Attention au « faux » libre, c’est-à-dire du gratuit trop dépendant d’une entité.

Yves Billon l’avait fait remarquer à la commission d’enquête parlementaire sur les dépendances numériques lorsque celle-ci menait, au printemps, ses auditions. « Cela concerne plusieurs sociétés, avait assuré le chef du service du numérique au secrétariat général des ministères économiques. Mais l’une, en particulier, dont le logo représente un chapeau rouge, nous pose des difficultés », avait-il ajouté…

Risque de centralisation

Matthieu Weill, intervenu lors de la même audition, lui avait en quelque sorte fait écho. « Nous avons de multiples exemples de solutions libres dont le cœur de l’équipe éditrice dépend en fait d’une société », avait expliqué le directeur de la transformation numérique au ministère de l’Intérieur. De là naît un risque : « Au début, le modèle économique de la société éditrice repose sur un logiciel libre avant qu’un nouvel investisseur n’arrive et que la stratégie change : la version libre est alors réduite à peau de chagrin, les maintiens en conditions opérationnelles et de sécurité ou les fonctionnalités de grande valeur que l’on utilisait deviennent payantes ».

Il faut, plus globalement, appliquer au logiciel libre le même type d’analyse et de réflexion que pour les solutions privées, affirme Matthieu Weill. En particulier, donc, avoir une « vision de long terme qui englobe le MCO et le MCS ».

À ce sujet, l’intéressé ajoute : « De même qu’un fournisseur peut faire faillite, un commun numérique qui n’est pas suivi dans la durée peut créer un problème de dépendance que l’on devra résoudre dans l’urgence ».

Ne pas trop miser sur les communs numériques ?

Auditionné ultérieurement, Alain Garnier s’est montré circonspect quant aux communs numériques. Ils sont certes un levier d’accélération de la capacité industrielle, a reconnu le président de Jamespot. Mais ils « ne rendent pas un industriel capable de packager un produit, d’innover et d’assurer un support ». Surtout, ils procurent aux GAFAM une matière première pour leurs IA et leurs systèmes. Alain Garnier y voit un « risque que nous courons pour les dix prochaines années » : celui de financer, par nos impôts, les briques que les Big Tech exploiteraient à leur profit « avant de nous les revendre avec le marketing, le support et l’intégration adéquats ».

Mélanie Dulong de Rosnay, directrice de recherche au CNRS, va dans le même sens. Les licences libres et ouvertes favorisent la diffusion, mais « autorisent l’extraction de la valeur sans réciprocité ni soutien à la création ou à l’infrastructure, alors que les communs numériques sont produits grâce à des financements publics ou au travail bénévole de communautés ».

Penser relations communautaires

Le déploiement d’outils libres nécessite aussi d’intégrer les ruptures technologiques, telle celle qu’a introduite Office 365, a rappelé Yves Billon. « On peut faire de la bureautique avec LibreOffice, mais on ne bénéficie pas de l’expérience utilisateur d’Office 365, de l’expérience cloud. Il a fallu reconstruire beaucoup de choses derrière. On y a beaucoup perdu sur le plan fonctionnel. Les utilisateurs l’ont ressenti. »

Les logiciels libres nécessitent, plys globalement, des ajustements avant leur installation dans de grandes organisations. Yves Billon mentionne le cas de la DGFiP. Non dépendante de Microsoft, elle s’était vu enjoindre d’opérer une structuration plus profonde de son SI au moyen d’un équivalent à Active Directory. La solution, Samba, n’était pas en mesure de gérer la complexité de l’organisation. On a donc dégagé des moyens pour l’adapter. « Nous nous sommes efforcés de mutualiser l’action à l’échelon interministériel. Nous avons perdu un an à un an et demi dans les négociations budgétaires pour trouver un accord. »

La démarche illustre ce qu’Yves considère comme une nécessité globale : savoir travailler avec les communautés. « Il importe qu’au sein des DSI, un certain nombre de personnes soient connues des communautés ou, au mieux, soient référentes au sein de celles-ci. »

Tenir compte de l’existant

Chez Tomasz Blanc, même son de cloche au sujet des ruptures technologiques. Le libre « offre parfois une ergonomie ou des fonctions collaboratives moins abouties » que des solutions commerciales, déclare le chef du service des SI de la DGFiP. Il impose aussi une discipline technique « pour ne pas s’égarer dans un écosystème trop foisonnant ».

« Il y a aussi des préalables techniques à valider, reconnaît l’intéressé, en écho à ses collègues. Sur un parc de 110 000 à 115 000 postes de travail, le défi, c’est l’administration de la flotte. Il faut pouvoir diffuser rapidement des correctifs de sécurité et déployer des logiciels à distance sans intervention physique. [Notre] environnement Windows bénéficie d’une automatisation très poussée. Nous devons nous assurer de disposer d’outils équivalents. »

Il faut aussi tenir compte de l’existant. À la DGFiP, il y a notamment encore des serveurs IBM Z qui supportent les applications historiques de calcul de l’impôt ou d’échanges bancaires. « Fiables et performants », ils sont coûteux (4,5 M€). Et en sortir est complexe : « La migration d’applications cobol vers des logiciels libres exige des projets longs et des tests rigoureux, comme l’illustre la refonte progressive de la paye des fonctionnaires d’État. »

La question de la maintenance

Dans le même esprit qu’Yves Billon, Thomas Jan, DGA en charge de l’innovation et de la stratégie numérique de l’UniHa (Union des hôpitaux pour les achats), souligne les questions d’interconnexion et d’interopérabilité que soulève le déploiement de logiciels libres.

Baptiste Grigy n’en dit pas moins, quoique dans un registre plus spécifique. « Nous essayons d’aller vers l’open source là où c’est possible, mais [ça ne l’est pas] partout. […] Microsoft, par exemple, est très profondément ancré dans nos SI, au-delà de ce que l’on voit comme l’OS et la suite Office : il pilote aussi la gestion de nos identités avec Active Directory ou la gestion de nos parcs de PC et de serveurs. »

Le DSI du CEA mentionne lui aussi le risque d’évolution des politiques tarifaires (« Au départ, c’est gratuit, puis, à mesure que l’usage augmente, que vous voulez mettre plus de données ou utiliser certaines fonctionnalités, cela devient payant »). Il élargit son propos : l’open source « présente une difficulté de mise à jour et nécessite des ressources internes importantes ».

Damien Rousset exprime le même sentiment. « L’open source a ses limites, notamment en termes de ressources humaines pour la maintenance, que nous n’avons pas toujours », déplore le directeur général délégué à l’administration de l’Inserm. « Avec les solutions propriétaires, nous recevons des paquets de mises à jour sur lesquels il suffit de cliquer pour les déployer, ajoute-t-il. Les outils open source […] demandent plus d’efforts : il faut […] parfois ‘ouvrir le capot’ ».

Des angles morts, comme en cyber

Dans ce contexte, l’Inserm ne perçoit pas toujours de débouchés open source pour remplacer ses outils propriétaires. Notamment dans la cyber. Son DSI Sammy Sahnoune confirme : « Nous avons évoqué les ressources humaines nécessaires pour administrer des solutions open source. J’en ai plusieurs en tête pour lesquelles il faudrait une armée derrière, car l’administration se fait presque en ligne de commande. C’est possible pour un administrateur compétent. Mais au-delà de cela, je dirais que c’est la conception même des outils américains qui est extrêmement ergonomique et facilitatrice. »

Les options open source en matière d’outils spécialisés en cybersécurité « sont souvent limitées », confirme Vincent Strubel, directeur général de l’ANSSI.

