Le logiciel libre ne traverse plus une phase d’adoption. Il entre dans une phase de régulation. Les textes européens adoptés ces deux dernières années redéfinissent les obligations des éditeurs, des intégrateurs et des administrations qui déploient du code ouvert. Comprendre ces mouvements réglementaires est devenu aussi stratégique que de suivre les commits sur un dépôt Git.
Cyber Resilience Act et logiciel libre : ce que change le nouveau cadre de sécurité
Le Cyber Resilience Act (CRA) européen impose désormais aux éditeurs de logiciels mis sur le marché des obligations concrètes : gestion des vulnérabilités, fourniture d’un SBOM et mises à jour de sécurité tout au long du cycle de vie du produit. Pour les projets open source distribués dans un cadre commercial, ces exigences s’appliquent sans distinction de modèle économique.
A lire en complément : Reconnaître et comprendre les symptômes du diabète chez l'adulte : guide complet
Le régime prévoit toutefois un traitement allégé pour l’open source non commercial. Un mainteneur bénévole qui publie du code sur une forge publique n’est pas soumis aux mêmes contraintes qu’un éditeur qui intègre ce code dans une offre payante. La frontière entre ces deux statuts reste cependant floue dans plusieurs cas d’usage, notamment pour les fondations qui fournissent des binaires précompilés.
Nous observons que cette distinction pousse certains projets à formaliser leur gouvernance. Produire un SBOM exploitable suppose de tracer chaque dépendance, y compris transitoire. Pour les projets communautaires de taille intermédiaire, c’est un effort d’outillage non négligeable, qui va au-delà de la documentation existante. Les ressources disponibles sur https://www.espacelibre.net/ permettent de suivre l’évolution de ces enjeux autour du libre et de ses communautés.
Lire également : Conseils et inspirations pour réussir dans l'entrepreneuriat féminin aujourd'hui
ANSSI et politique industrielle open source en France
L’ANSSI a modifié sa posture vis-à-vis de l’open source en février 2026. L’agence ne se contente plus de recommander des bonnes pratiques de sécurité pour les briques libres : elle présente désormais le logiciel libre comme un levier de politique industrielle. Les questions de licences, de transfert de projets entre entités et l’utilisation interne de solutions open source par l’agence elle-même font partie de cette nouvelle approche.
Ce changement de discours n’est pas cosmétique. En positionnant le libre comme un outil de souveraineté technique, l’ANSSI envoie un signal aux donneurs d’ordres publics. Les administrations qui hésitaient à inscrire des logiciels libres dans leurs marchés disposent maintenant d’un appui institutionnel plus explicite.
Contrôle à l’export et licences open source
Un sujet encore peu traité dans les cercles communautaires concerne le contrôle à l’export appliqué aux logiciels open source. Les régimes de double usage peuvent théoriquement s’appliquer à du code publié sous licence libre, dès lors qu’il embarque des fonctions cryptographiques ou des capacités de surveillance. La question se pose avec une acuité nouvelle pour les projets européens qui collaborent avec des contributeurs situés dans des juridictions sous sanctions.
Interopérabilité européenne : les sprints de 100 jours
L’Union européenne a lancé un format de collaboration accélérée sous forme de sprints de 100 jours dédiés à l’interopérabilité de briques open source. Le premier périmètre cible La Suite Numérique française et ses équivalents allemand et néerlandais. L’objectif est de faire converger des outils souverains développés indépendamment vers des protocoles communs.
Ce format tranche avec les cycles habituels de standardisation européenne, qui s’étalent sur plusieurs années. Concentrer le travail technique sur un périmètre restreint avec des livrables à court terme force les équipes à prioriser les points de friction réels (formats de fichiers, authentification fédérée, gestion des identités) plutôt que de produire des spécifications théoriques.
Nous recommandons de suivre ces travaux de près. Si les sprints produisent des résultats concrets, ils pourraient devenir un modèle réplicable pour d’autres domaines, notamment la santé ou l’éducation, où des suites libres coexistent sans interopérer.
Initiative Akrites : coordination des vulnérabilités open source à l’ère de l’IA
La Linux Foundation et ses partenaires ont lancé Akrites, une initiative open source de cybersécurité qui vise à mieux coordonner la divulgation et la correction des vulnérabilités dans les projets libres. Le contexte est précis : l’IA accélère la découverte de failles, et les processus manuels de triage ne suivent plus.
Akrites ne remplace pas les CVE ni les canaux de signalement existants. Le projet structure une couche de coordination entre mainteneurs, chercheurs en sécurité et utilisateurs industriels. Trois axes ressortent :
- Un protocole de divulgation coordonnée adapté aux projets communautaires qui n’ont pas d’équipe sécurité dédiée
- Des outils de triage automatisé pour prioriser les vulnérabilités selon leur exploitabilité réelle, pas seulement leur score CVSS
- Un mécanisme de notification en aval pour les distributions et les intégrateurs qui embarquent des dépendances open source
Le lien avec le CRA est direct. Les éditeurs soumis au règlement européen devront démontrer qu’ils gèrent activement les vulnérabilités de leurs dépendances. Akrites fournit une infrastructure mutualisée pour répondre à cette obligation, ce qui réduit la charge individuelle sur chaque projet.
IA open source : la tension entre ouverture et contrôle
Le rôle de l’open source dans l’intelligence artificielle a pris une dimension nouvelle. Une large part des modèles de langage et des frameworks d’entraînement reposent sur du code ouvert. Mais la notion même d’open source appliquée à l’IA fait débat : publier les poids d’un modèle sans les données d’entraînement ni le code de preprocessing ne correspond pas aux critères classiques de la liberté logicielle.
Cette ambiguïté a des conséquences concrètes. Les modèles dits « ouverts » publiés par de grands acteurs industriels utilisent souvent des licences restrictives qui interdisent certains usages commerciaux ou imposent des conditions de redistribution incompatibles avec les licences libres traditionnelles. Le terme open source appliqué à l’IA recouvre des réalités juridiques très différentes selon les projets.
L’entrée en vigueur du règlement européen sur l’IA ajoute une couche de complexité. Les obligations de transparence et de documentation varient selon le niveau de risque du système. Un modèle publié sous licence libre mais intégré dans un système à haut risque hérite des contraintes réglementaires du système final, pas de celles de sa licence.
Le libre change de nature quand il passe d’un outil de développeurs à une brique réglementée. Les communautés qui anticipent ce virage, en structurant leur gouvernance, en outillant leur chaîne de conformité et en participant aux travaux de normalisation, se positionnent pour rester pertinentes dans un écosystème où le code seul ne suffit plus.