Un logiciel libre se définit par quatre libertés fondamentales : exécuter le programme, étudier son code source, le redistribuer et distribuer des versions modifiées. Cette base juridique et technique, formalisée par la Free Software Foundation, structure aujourd’hui un écosystème qui dépasse largement le cercle des développeurs. Les actualités numériques de 2026 montrent que l’open source est désormais un enjeu réglementaire, industriel et géopolitique à part entière.
Cyber Resilience Act : ce que le CRA change pour les projets open source
Depuis le 11 septembre 2026, les obligations de signalement du Cyber Resilience Act (CRA) européen sont entrées en application. Les fabricants de produits contenant des éléments numériques doivent notifier les vulnérabilités activement exploitées et les incidents graves, selon un calendrier échelonné jusqu’en 2027.
Le point le plus structurant pour le monde du logiciel libre concerne la création d’une catégorie juridique spécifique : les open source software stewards. Ce terme désigne les entités qui soutiennent de manière systématique et durable un projet open source à finalité commerciale. Les développeurs individuels et les contributeurs bénévoles restent hors du champ des obligations.
La distinction paraît claire sur le papier, mais elle pose des questions concrètes. Un acteur qui publie et maintient régulièrement sur espacelibre.net des ressources autour des logiciels libres n’a pas le même statut qu’une entreprise qui intègre un composant open source dans un produit vendu. Dans ce second cas, l’intégrateur peut basculer au statut de « manufacturer » avec des obligations pleines de conformité, même si le code initial est libre.
Cette frontière entre usage non commercial et chaîne d’approvisionnement commercialisée est devenue le vrai sujet de conformité en 2026. Plusieurs analyses juridiques publiées ces derniers mois soulignent que l’intégration d’un composant libre dans un produit vendu transforme le statut juridique de l’acteur.
Sécurité de la supply chain logicielle : un chantier open source prioritaire
La multiplication des attaques visant la chaîne d’approvisionnement logicielle a poussé la communauté open source à structurer ses pratiques de sécurité.
Le principe central est la traçabilité : chaque composant intégré dans un logiciel doit pouvoir être identifié, versionné et audité. Les SBOM (Software Bill of Materials) deviennent un standard attendu par les donneurs d’ordres, qu’ils soient publics ou privés.
- La génération et la mise à jour d’un SBOM pour chaque version publiée permettent d’identifier rapidement un composant vulnérable dans la chaîne de dépendances.
- Les outils de signature cryptographique du code (comme Sigstore) se généralisent pour garantir l’intégrité des paquets distribués.
Pour les entreprises utilisatrices de briques open source, la question n’est plus de savoir si elles doivent auditer leurs dépendances, mais à quelle fréquence et avec quels outils. La sécurité de la supply chain logicielle conditionne désormais l’accès au marché européen.
Souveraineté numérique européenne et logiciels libres : au-delà du discours
L’Union européenne a engagé une consultation pour structurer son écosystème de logiciels libres, dans un contexte où la souveraineté numérique reste largement dépendante d’infrastructures cloud américaines. Le débat dépasse la simple préférence technique : il s’agit de savoir qui maîtrise le code des infrastructures critiques.
Côté collectivités, le mouvement de migration vers des solutions libres se poursuit. L’État français maintient un socle interministériel de logiciels libres recommandés, qui dépasse les cinq cents références. Ce catalogue couvre des usages allant de la bureautique à la gestion de bases de données, en passant par la messagerie et les outils collaboratifs.
Le frein principal reste la dépendance aux formats propriétaires et à l’écosystème applicatif des grands éditeurs. Migrer un poste de travail vers LibreOffice ou Thunderbird ne pose pas de difficulté technique majeure, mais l’interopérabilité avec les partenaires externes qui utilisent des suites propriétaires génère des coûts de friction bien réels.
IA et open source : transparence contre « open washing »
L’intelligence artificielle est devenue le terrain de confrontation le plus visible entre approches ouvertes et fermées. Plusieurs organisations, dont l’Open Source Initiative (OSI), ont alerté sur la pratique consistant à présenter des modèles d’IA comme open source alors qu’ils ne publient que les poids du réseau, sans les données d’entraînement ni le code complet de la pipeline.
Le terme « open weights » ne signifie pas open source au sens des quatre libertés fondamentales. Un modèle dont les poids sont publics mais dont les données d’entraînement restent secrètes ne permet ni la reproductibilité ni l’audit indépendant. Cette distinction technique a des conséquences directes sur la confiance que les utilisateurs et les régulateurs peuvent accorder à ces systèmes.
- L’EU AI Act, dont certaines échéances de conformité arrivent en 2026, impose des exigences de transparence qui vont au-delà de la simple publication des poids.
- Des projets comme ceux portés par la Linux Foundation travaillent à définir des standards ouverts pour la certification des agents IA, avec un principe résumé par la formule « ne faites pas confiance, vérifiez ».
La bataille de l’IA open source se joue sur la définition même du terme « ouvert ». Tant que les acteurs dominants pourront qualifier d’open source des modèles partiellement ouverts, le marché restera opaque pour les utilisateurs comme pour les régulateurs. Les prochains mois détermineront si les standards en cours d’élaboration parviendront à imposer une transparence vérifiable, ou si le label « open » restera un argument marketing sans garantie technique.