Le catalogue de ressources ouvertes dans le domaine de l’IA est plus foisonnant. Mais il est « à la fois une réponse et une vulnérabilité », avertit Dominique Luzeaux, général de division, chargé de mission « transformation numérique » auprès du commandant suprême allié pour la transformation de l’OTAN. « Lorsque des services de très bas niveau, téléchargés par de très nombreux développeurs sont programmés par une toute petite communauté d’informaticiens russes employés par l’entreprise Yandex, la question de la vulnérabilité se pose de façon aiguë. Or, tous les utilisateurs ne sont pas capables de vérifier l’intégralité des codes proposés. Et le très grand nombre de communautés qui existent, notamment sur GitHub, ne permet pas d’effectuer une revue exhaustive desdits codes. »

À consulter en complément :

Le rapport de la commission d’enquête et ses 29 propositions
L’analyse des dépendances de la sphère publique à Microsoft, à Oracle et à VMware
Les livrables produits en un an par le Conseil national de l’IA et du numérique
L’alerte de la Cour des comptes sur les pépites françaises de l’informatique quantique
Souveraineté numérique : le diagnostic fait consensus, pas le remède

Illustration générée par IA

The post Open source et secteur public : pourquoi ce n’est pas si facile appeared first on Silicon.fr.

Le CRA y ouvre la voie, comme le futur CADA : l’UE doit accroître son empreinte dans la gouvernance des fondations open source.

La Commission européenne a récemment formalisé cet objectif. L’essentiel des ressources de ces organismes proviennent aujourd’hui des États-Unis et de Chine, reconnaît-elle.

La fondation OpenClaw en est un exemple. Elle avait commencé à se structurer lorsque le créateur du projet éponyme avait rejoint OpenAI. C’était en février 2026. Aujourd’hui, elle a un statut juridique (organisation à but non lucratif de droit américain), des sponsors financiers et une équipe à temps plein.

L’essentiel des 10 membres de cette équipe sont localisés en Amérique du Nord et ont fait leur carrière sur place. Parmi eux, il y a, côté technique, Patrick Erichsen et Dallin Romney, cofondateurs de Continue Dev (acquis par Cursor). Sur l’opérationnel, on peut citer :

• Jennifer Vescio (directrice des partenariats), ancienne directrice bizdev d’ESPN, d’eBay, de Verizon puis d’Uber
• Matthew Jasie (directeur financier), qui a occupé des postes à responsabilités dans le monde universitaire, puis dans une filiale d’Havas et chez Jabra, entre autres
• Kelly Pike (directrice ressources humaines), qui s’est occupée du recrutement dans plusieurs organisations après avoir été responsable PME puis secteur public chez Lenovo

Un écosystème entre l’Amérique du Nord et l’Asie

La fondation OpenClaw cherche d’autres profils pour son équipe technique, à 200-300 k$ par an. Elle propose la même fourchette de rémunération pour des forward-deployed engineers. Et un peu plus pour des product designers (250-350 k$).

Des postes sont également ouverts pour s’occuper des relations développeurs en Amérique du Nord et en Asie-Pacifique. Mais pas en Europe.

Même « tendance géographique » chez les organisations que représentent les 28 gestionnaires (maintainers) actuels d’OpenClaw. Ils sont 4 à travailler pour Microsoft, autant pour NVIDIA. On en trouve 3 d’OpenAI comme de Tencent. Deux sont de la maison Atlassian. Xiaomi, Red Hat et Hugging Face, notamment, comptent un représentant.

Microsoft, NVIDIA et OpenAI sont sponsors financiers de la fondation, à l’instar de l’université du Michigan. Le premier s’est appuyé sur OpenClaw pour lancer l’assistant IA Scout. Le deuxième a développé NemoClaw, qui associe ses modèles Nemotron à un runtime maison (OpenShell) doté de primitives de sécurité spécifiques. Le troisième a constitué une équipe interne dite Claw Labs, sous la responsabilité du fondateur d’OpenClaw.

La sécurité, chantier prioritaire d’OpenClaw

Tencent a travaillé en particulier sur la sécurité d’OpenClaw. C’est une priorité du projet, fortement décrié – voire déconseillé – pour ce motif. Afin de réduire la surface d’attaque, des travaux d’allégement du cœur fonctionnel ont été engagés, diverses capacités étant déportées dans des modules complémentaires.

Le registre ClawHub a lui aussi été « durci ». Un agent Codex évalue désormais chaque skill publiée, en s’appuyant sur trois scanners. En l’occurrence :

• Une analyse statique « maison »
• VirusTotal pour la détection des malwares
• NVIDIA SkillSpector pour de l’analyse sémantique (détection des instructions cachées, des chemins de code risqués, etc.)

Un système de packages officiels est par ailleurs à l’étude. Tout comme une liste d’« éditeurs de confiance » (trusted publishers) et l’intégration d’un signal de confiance fondé sur l’usage de fs-safe.

En attendant, OpenClaw a renforcé la vérification des commandes shell, en intégrant l’évaluation des wrappers -c pour détecter les chaînes contenant des exécutables. Il a aussi intégré un proxy pour contrôler plus finement les URL sortantes.

Illustration générée par IA

The post Fondation OpenClaw : l’Europe largement exclue de la gouvernance appeared first on Silicon.fr.

Office, Windows, SQL Server… La Ville de Lyon ne veut plus des logiciels Microsoft.

Il y a tout juste un an, cette décision avait eu un certain écho. Elle n’avait, en soi, rien de nouveau : les démarches étaient déjà engagées. La municipalité leur avait cependant donné du relief par voie de communiqué.  Elle déclarait son intention ferme « ne plus être dépendante des solutions logicielles états-uniennes ». Et exposait deux initiatives structurant cette « volonté d’émancipation ». D’une part, le déploiement d’une bureautique libre au sein de ses services, autour d’OnlyOffice. De l’autre, la création d’une suite collaborative intercommunale. Ce projet devait alors s’échelonner jusqu’à 2028. Aux manettes, un opérateur public de la région : le SITIV (Syndicat intercommunal des technologies de l’information pour les villes).

Un rapport sur la France… alimenté par la France

Cet épisode est repris dans un rapport de la Commission européenne. Plus précisément de sa direction générale de l’informatique (DIGIT). Sujet : l’état de l’open source en France.

La première version de ce rapport remonte à 2020. Elle résultait de travaux menés par Wavestone dans le cadre du programme ISA (Solutions d’interopérabilité pour les administrations publiques européennes).
Une première mise à jour était intervenue en 2023, reflétant la situation à février. En toile de fond, il n’y avait plus l’ISA, mais l’« Europe interopérable », concept qui deviendrait un programme l’année suivante. Dans ce contexte, le think tank OpenForum Europe avait officiellement pris la main sur le rapport, Wavestone restant néanmoins impliqué.

Deloitte a rejoint la boucle pour une deuxième mise à jour, arrêtée à mai 2026. Comme de coutume, on nous précise que le contenu « ne reflète pas nécessairement l’opinion officielle de la Commission européenne ». Il faut dire qu’à nouveau, la France a apporté sa contribution. Notamment par la voie de :

• Jaime Arredondo, expert open source à la DINUM
• Pierre Baudracco, fondateur de Blue Mind et coprésident du CNLL
• Matthieu Faure, directeur de l’Adullact
• Stéfane Fermigier, fondateur d’Abilian et coprésident du CNLL
• Pierre-Yves Gibello, directeur général d’OW2
• Bastien Guerry, responsable des partenariats de Software Heritage et ancien référent logiciel libres de la DINUM

2026 : l’ANSSI remodèle sa posture sur l’open source…

De la loi Lemaire à l’équipe InriaSoft en passant par le basculement de la gendarmerie nationale vers Linux, l’essentiel des éléments qui figuraient dans la version 2023 ont été conservés.

Au rayon des nouveautés, il y a le remodelage de la posture générale de l’ANSSI sur l’open source. C’était en février 2026. L’agence l’affirme désormais comme levier de sa politique industrielle. Elle met davantage d’accent sur les licences, les transferts de projets et sur sa propre utilisation de solutions open source.

… et la DINUM crée un « forum du numérique ouvert »

Autre nouveauté 2026 : le « forum du numérique ouvert ». Il s’inscrit dans l’offre du pôle « open source et communs numériques » de la DINUM. Il y complète le « portail du numérique ouvert » (ressources, produits, événéments et communautés soutenus par la DINUM et ses partenaires autour du numérique ouvert dans l’administration) et la documentation associée. L’accès est réservé aux agents. Promesse : compléter « une dynamique d’entraide […] jusqu’ici diffuse sur des canaux Tchap ».

