O software livre não está mais passando por uma fase de adoção. Ele entra em uma fase de regulação. Os textos europeus adotados nos últimos dois anos redefinem as obrigações dos editores, integradores e administrações que implantam código aberto. Compreender esses movimentos regulatórios tornou-se tão estratégico quanto acompanhar os commits em um repositório Git.
Ato de Resiliência Cibernética e software livre: o que muda com o novo quadro de segurança
O Ato de Resiliência Cibernética (CRA) europeu impõe agora aos editores de software colocados no mercado obrigações concretas: gestão de vulnerabilidades, fornecimento de um SBOM e atualizações de segurança ao longo do ciclo de vida do produto. Para projetos de código aberto distribuídos em um contexto comercial, esses requisitos se aplicam sem distinção de modelo econômico.
Leia também : Nocibé é testada em animais? Verdade e compromisso ético a descobrir
O regime prevê, no entanto, um tratamento simplificado para o open source não comercial. Um mantenedor voluntário que publica código em uma plataforma pública não está sujeito às mesmas restrições que um editor que integra esse código em uma oferta paga. A fronteira entre esses dois status, no entanto, permanece nebulosa em vários casos de uso, especialmente para fundações que fornecem binários pré-compilados.
Observamos que essa distinção leva alguns projetos a formalizar sua governança. Produzir um SBOM utilizável implica rastrear cada dependência, incluindo as transitórias. Para projetos comunitários de médio porte, é um esforço de ferramentas considerável, que vai além da documentação existente. Os recursos disponíveis em https://www.espacelibre.net/ permitem acompanhar a evolução dessas questões em torno do livre e de suas comunidades.
Veja também : As últimas tendências e informações essenciais do mundo dos negócios para descobrir
ANSSI e política industrial de código aberto na França
A ANSSI mudou sua postura em relação ao open source em fevereiro de 2026. A agência não se contenta mais em recomendar boas práticas de segurança para os componentes livres: agora apresenta o software livre como um ferramenta de política industrial. As questões de licenças, transferência de projetos entre entidades e o uso interno de soluções open source pela própria agência fazem parte dessa nova abordagem.
Essa mudança de discurso não é cosmética. Ao posicionar o livre como uma ferramenta de soberania técnica, a ANSSI envia um sinal aos contratantes públicos. As administrações que hesitavam em incluir softwares livres em seus contratos agora contam com um apoio institucional mais explícito.
Controle de exportação e licenças open source
Um tema ainda pouco abordado nos círculos comunitários diz respeito ao controle de exportação aplicado aos softwares open source. Os regimes de uso duplo podem teoricamente se aplicar a código publicado sob licença livre, desde que inclua funções criptográficas ou capacidades de monitoramento. A questão se torna mais aguda para projetos europeus que colaboram com contribuidores localizados em jurisdições sob sanções.
Interoperabilidade europeia: os sprints de 100 dias
A União Europeia lançou um formato de colaboração acelerada na forma de sprints de 100 dias dedicados à interoperabilidade de componentes open source. O primeiro escopo alvo é a Suite Numérique francesa e seus equivalentes alemão e holandês. O objetivo é fazer convergir ferramentas soberanas desenvolvidas de forma independente para protocolos comuns.
Esse formato se diferencia dos ciclos habituais de padronização europeia, que se estendem por vários anos. Concentrar o trabalho técnico em um escopo restrito com entregas de curto prazo força as equipes a priorizar os pontos de atrito reais (formatos de arquivos, autenticação federada, gestão de identidades) em vez de produzir especificações teóricas.
Recomendamos acompanhar esses trabalhos de perto. Se os sprints produzirem resultados concretos, eles podem se tornar um modelo replicável para outras áreas, especialmente saúde ou educação, onde suítes livres coexistem sem interoperar.
Iniciativa Akrites: coordenação de vulnerabilidades open source na era da IA
A Linux Foundation e seus parceiros lançaram Akrites, uma iniciativa open source de cibersegurança que visa melhor coordenar a divulgação e correção de vulnerabilidades em projetos livres. O contexto é preciso: a IA acelera a descoberta de falhas, e os processos manuais de triagem não estão mais acompanhando.
Akrites não substitui as CVEs nem os canais de relato existentes. O projeto estrutura uma camada de coordenação entre mantenedores, pesquisadores em segurança e usuários industriais. Três eixos se destacam:
- Um protocolo de divulgação coordenada adaptado para projetos comunitários que não têm uma equipe de segurança dedicada
- Ferramentas de triagem automatizada para priorizar as vulnerabilidades de acordo com sua real explorabilidade, não apenas seu escore CVSS
- Um mecanismo de notificação a montante para distribuições e integradores que incorporam dependências open source
A ligação com o CRA é direta. Os editores sujeitos ao regulamento europeu deverão demonstrar que gerenciam ativamente as vulnerabilidades de suas dependências. Akrites fornece uma infraestrutura compartilhada para atender a essa obrigação, o que reduz a carga individual sobre cada projeto.
IA open source: a tensão entre abertura e controle
O papel do open source na inteligência artificial ganhou uma nova dimensão. Uma grande parte dos modelos de linguagem e dos frameworks de treinamento baseia-se em código aberto. Mas a própria noção de open source aplicada à IA é debatida: publicar os pesos de um modelo sem os dados de treinamento ou o código de pré-processamento não corresponde aos critérios clássicos da liberdade de software.
Essa ambiguidade tem consequências concretas. Os modelos chamados “abertos” publicados por grandes atores industriais frequentemente utilizam licenças restritivas que proíbem certos usos comerciais ou impõem condições de redistribuição incompatíveis com as licenças livres tradicionais. O termo open source aplicado à IA abrange realidades jurídicas muito diferentes dependendo dos projetos.
A entrada em vigor do regulamento europeu sobre IA adiciona uma camada de complexidade. As obrigações de transparência e documentação variam de acordo com o nível de risco do sistema. Um modelo publicado sob licença livre, mas integrado em um sistema de alto risco, herda as restrições regulatórias do sistema final, não as de sua licença.
O livre muda de natureza quando passa de uma ferramenta de desenvolvedores para um componente regulamentado. As comunidades que antecipam essa mudança, estruturando sua governança, equipando sua cadeia de conformidade e participando dos trabalhos de normalização, se posicionam para permanecer relevantes em um ecossistema onde o código sozinho não é mais suficiente.