscono binari precompilati.
Osserviamo che questa distinzione spinge alcuni progetti a formalizzare la loro governance. Produrre un SBOM utilizzabile implica tracciare ogni dipendenza, comprese quelle transitorie. Per i progetti comunitari di dimensioni medie, si tratta di uno sforzo di tooling non trascurabile, che va oltre la documentazione esistente. Le risorse disponibili su https://www.espacelibre.net/ consentono di seguire l’evoluzione di queste questioni attorno al libero e alle sue comunità.
Da scoprire anche : Nocibé è testata sugli animali? Verità e impegno etico da scoprire
ANSSI e politica industriale open source in Francia
L’ANSSI ha modificato la sua postura nei confronti dell’open source a febbraio 2026. L’agenzia non si limita più a raccomandare buone pratiche di sicurezza per i componenti liberi: ora presenta il software libero come un leva di politica industriale. Le questioni relative alle licenze, al trasferimento di progetti tra entità e all’uso interno di soluzioni open source da parte dell’agenzia stessa fanno parte di questo nuovo approccio.
Questo cambiamento di discorso non è cosmetico. Posizionando il libero come uno strumento di sovranità tecnica, l’ANSSI invia un segnale agli appaltatori pubblici. Le amministrazioni che esitavano a includere software liberi nei loro bandi ora dispongono di un supporto istituzionale più esplicito.
Controllo all’esportazione e licenze open source
Un argomento ancora poco trattato nei circoli comunitari riguarda il controllo all’esportazione applicato ai software open source. I regimi di doppio uso possono teoricamente applicarsi a codice pubblicato sotto licenza libera, a condizione che includa funzioni crittografiche o capacità di sorveglianza. La questione si pone con una nuova urgenza per i progetti europei che collaborano con contributori situati in giurisdizioni sotto sanzioni.
Interoperabilità europea: gli sprint di 100 giorni
L’Unione europea ha lanciato un formato di collaborazione accelerata sotto forma di sprint di 100 giorni dedicati all’interoperabilità di componenti open source. Il primo ambito target è La Suite Numérique francese e i suoi equivalenti tedesco e olandese. L’obiettivo è far convergere strumenti sovrani sviluppati in modo indipendente verso protocolli comuni.
Questo formato si discosta dai cicli abituali di standardizzazione europea, che si estendono su diversi anni. Concentrando il lavoro tecnico su un ambito ristretto con risultati a breve termine, si costringono i team a dare priorità ai punti di attrito reali (formati di file, autenticazione federata, gestione delle identità) piuttosto che a produrre specifiche teoriche.
Raccomandiamo di seguire questi lavori da vicino. Se gli sprint producono risultati concreti, potrebbero diventare un modello replicabile per altri settori, in particolare la salute o l’istruzione, dove suite libere coesistono senza interoperare.
Iniziativa Akrites: coordinamento delle vulnerabilità open source nell’era dell’IA
La Linux Foundation e i suoi partner hanno lanciato Akrites, un’iniziativa open source di cybersicurezza che mira a coordinare meglio la divulgazione e la correzione delle vulnerabilità nei progetti liberi. Il contesto è preciso: l’IA accelera la scoperta di falle, e i processi manuali di triage non sono più sufficienti.
Akrites non sostituisce le CVE né i canali di segnalazione esistenti. Il progetto struttura uno strato di coordinamento tra manutentori, ricercatori in sicurezza e utenti industriali. Tre assi emergono:
- Un protocollo di divulgazione coordinata adattato ai progetti comunitari che non hanno un team di sicurezza dedicato
- Strumenti di triage automatizzato per dare priorità alle vulnerabilità in base alla loro reale sfruttabilità, non solo al loro punteggio CVSS
- Un meccanismo di notifica a valle per le distribuzioni e gli integratori che includono dipendenze open source
Il legame con il CRA è diretto. Gli editori soggetti al regolamento europeo dovranno dimostrare di gestire attivamente le vulnerabilità delle loro dipendenze. Akrites fornisce un’infrastruttura condivisa per rispondere a questo obbligo, riducendo il carico individuale su ogni progetto.
IA open source: la tensione tra apertura e controllo
Il ruolo dell’open source nell’intelligenza artificiale ha assunto una nuova dimensione. Una larga parte dei modelli di linguaggio e dei framework di addestramento si basa su codice aperto. Ma la stessa nozione di open source applicata all’IA è oggetto di dibattito: pubblicare i pesi di un modello senza i dati di addestramento né il codice di preprocessing non corrisponde ai criteri classici della libertà software.
Questa ambiguità ha conseguenze concrete. I modelli definiti “aperti” pubblicati da grandi attori industriali utilizzano spesso licenze restrittive che vietano alcuni usi commerciali o impongono condizioni di ridistribuzione incompatibili con le licenze libere tradizionali. Il termine open source applicato all’IA copre realtà giuridiche molto diverse a seconda dei progetti.
L’entrata in vigore del regolamento europeo sull’IA aggiunge un ulteriore livello di complessità. Gli obblighi di trasparenza e documentazione variano a seconda del livello di rischio del sistema. Un modello pubblicato sotto licenza libera ma integrato in un sistema ad alto rischio eredita le restrizioni normative del sistema finale, non quelle della sua licenza.
Il libero cambia natura quando passa da uno strumento per sviluppatori a un componente regolamentato. Le comunità che anticipano questo cambiamento, strutturando la loro governance, attrezzando la loro catena di conformità e partecipando ai lavori di normalizzazione, si posizionano per rimanere rilevanti in un ecosistema in cui il codice da solo non è più sufficiente.