2025 : DC-EDIC voit le jour…

Pour 2025, le rapport mentionne la création de DC-EDIC. C’était au mois d’octobre. L’Allemagne et la France sont fondatrices de ce consortium européen pour les communs numériques, aux côtés des Pays-Bas et de l’Italie. Le siège statutaire se trouve à Paris. Deux projets sont en cours. D’une part, des « sprints » de 100 jours pour améliorer l’interopérabilité de composants open source – le focus initial est sur La Suite Numérique et ses homologues allemande (openDesk) et néerlandaise (MijnBureau). D’autre part, un pilote de fonds européen pour la tech souveraine. Il s’inspire de la Sovereign Tech Agency allemande, qui a investi dans des briques critiques comme cURL, FreeBSD, GNOME, Python, PHP et OpenSSH.

… comme France Numérique Libre

En mai 2025, la France fut le premier pays à approuver les Principes des Nations unies pour l’open source. Ils s’articulent en 8 lignes directrices : ouvert par défaut, sûr dès la conception, conçu pour être réutilisé, etc. Depuis, l’Afrique du Sud a fait de même. Comme, dans la sphère publique, le land allemand du Schleswig-Holstein, le canton de Genève et le ministère de la Justice turc.

En avril 2025 naquit France Numérique Libre. Des responsables informatiques de collectivités territoriales* sont à l’origine de ce collectif destiné à échanger sur la mise en place de logiciels libres.

2023-2024 : la DINUM active subventions, mécénat… et La Suite Numérique

Sur la période 2023-2024, il y a le démarrage de La Suite Numérique. Le projet a émergé dans la continuité du SNAP (sac à dos numérique de l’agent public). Il en a repris les principales briques (Tchap, France transfert, Audioconf, Webconf…) avec un double objectif d’interconnexion et d’extension. L’ANCT a la charge de la conception et du déploiement d’une déclinaison ciblant les collectivités (La Suite Territoriale).

Fin 2023, la DINUM signait une convention de mécénat pour 12 mois avec DesCodeuses. Elle s’engageait à mettre une partie de ses salariés à disposition de cette association qui forme au numérique les femmes des quartiers populaires.

Fin 2022, elle avait signé une convention de subvention pour la Fondation NLnet. Cette dernière, née en 1997 après la vente des activités commerciales du FAI du même nom, a depuis lors soutenu des projets autour de Collabora, DNSSEC, OpenPGP, Rust, etc. Le soutien de la DINUM était dans la perspective de remettre des prix FLOSS (Free Libre Open Source Software) à des citoyens et des organisations de l’UE, pour leur travail sur les logiciels libres utilisés dans les administrations françaises. Le premier fut attribué en 2024 à Simon Kelley, créateur de dnsmasq (serveur DNS et DHCP).

À consulter en complément :

L’open source n’est plus « gratuit par défaut »
La SNCF, utilisatrice désormais primée de l’écosystème Kubernetes
Visio, la solution de l’État qui divise l’écosystème tech français
La définition de l’IA open source demeure fondée sur un compromis

* En tête de liste, Nicolas Vivant, directeur de la stratégie et de la culture numériques à la mairie d’Échirolles (région de Grenoble).

Photo d’illustration © LAYHONG – Adobe Stock

The post Comment l’UE se représente l’open source en France appeared first on Silicon.fr.

Pendant des décennies, l’open source a incarné une promesse simple : celle d’un accès libre et gratuit à des technologies de pointe. Cette vision a porté l’innovation numérique mondiale, permis l’émergence de géants du web et démocratisé l’accès au code.

Aujourd’hui, cependant, l’adoption de la loi européenne sur la cyber-résilience, parallèlement au cadre établi par la loi sur l’IA, redéfinit la réalité opérationnelle tant pour les applications logicielles que pour les modèles d’intelligence artificielle, ce qui a un impact direct sur la manière dont les entreprises acquièrent, déploient et font évoluer leurs technologies.

Nous assistons à un tournant historique. L’open source, longtemps perçu comme un bien commun sans contrepartie, devient un actif stratégique dont l’usage implique une responsabilité pleine et entière. Pour les entreprises, cette évolution est une opportunité de transformer la conformité réglementaire en avantage compétitif durable.

Pour franchir ces prochaines échéances réglementaires, il est cependant nécessaire d’abandonner une approche cloisonnée au profit d’une architecture proactive intégrant la sécurité dès la conception. À condition de comprendre que le modèle économique et opérationnel de l’open source est en train de basculer définitivement.

Du mythe du gratuit à la réalité de la responsabilité : Quelles stratégies les DSI et les directeurs techniques doivent-ils mettre en œuvre ?

Pour se conformer à la loi sur la cyber-résilience, les entreprises devront mettre en place une gestion proactive des vulnérabilités, suivre et contrôler chaque dépendance, et assumer l’entière responsabilité opérationnelle de tous les composants intégrés tout au long de leur cycle de vie.

Ceci marque la fin d’une époque où les entreprises pouvaient intégrer librement des composants open source dans leurs systèmes critiques sans se poser de questions sur leur maintenance, leur sécurité ou leur conformité.

Le risque opérationnel lié au code non géré : l’exemple de Log4Shell, cette faille critique découverte en décembre 2021 dans une bibliothèque Java omniprésente, a révélé l’ampleur du défi. Des milliers d’entreprises à travers le monde ont dû identifier en urgence tous les systèmes utilisant ce composant, corriger les versions vulnérables et documenter l’ensemble du processus de remédiation.

Celles qui disposaient déjà d’une gouvernance rigoureuse de leurs composants open source ont pu réagir en quelques heures. Les autres ont mis des semaines, voire des mois, à cartographier leur exposition et à déployer les correctifs.

Plutôt que de considérer ces obligations comme un obstacle administratif, les entreprises tournées vers l’avenir y voient une occasion d’harmoniser leurs pratiques d’ingénierie, de protéger leurs données critiques et de garantir une stabilité continue en production.

La mise en place de ces bases solides permet aux organisations de mettre en place des processus de développement renouvelables qui réduisent considérablement les temps d’arrêt et accélèrent l’innovation à long terme.

Ces principes de base ne sont pas un nouveau concept. Il y a plusieurs décennies, certains pionniers de l’open source en entreprise ont mis en place un modèle économique et opérationnel entièrement fondé sur la sécurité proactive, le support industriel, une gouvernance rigoureuse des composants et des cycles de vie contrôlés.

Ce modèle, longtemps considéré comme un coût supplémentaire par certaines organisations, va désormais devenir la norme. Les entreprises qui ont très tôt misé sur cette approche professionnelle de l’open source se trouvent aujourd’hui en position de force : elles sont déjà en conformité avec le CRA.

De la cybersécurité à la gouvernance de l’intelligence artificielle

Contrairement au logiciel classique, l’intelligence artificielle introduit des dimensions nouvelles qui dépassent largement la seule question de la sécurité du code. Désormais, il ne suffit plus de garantir qu’un modèle IA est exempt de vulnérabilités techniques.

Pour respecter la loi sur l’IA, Il faut aussi pouvoir tracer l’origine des données d’entraînement, expliquer la logique des décisions prises par l’algorithme, auditer les biais potentiels et classifier les systèmes selon leur niveau de criticité.

Cette exigence soulève une question fondamentale : que signifie réellement « open source » dans le contexte de l’intelligence artificielle ? Un modèle peut être techniquement ouvert, avec ses poids publiés et son architecture documentée, sans pour autant être transparent sur ses données d’entraînement, les biais potentiels ou ses limites d’utilisation.

L’AI Act impose une responsabilité bien plus large aux entreprises. Utiliser un modèle open source implique désormais de comprendre son entraînement, de documenter précisément son usage, de garantir sa conformité avec les exigences réglementaires selon la classification du système. L’open source devient ainsi un actif critique à gouverner, et non plus un simple accélérateur technique que l’on intègre sans questionnement.

Pour les organisations de défense, de santé, de finance ou d’infrastructures critiques, cette exigence est d’autant plus forte. Un modèle IA mal maîtrisé peut avoir des conséquences catastrophiques sur la sécurité nationale, la vie privée des citoyens ou la stabilité économique.

Le passage du « j’utilise gratuitement » au « j’assume pleinement, je sécurise et je documente mes usages » marque une évolution profonde vers une démarche responsable et structurée.
C’est ce que l’on pourrait appeler le « Responsible Open Source by Design », un parallèle direct avec le « security by design », mais appliqué à l’ensemble de la chaine de valeur de l’IA.

Cette approche nécessite des outils, des processus et surtout une culture d’entreprise où la responsabilité technique et juridique est partagée entre les équipes data science, IT, juridique et métier. Elle impose d’intégrer dès la conception la gouvernance des modèles et des données, la traçabilité complète de la chaîne IA du dataset brut au modèle déployé en production, la sécurité continue avec monitoring et mise à jour, ainsi que la conformité réglementaire avec documentation et auditabilité.

Les plateformes d’IA d’entreprise les plus matures intègrent désormais nativement ces capacités de gouvernance, de traçabilité des pipelines et de sécurité des déploiements. Elles font partie intégrante de l’architecture et contribuent, dès la conception, à garantir la conformité et la résilience du système.

L’évolution des cadres réglementaires, tels que la loi sur la cyber-résilience et la loi sur l’IA, oblige désormais les entreprises à évoluer dans un environnement opérationnel bien plus contraignant. L’utilisation de code provenant de communautés open source implique une certaine responsabilité, mais le respect de ces nouvelles normes ne signifie pas pour autant que vous deviez repenser entièrement votre infrastructure existante.

Opter pour des solutions open source responsables devient un choix stratégique qui permet aux entreprises de se démarquer. En adoptant des technologies open source fiables et adaptées, elles peuvent mettre en place un modèle où la conformité est pratiquement intégrée dès le départ, ce qui leur permet de protéger leurs investissements actuels en infrastructure tout en gagnant en agilité pour s’adapter aux futures évolutions réglementaires.

Dans un monde où la souveraineté numérique, la cybersécurité et l’intelligence artificielle deviennent des priorités stratégiques au niveau national et européen, l’open source responsable est la seule voie viable.

* Thomas Belarbi est EMEA Defense Lead chez Red Hat

The post L’open source n’est plus « gratuit par défaut » : il devient un choix stratégique et responsable appeared first on Silicon.fr.

La suppression de l’article 6 de la directive copyright n’est pas pour tout de suite.

La Commission européenne ne le prévoit en tout cas pas dans sa nouvelle stratégie open source.

La demande était régulièrement revenue dans l’appel à contributions organisé en début d’année. Motif : cet article a pour effet, entre autres, de criminaliser la rétroingénierie de certaines technologies. Les témoignages appelant à son amendement ou à sa suppression mettaient notamment en avant l’opportunité de réduire le risque géopolitique : on pourrait plus facilement reprendre la main sur des logiciels auxquels l’accès serait coupé. On pourrait aussi, plus globalement, développer des outils simplifiant le basculement vers l’open source depuis des solutions propriétaires.

Incorporer l’open source dans les procédures de commande publique

Bruxelles estime qu’il sera nécessaire de mobiliser 2 Md€ de financements (public + privé) sur 7 ans dans le cadre de cette nouvelle stratégie open source. Un montant à comparer aux 120 Md€ alloués aux semi-conducteurs et aux 200 Md€ pour les datacenters.

Le cadre financier pluriannuel 2021-2027 de l’UE comprend déjà une enveloppe de 800 M€ pour l’open source. Mais la vision ne se porte pas assez sur le long terme, affirme la Commission européenne. Jusqu’au niveau de la commande publique, admet-elle. Cette dernière a tendance à « se focaliser sur le coût immédiat », favorisant l’effet de lock-in sur les solutions propriétaires, autour desquelles se sont d’ailleurs historiquement structurées les spécifications des appels d’offres.

Pour « inverser la tendance », la Commission européenne promet d’aider les autorités publiques à incorporer la dimension open source dans leurs procédures d’achat de logiciels. Tant pour la rédaction des appels d’offres que pour l’évaluation des propositions. Elle mentionne, à ce sujet, la Deutschland-Stack, plate-forme technologique « souveraine » dont l’Allemagne a engagé la constitution début 2026 pour son administration publique.

Donner une couleur européenne aux fondations open source

Porter l’adoption de l’open source dans le secteur public implique aussi d’identifier les actifs-clés. La Commission européenne en cite un en particulier : DCAT-AP. Cette spécification basée sur un standard W3C (l’ontologie RDF Data Catalogue Vocabulary) alimente quantité de ses portails de données.

Parmi les structures qui contribuent à ce travail d’identification, il y a les EDIC (European Digital Infrastructure Consortia). Ce sont des consortiums censés permettre la mise en commun de ressources pour développer des infrastructures numériques. L’un d’entre eux (DC-EDIC, établi en octobre 2025) vise le développement de communs numériques. La France et l’Allemagne en sont fondatrices, aux côtés des Pays-Bas et de l’Italie. La Commission européenne le cite à plusieurs reprises dans sa nouvelle stratégie open source. Elle ajoute en prévoir un autre dédié au numérique dans l’éducation – avec, en ligne de mire, une suite logicielle ouverte pour écoles et universités.

DC-EDIC est également mis en avant comme levier pour accroître l’empreinte européenne dans la gouvernance des fondations open source. Dans ce domaine, la Commission européenne rappelle les jalons posés avec le Cyber Resilience Act, qui instaure un régime spécifique à ces entités. Elle s’engage à y adjoindre une « boîte à outils » et un soutien financier – non chiffré en l’état. Tout en projetant un autre EDIC pour gouverner les actifs open source stratégiques qu’elle développe ou cofinance.

L’Open Internet Stack, pour regarder vers le Web 4.0

Des financements, il y en aura aussi à travers le Fonds européen pour la compétitivité. Enveloppe prévisionnelle : 234 Md€ sur 2028-2034, pour aider les start-up et les modèles économiques de l’open source à passer à l’échelle.

Autre champ d’opportunités : l’Open Internet Stack, continuité de l’initiative NGI (Next-Generation Internet). Enclenchée en 2025, elle mobilise pour le moment quelque 40 M€ sur trois dispositifs.

• 20,5 M€ pour le cœur technologique (réseau et transport, OS et firmwares, développement logiciel…)
• 4 M€ pour le déploiement (catalogage, packaging, validation, maintenance, marketing, formation…)
• 16 M€ pour le Web 4.0 (censé, selon Bruxelles, concrétiser l’intégration entre objets et environnements numériques et réels) et les mondes virtuels

Une association française citée en exemple pour son indice de résilience numérique

Pour accroître la notoriété des solutions open source existantes, la Commission européenne prône la fourniture d’outils d’évaluation de la souveraineté des chaînes de valeur numériques. Au-delà des bases que pose sa proposition de règlement CADA (Cloud & AI Development Act), elle évoque deux initiatives. D’un côté, la Software Sovereignty Scale, inspirée de l’étiquetage énergétique, et qu’on doit à Dries Buytaert, fondateur de Drupal. De l’autre, l’Indice de résilience numérique de l’aDRI (association for Digital Resilience Initiative). À l’origine de cette association loi 1901**, il y a David Djaïz (haut fonctionnaire, entre autres ancien rapporteur général du Conseil national de la refondation), Yann Lechelle (qui fut DG de Scaleway) et Arno Pons (délégué général du think tank Digital New Deal).

Comme lors de l’ouverture de l’appel à contributions, la Commission européenne dresse un bref bilan chiffré de l’initiative NGI. Lancée en 2018, elle aura financé quelque 1700 projets, en mobilisant 190 M€ via Horizon 2020 puis Horizon Europe. Bruxelles se réfère à une étude commandée à Gartner pour affirmer que 57 % des projets fournissent effectivement une alternative aux solutions du marché. On soulignera que moins d’un tiers (32 %) ont obtenu un financement ultérieur.

Entre autres chiffres communiqués dans la stratégie open source :

• 4500 utilisateurs enregistrés sur code.europa.eu, pour 1280 dépôts
• 1047 solutions référencées dans le catalogue open source de l’UE (lancé en mars 2025, il fédère des catalogues de 11 États membres)
• 25 membres de 11 pays de l’UE dans le réseau des OSPO
• « Plus de 300 » sites du domaine europa.eu utilisant Drupal

Hormis Drupal, la Commission européenne rappelle avoir lancé des initiatives autour de Matrix et d’openDesk. Elle explique aussi avoir déployé OpenVPN et disposer d’une instance Mastodon, avec une extension prévue aux autres institutions de l’UE.

Un train d’initiatives IA en cours

Parmi ses actions en cours à la croisée de l’IA et de l’open source, elle mentionne AIoD, Destination Earth, DVPS, ELLIOT, GenAI4EU et OpenEuroLLM.

AIoD (AI-on-Demand) centralise les ressources que produisent les projets Horizon Europe. Il fonctionne en synergie avec les Pôles européens d’innovation numérique, qu’elle équipe en briques IA et dont elle distribue les solutions.

L’UE a injecté 150 M€ dans Destination Earth, qui vise à créer un jumeau numérique de la Terre pour prédire l’interaction entre les phénomènes naturels et les activités humaines.

DVPS (Diversibus Viis Plurima Solvo ; « Par des moyens divers, je résous de nombreux problèmes ») a bénéficié d’une subvention de 25 M€. Censé s’échelonner sur 2025-2029, il est porté par un consortium académique-industriel que coordonne une entreprise italienne. Son objectif : avancer sur l’entraînement multimodal des modèles de fondation, en ancrage avec le monde physique.

ELLIOT est moins « spécialisé ». Lui aussi subventionné à hauteur de 25 M€, il doit produire des modèles multimodaux généralistes.

Destiné à stimuler le développement d’IA génératives « made in Europe », GenAI4EU dispose, aux dernières nouvelles, d’une enveloppe de 700 M€. Dont 50 M€ alloués aux modèles d’IA ouverts.

OpenEuroLLM a démarré début 2025. L’EDIC qui le porte a son siège statutaire en France. Il doit en résulter une famille de LLM open source couvrant toutes les langues officielles de l’UE. Budget global : 37,4 M€, dont 20,6 M€ proviennent du programme pour une Europe numérique.

Vers une mise en miroir des dépendances critiques

La diffusion de l’open source dans l’industrie se fera notamment via les appels d’offres inscrits dans la stratégie pour l’application de l’IA (Apply AI), présentée en octobre 2025. Et par le soutien aux plates-formes de collaboration, à l’instar d’OpenRail Association dans le secteur ferroviaire.

Bruxelles envisage aussi des développements avec l’ENISA. D’une part, une liste des dépendances de logiciel et d’infrastructure les plus critiques. Le Cyber Resilience Act y ouvre la voie en imposant aux acteurs concernés de tenir des SBOM à disposition des autorités de surveillance. D’autre part, une stratégie de mise en miroir de ces dépendances, assortie d’une capacité à les maintenir.

La nouvelle stratégie fait aussi allusion à l’EU Tech Business Offer. Cette marque sous laquelle l’UE déploie ses technologies dans des pays partenaires pourra servir de relais à l’open source. La Commission européenne pense en particulier au pacte pour la Méditerranée, lancé fin 2025 avec 10 pays (Algérie, Égypte, Israël, Jordanie, Liban, Libye, Maroc, Palestine, Syrie, Tunisie).

* Créé en 2025, le Fonds européen pour la compétitivité consolide une quinzaine d’instruments financiers.
** L’aDRI prévoit une première version de son indice de résilience pour ce mois-ci. Un système d’accréditation doit suivre en juillet, en vue de labellisations.

Illustration générée par IA

The post Open source : ce que l’UE vise désormais appeared first on Silicon.fr.

The post Project Lightwell : IBM et Red Hat investissent 5 milliards $ pour sécuriser la supply chain logicielle appeared first on Silicon.fr.

Sur Debian, tous les nouveaux packages doivent désormais être reproductibles.

Sur un environnement tel que décrit dans le fichier buildinfo, la compilation du package source devra créer un deb identique au bit près.

Cette initiative contribue à la sécurité de la supply chain logicielle, en favorisant la détection des paquets altérés.

Les builds reproductibles, portés par l’« effet Snowden »

Dans la communauté Debian, le sujet des builds reproductibles avait véritablement pris son essor à l’été 2013, dans la lignée des révélations d’Edward Snowden.

Les patchs se sont alors succédé pour, par exemple, supprimer les données non déterministes dans des bibliothèques statiques, stabiliser l’ordre de génération de champs de contrôle… ou ajouter aux archives le fameux fichier buildinfo décrivant la configuration des environnements de build.

Au dernier pointage, plus de 98 % des paquets dans les archives Debian – hors architecture s390x – ont été rendus reproductibles.

Debian a emmené d’autres Linux dans son sillage

Parallèlement, Debian a impulsé un mouvement plus englobant : le projet Reproducible Builds. Dans ce cadre, des distributions comme NixOS et Arch Linux ont rendu reproductibles certaines de leurs images de base.

Le projet est rattaché à la Software Freedom Conservancy, organisation à but non lucratif de droit américain. Ses principaux sponsors financiers sont l’Open Technology Fund (financé essentiellement par le gouvernement américain) et le Sovereign Tech Fund (filiale de l’agence fédérale allemande pour l’innovation de rupture). Proxmox est aussi dans la boucle. Google le fut, comme Siemens et Mullvad VPN. 1&1, DigitalOcean et Infomaniak procurent des ressources de calcul.

Reproducible Builds a identifié une quinzaine de variables d’environnement dont la présence est susceptible d’engendrer des packages non reproductibles. Parmi elles :

• Horodatages
• Usernames ou hostnames
• Schémas d’encodage des fichiers
• Nombres aléatoires (UUID, clé privée/publique, graine de hachage…)
• Références à des adresses mémoire
• Informations d’architecture (version de kernel, par exemple)
• Locales

Illustration générée par IA

The post Debian passe finalement aux builds reproductibles appeared first on Silicon.fr.

C’est officiel : PHP 8.6 sera sous licence BSD 3 clauses.

Le projet vient de soumettre à l’OSI une demande formelle de retrait de la licence précédente, en place depuis plus de 20 ans. Ou plutôt des licences. Il y en a effectivement une spécifique au moteur Zend.

Cette distinction n’a pas toujours été. Dans les années 90, PHP 1 puis PHP 2 furent publiés sous GPLv2.

PHP 3, lancé en 1998, avait conservé cette option et y avait ajouté une licence custom. Celle-ci s’inspirait d’Apache 1.0, avec deux différences majeures. D’une part, une exigence de permission écrite préalable pour toute redistribution commerciale. De l’autre, l’omission de la clause interdisant de donner aux produits dérivés le nom du projet. L’idée était d’ouvrir la porte à des versions commerciales tout en assurant que les principaux contributeurs ne seraient pas lésés.

Ce système « à la carte » s’est révélé difficile à gérer pour le PHP Group sur le plan juridique (manque de bande passante, notamment pour fournir les accords écrits). Dans ce contexte, deux révisions intervinrent, avec PHP 3.0.1 puis 3.0.14. La première avait autorisé l’usage du nom PHP pour indiquer sa prise en charge par des modules complémentaires. La seconde avait supprimé l’exigence – problématique, donc – de permission écrite pour la redistribution commerciale. Le résultat se rapprochait de la licence Apache 1.0. En complément, l’option GPL avait disparu, sur fond de désaccord avec Richard Stallman (on en ignore la teneur).

La double licence, produit de l’an 2000

En 2000, la sortie de PHP 4.0 s’était accompagnée d’autres changements dans la licence. D’un côté, la suppression de la clause imposant que tout support publicitaire mentionnant les fonctionnalités ou l’usage de PHP affiche l’URL du projet. De l’autre, l’ajout d’une clause donnant au PHP Group le droit de modifier la licence à tout moment et sans préavis, aussi longtemps que les changements conservaient la nature libre et open source de PHP.

La licence Zend avait émergé en parallèle. Elle s’appliquait à toute distribution séparée du moteur (ses fondateurs songeaient par exemple à l’embarquer dans MySQL). La licence PHP pouvait continuer à s’appliquer en cas de distribution groupée (bundling).

Les choses avaient changé en 2002 avec PHP 4.2.3. Le code source localisé dans le répertoire Zend/ devenait systématiquement couvert par la licence spécifique au moteur. Par ailleurs, l’exception pour les modules complémentaires disparaissait. Et les dérivés n’avaient plus le droit de se nommer PHP.

Un blocage chez Oracle présenté comme le déclencheur

En 2006, avec la sortie de PHP 5.1.2 et 4.4.2, la licence avait subi des modifications mineures. Découlant essentiellement de débats avec la communauté Debian sur le packaging de PHP (distribution de patchs, donc d’un dérivé, soumis à l’interdiction d’exploiter la marque), elles suffirent toutefois à bloquer des développements, faute d’approbation par l’OSI. Chez Oracle, par exemple. Début 2020, un ingé s’en était fait l’écho sur la mailing list php-general. Il souhaitait exploiter phpdbg (débogueur interactif), mais l’entreprise ne voulait pas lui donner le feu vert sans l’approbation en question.

En ayant eu vent, Ben Ramsey, ponte de la communauté PHP, avait effectué les démarches auprès de l’OSI. Mais cela a surtout, explique-t-il désormais, « semé une graine ». Celle qui allait le pousser à emmener, formellement à partir de l’été 2025, l’initiative de basculement vers la BSD 3 clauses.

L’intrication croissante entre PHP et Zend ne justifiait plus l’existence de licences séparées, estime l’intéressé. La clause empêchant les produits dérivés de se nommer PHP a créé de l’ambiguïté pour les distributions Linux, souligne-t-il aussi. Tout en rappelant qu’aucune licence n’était compatible GPL… et que l’OSI n’a jamais approuvé celle de Zend.

Comme seul le PHP Group avait le pouvoir de modifier la licence de PHP, il a fallu obtenir, au cas par cas, l’accord de ses membres. Il a également fallu obtenir celui de Perforce Software, dont Zend Technologies est aujourd’hui filiale. Mais pas celui des contributeurs, la licence ne l’imposant pas (il y a tout de même eu un vote communautaire, à 51 pour et 2 abstentions).

Une histoire de suppression de conditions spécifiques

Au final, les modifications ont, dans les grandes lignes, consisté à retirer les conditions spécifiques au PHP Group et à Zend. Sans changer les droits des contributeurs ni des utilisateurs.

Supprimé côté licence PHP :

• Interdiction, pour les dérivés, de se nommer PHP sans accord écrit du PHP Group
• Autorité du PHP Group pour réviser la licence
• Renvoi URL vers le projet PHP dans le cadre de toute redistribution

Supprimé côté licence Zend :

• Autorité de Zend pour réviser la licence
• Renvoi URL vers le projet Zend dans le cadre de toute redistribution
• Mention et renvoi URL sur les supports publicitaires

Les utilisateurs d’extensions ou d’autres logiciels publiés sous la version précédente de la licence PHP peuvent choisir de passer sous la BSD 3 clauses. Les mainteneurs peuvent faire de même.

Illustration générée par IA

The post PHP finalise son retour à une licence « GPL-compatible » appeared first on Silicon.fr.

Les tensions entre Collabora et la Document Foundation sont montées d’un cran.

Depuis début avril, les deux organisations s’échangent ouvertement des amabilités par billets de blog.

Collabora avait lancé les hostilités avec un post intitulé « Dégageons les développeurs ! ». L’entreprise britannique regrettait que ses équipes aient été évincées de la liste des membres de la Document Foundation. D’autant plus que cette éviction, selon elle, résultait de « préoccupations juridiques non fondées ». Elle n’était pas allée pas plus loin à ce sujet, préférant dénoncer l’orientation prise ces dernières années par la fondation. Entre autres :

• Nommer du personnel non technique à son conseil d’administration et « accuser les autres de conflits d’intérêts » (c’est le cœur du problème ; nous y reviendrons)
• Revenir sur des décisions passées du board et du comité de pilotage, par exemple en ressortant LibreOffice Online du placard « pour concurrencer [Collabora] »
• Menacer des contributeurs pour leur usage de la marque LibreOffice sous licence, tout en ignorant l’usage abusif massif fait par des tiers non contributeurs et non détenteurs d’une licence
• Retarder une élection puis en invalider les résultats

« Lorsque cela fera sens, nous continuerons à contribuer à LibreOffice », expliquait le P-DG de Collabora. Il excluait toutefois clairement de « continuer à investir beaucoup » dans le projet en étant exclu de la gouvernance. Dans ces conditions, poursuivait-il, les travaux se concentreront sur la version de bureau de Collabora Online, lancée il y a quelques mois. Premier symbole, et pas des moindres : l’ouverture d’un Gerrit dédié.

Une exclusion consécutive à de prétendus conflits d’intérêts

Le jour même, la Document Foundation avait pris acte, sans toutefois digérer les accusations de Collabora. Elle avait rappelé que la situation résulte d’une mise à jour des règles communautaires. Ces dernières interdisent désormais le statut de membre au personnel d’entreprises en litige avec la fondation. En toile de fond, des « personnes qui, par le passé, ont pris des décisions dans l’intérêt de leur employeur plutôt que dans celui de la fondation », laquelle aurait pu y perdre son statut d’organisation à but non lucratif.

Quelques jours plus tard, la Document Foundation avait donné davantage d’éléments de contexte. Elle pointait, en particulier, deux décisions jugées problématiques. D’un côté, permettre aux entreprises de son écosystème d’utiliser gratuitement la marque LibreOffice pour vendre la suite sur les magasins d’applications d’Apple et de Microsoft. De l’autre, attribuer des contrats de développement/maintenance de la suite à des entreprises qui avaient des représentants au conseil d’administration de la fondation.

Collabora accusé d’avoir cherché le statu quo

Une fois que les équipes juridiques de la Document Foundation eurent soulevé le risque que ces pratiques faisaient peser sur le statut d’organisation à but non lucratif, les « entreprises ayant bénéficié de ces erreurs » (comprendre Collabora) ont tenté d’entretenir le statu quo. C’était fin 2021.

La fondation assure que cet épisode a accru les tensions au board, dans la lignée de l’abandon du Document Collective. Cette organisation distincte, voulue par une partie des administrateurs, était censée « compenser l’inefficacité de la Document Foundation ». Présentée sans préavis à la LibreOffice Conference 2019, elle a suscité d’autant plus d’inquiétudes dans la communauté qu’elle devait puiser dans les ressources financières de la fondation pour alimenter des fonds start-up.

En 2023, un audit des autorités allemandes avait fini par confirmer la nécessité d’un changement des processus sous peine de perdre le statut d’organisation à but non lucratif. Un deuxième réalisé l’année suivante avait abouti à la même conclusion. Collabora ayant fait barrage au board, la seule solution fut d’enlever le statut de membre à ses employés, en plus de geler les contrats de développement/maintenance sus-évoqués. Elle aurait en tout cas porté ses fruits, si on en croit la Document Foundation : un troisième audit, effectué fin 2025, a donné un résultat positif.

La Document Foundation a-t-elle polarisé la communauté LibreOffice ?

Collabora avait réagi en dénonçant des propos trompeurs, diffamatoires et factuellement inexacts. Les personnes accusées ont agi en toute bonne foi, dans le meilleur intérêt de la Document Foundation, avec les informations dont ils disposaient, prétend l’entreprise britannique. Les attaquer est donc « totalement irraisonnable ». Quant au retrait du statut de membre, c’est le choix d’un « sous-ensemble » du conseil d’administration qui a « créé des règles rétrospectives » pour un « bénéfice politique personnel ».

Irraisonnable est aussi, selon Collabora, le fait d’encourager des entreprises à signer des accords de licence de marque dont elles n’ont pas besoin, puis de les poursuivre pour avoir livré du code qui aurait pu être couvert par les conditions générales d’exploitation de marque.

Le board aurait plus globalement profité de « l’impression permanente de crise » dans la communauté LibreOffice pour la polariser et outrepasser ses droits jusqu’à invalider une élection.

Ne pas juger le mérite qu’à l’aune des commits

Le même jour, la Document Foundation est revenue sur sa perception de la « méritocratie ». Son postulat : il faut aller au-delà de la « légitimité basée sur le graphe des commits ». Autrement dit, ne pas confier l’autorité uniquement à qui produit le code. Cette option, explique-t-elle, est raisonnable au début d’un projet, quand le défi principal est d’ordre technique. Mais pour un projet qui a 15 ans, des millions d’utilisateurs et un environnement juridique et réglementaire complexe, l’approche ne tient plus. Un modèle qui exclut les contributions à la documentation, à la localisation, à la correction des bugs ou encore aux relations médias/institutionnelles est une « méritocratie partielle ». Pas question d’exclure les devs, mais de s’assurer que soit représentée une diversité de perspectives…

La Document Foundation se prononce aussi sur la question des conflits d’intérêt. La présence d’administrateurs dont l’employeur a un intérêt commercial direct dans l’orientation du projet rend la notion de méritocratie plus complexe. Quand bien même ces personnes seraient de bonne foi, peut-on vraiment construire une structure de gouvernance autour de leurs contributions ? Les conflits d’intérêts sont « inhérents » à une telle situation, estime la fondation.

La Document Foundation appelle à prendre en compte un autre aspect : le long terme. Dans cette perspective, le mérite doit aussi être mesuré à l’aune de la capacité à créer les conditions futures de croissance du projet. A fortiori si on considère que ses créateurs sont susceptibles de finir par passer la main.

La Document Foundation s’était préparée à une sécession

Le 10 avril, la Document Foundation a apporté des précisions supplémentaires. Entre autres sur les fameuses règles communautaires bloquant l’accès au statut de membre. Elles ne s’appliquent qu’aux litiges découlant d’une « mise en danger » de la fondation. On nous en donne trois exemples : risque sur son statut d’organisation à but non lucratif, usage abusif de ses fonds et dommages à ses actifs.

Concernant les contrats développement/maintenance, les administrateurs visés évaluaient les offres et supervisaient les équipes de la Document Foundation chargées d’exécuter les marchés.

Pour illustrer la volonté de Collabora de maintenir le statu quo, la fondation évoque une politique rejetée par le board en 2021. Elle aurait imposé aux administrateurs de s’abstenir lors des votes sur des sujets susceptibles de présenter des conflits d’intérêts avec leur entreprise.

Sur la réouverture du dépôt de LibreOffice Online : la décision de le mettre au rancart fut prise par un board où des développeurs avaient la majorité des votes. Elle ne reflétait pas la volonté générale, que la fondation a fini par suivre.

Quant à voir Collabora voler de ses propres ailes, la Document Foundation déclare s’y être préparée depuis au moins 2022. L’éditeur britannique est certes un contributeur important (43 % des patchs sur les 12 derniers mois), mais il n’est pas seul : parmi les 20 principaux contributeurs sur Git, 8 travaillent pour la fondation.

Pour ce qui est de Collabora Office for Desktop, il s’agira plutôt d’un concurrent d’OnlyOffice, juge la Document Foundation. Il n’aura effectivement que trois modules, en tout cas dans un premier temps. Bref, il faut plutôt y voir « un témoignage de la flexibilité du moteur de LibreOffice », sur lequel se base Collabora…

Des brainstormings communautaires aux réus en petit comité

Le lendemain, Collabora a réaffirmé la bonne foi de ses employés. Non sans déplorer que malgré des clarifications, certaines déclarations de la Document Foundation restaient trompeuses, diffamatoires et inexactes.

L’éditeur insiste : il n’était pas nécessaire pour lui de signer une licence de marque dans l’optique de distribuer LibreOffice sur les app stores. Il l’a fait parce que la fondation le lui a demandé… et celle-ci souhaite désormais qu’il la rémunère dans ce cadre. Alors même qu’il lui a  déjà reversé volontairement « plus de 15 % » de ses revenus app store.

Collabora conteste par ailleurs les affirmations de la Document Foundation à propos des contrats de développement/maintenance. Dans les grandes lignes, les personnes concernées n’ont eu aucune vision sur les contrats, les offres concurrentes et les décisions prises.

« On exclut des personnes parce que leurs collègues ont fait partie de conseils d’administration qui ont pris des décisions que le board actuel n’apprécie pas ! », s’exclame son P-DG. Et de dénoncer un renfermement de la Document Foundation sur ses équipes : ces dernières années, une partie de la communication est devenue complètement privée, des réunions en petit comité remplaçant les brainstormings communautaires.

Un demi-mea-culpa pour les devs de Collabora

La Document Foundation a fini par adresser une lettre ouverte aux développeurs de Collabora. Rappelant le danger qui a pesé sur son statut d’organisation à but non lucratif, elle concède ne pas avoir pu « résoudre le problème au cas par cas ». « La structure était biaisée et les dommages furent réels », martèle-t-elle.

Illustration générée par IA

The post Collabora et LibreOffice en froid : ce qui se joue après des années de conflit appeared first on Silicon.fr.

Jean-Philippe Balança est le directeur des opérations internationales de Smile. L’ESN française spécialisée dans l’intégration de solutions alternatives, incarne une filière open source tricolore qui pèse aujourd’hui 6 milliards € – sur un marché IT français de 35 milliards – avec une projection à 9 milliards en 2027.

Des chiffres encore modestes face aux 264 milliards € que les entreprises et administrations européennes dépensent chaque année auprès d’acteurs extra-européens, principalement américains.

Le constat est pourtant sans appel : les outils collaboratifs, les ERP, les CRM… restent massivement entre les mains de éditeurs américains. Pourtant, les alternatives existent – par exemple OpenDesk en Allemagne et Infomaniak en Suisse – et sont opérationnelles depuis des années.

Les freins identifiés sont doubles : la méconnaissance des décideurs d’un côté, et le poids des habitudes de l’autre. La transition vers plus de souveraineté numérique est possible, mais elle prend du temps – trois à cinq ans minimum – et elle coûte de l’argent. Il n’existe pas de solution miracle.

La bonne nouvelle selon Jean-Philippe Balança? Le débat européen est passé du « pourquoi » au « comment ». Une dynamique collective semble se mettre en marche, portée en France par la filière « logiciels et solutions numériques » et relayée par  les institutions et la Commission européenne.

——-

Extraits de l’interview de Jean-Philippe Balança, Chief International Officer de Smile

Silicon – Comment se situe la France sur le terrain des solutions alternatives open source par rapport à nos voisins européens ?
Jean-Philippe Balança – Le marché français, les industriels intégrateurs et les producteurs de software open source sont très développés en France. On est probablement le plus important en taille, c’est vrai, mais il y a d’autres acteurs très compétents qui se développent très vite, du fait notamment des ambitions d’autonomie digitale de certains de nos clients plus récents. On a aussi un creuset très important de gens qui produisent des solutions extrêmement qualitatives et plutôt méconnues.
Il y a deux zones particulièrement importantes en dehors de la France : l’Allemagne, qui a beaucoup investi d’un point de vue régional dans le déploiement de solutions open source, et les pays nordiques, la Suède en particulier, qui est très avancée en la matière. Je préfère retenir l’idée que, d’un point de vue européen, on est vraiment fort sur la thématique.

Numeum chiffre le marché à 6 milliards € en 2023, avec une projection à un peu moins de 9 milliards en 2027, sur un secteur des services numériques de 35 milliards…
Jean-Philippe Balança – C’est à peu près ça. Et je souhaite le comparer à ce qui est dépensé en Europe dans les systèmes d’information. Le chiffre de 264 milliards € de dépenses en services cloud et software auprès d’acteurs extra-européens, c’est une étude du CIGREF, permet de comprendre que, par rapport aux 6 milliards de Numeum, c’est encore très, très peu.
Il y aurait un gain énorme à réorienter des dépenses IT aujourd’hui extra-européennes vers le marché européen. Il y a beaucoup d’espace pour faire croître le domaine des alternatives et de l’open source.

Au sein du Consortium européen de l’open source, vous avez proposé un Pacte européen. Quelle est votre vision de cette transition possible vers des solutions que l’on maîtriserait mieux ?
Jean-Philippe Balança – Ce qui est très intéressant depuis un an, c’est qu’on a mis la dépendance digitale au même niveau de discussion et d’objectif de souveraineté que nos dépendances agricoles ou énergétiques. C’est une prise de conscience majeure.
Pour y parvenir, il nous faut des infrastructures, des capacités de cloud physique hébergées et détenues par des sociétés européennes. Elles existent – OVH, Scaleway, IONOS, Outscale – même si elles ne sont pas encore à l’échelle.
On a besoin de software. Dans l’IT des organisations publiques ou privées, il y en a énormément, mais il est invisible. En revanche, les applications collaboratives au quotidien, les ERP, les CRM, sont complètement prises en main par des acteurs américains. C’est là où le champ des possibles est très important.
Ces projets ne sont pas que techniques. Ce sont des projets de changement de paradigme pour les organisations. C’est surtout des changements d’usage. Remplacer une solution de messagerie pour 100 000 utilisateurs, ça se fait pas par magie. C’est long, il faut démarrer petit, construire et se lancer.

Côté clients qui hésitent à lâcher Microsoft 365 ?
Jean-Philippe Balança – Les freins sont de plusieurs ordres.
Le premier, c’est la méconnaissance. Aujourd’hui le sujet est pris en main dans les comités de direction des grands groupes ; mais si je suis producteur d’énergie, mon métier c’est de forer et distribuer du pétrole. Je ne suis pas spécialiste du digital. Il y a un vrai sujet de pédagogie auprès des décideurs.
Le second, c’est les habitudes. Ça fait 15 ans qu’on a choisi par facilité, par naïveté parfois, des solutions avec un certain modèle de fonctionnement, et on s’y est habitué. Tout changement c’est aussi un renoncement, et ça coûte de l’argent.
Il faut être honnête : il n’existe pas de solution magique où je remplacerais du jour au lendemain un outil pour moins cher. La vérité, c’est que ça va coûter de l’argent parce qu’on ne l’a pas fait avant. Il faut investir dans un premier temps, puis transformer de façon agile, en se donnant un temps long. Ça se fera pas en 6 mois – ceux qui disent ça racontent des histoires. Ça va prendre 3, 4, 5 ans pour atteindre un niveau d’autonomie réel.

Comment l’open source va s’intégrer dans la vague de l’IA générative ?
Jean-Philippe Balança – Le paradigme de l’IA n’est pas celui de l’open source au sens traditionnel. Une IA, c’est un dataset, des algorithmes – pas nécessairement open source à la base. Nous, on se pose plutôt la question : qu’est-ce qu’une IA souveraine, maîtrisée, et comment s’en sert-on de façon raisonnable ?
Sur la technologie, les premiers modèles sortis sont payants et propriétaires. Mais on voit très vite – chez les acteurs américains, chinois ou européens – que les modèles sont rendus open source au bout de 6 à 12 mois, pour nourrir le développement et l’image de ces entreprises.
Ce que notre industrie peut apporter, c’est davantage un mindset qu’une réponse purement technologique : travailler à fournir des modèles ouverts, réutilisables et capitalisables, sans lock-in contractuel, pour le marché européen.

The post Jean-Philippe Balança, Smile – « On a mis la dépendance digitale au même niveau que nos dépendances énergétiques » appeared first on Silicon.fr.

GitLab, mais pas GitHub ; Flux, mais pas Argo CD ; Selenium, mais pas Cypress… L’Allemagne a fait ses choix pour développer la D-Stack.

Le ministère fédéral du Numérique et de la Modernisation de l’État porte cette initiative. Objectif : mettre à disposition de tous les niveaux de l’administration publique une « plate-forme technologique souveraine » pour les projets numériques.

En toile de fond, un programme de modernisation dont les jalons furent posés l’an dernier. Un de ses volets est dédié au numérique. Entre autres échéances, il implique d’identifier, pour juin 2026, les procédures administratives qui se prêtent à l’utilisation de l’IA. Puis, pour la fin de l’année, à élaborer une réglementation tendant à éviter le stockage de données en double par les autorités publiques. La diffusion large d’une « workplace souveraine » est visée pour 2027.

Une préférence pour l’écosystème JavaScript

La D-Stack (Deutschland-Stack) doit quant à elle devenir « concrète » à l’horizon 2028. L’idée est de privilégier les composants « sur étagère » aux développements. Priorité est donnée aux solutions open source et aux offres européennes.

L’Allemagne ne part pas de rien. Elle s’appuie notamment sur des normes et bonnes pratiques issues de son initiative GovStack. Elle y a pour le moment assorti deux consultations publiques. Et a mis en ligne une cartographie d’outils susceptibles d’entrer dans la composition de la D-Stack.

La vue principale – en grille et en cartes – référence 128 briques technologiques. Un onglet annexe les reprend sous forme de liste… mais uniquement en partie, laissant potentiellement apparaître des préférences. Ainsi sur la partie développement logiciel : JavaScript, React, NextJS et Angular figurent tous sur ladite liste, tandis que C++, Go, Java, PHP, Python, R, Rust et Swift ne se trouvent que dans la visualisation grille/cartes (comme TypeScript, d’ailleurs).

Angel ML, Pyro, spaCy… Des projets « anciens » pour le socle IA de la D-Stack

Sur le volet IA, en revanche, la présentation est uniforme. On y trouve tant TensorFlow (première version en 2015) que PyTorch (2016), le format ONNX (2017), MLflow (2018) et Hugging Face Transformers (2018).

Au rang des « anciens », il y a aussi Angel ML. Tencent avait publié la prremière version de cette plate-forme d’apprentissage automatique distribuée en 2017. Le projet est aujourd’hui à la Fondation Linux.

Autre projet de la Fondation Linux, et lui aussi né en 2017 : Pyro. Il s’agit d’un langage de programmation probabiliste universel basé sur PyTorch.

Deux des outils de l’actuelle D-Stack émanent d’entreprises allemandes. D’un côté, spaCy, bibliothèque Python de traitement du langage naturel. Explosion AI en a publié la version initiale en 2015. De l’autre, Haystack. Première version publiée en 2019 pour ce framework d’orchestration IA qu’on doit à deepset.

Le plus ancien projet que l’Allemagne référence dans la catégorie IA est Robot Framework (automatisation des tests dans le contexte de la RPA). Ses racines remontent à 2004. Il est porté par une fondation de droit finlandais dont Airbus et Capgemini sont membres.

Des protocoles agentiques… et du Microsoft

Trois outils IA de la D-Stack ont émergé en 2023 : Axolotl, framework de fine-tuning de la start-up américaine éponyme ; RagFlow, moteur de RAG open source de l’entreprise chinoise InfiniFlow ; Prompt flow, outil visuel de développements d’applications IA, made in Microsoft.

Quatre protocoles agentiques figurent aussi sur la liste. MCP en fait partie. A2A aussi (Google l’a lancé en 2025 puis confié à la Fondation Linux). Même chose pour ANP (Agent Network Protocol) et AG-UI (Agent-User Interaction Protocl).
Censé aboutir à un « HTTP agentique », ANP est apparu en 2024. On le doit à un ancien de Huawei et d’Alibaba. La communauté qui s’est constituée à son entour a pris la tête d’un groupe de travail au sein du W3C.
AG-UI est plus récent (première version en avril 2025). Ce protocole orienté événements a pour but de standardiser la connexion entre les agents et les applications exposées à l’utilisateur final.

De Qdrant à piveau, des briques made in Allemagne

Sur l’aspect data, l’onglet annexe met en avant divers formats (CSV, DCAT, JSON, MD, RDF, YAML, etc.)… et PostgreSQL.

Pas de PostgreSQL dans la cartographie principale, mais un bouquet de bases de données. Nommément, Cassandra, CouchDB, HBase, MariaDB, MongoDB, MySQL, Neo4j, ScyllaDB et trois bases vectorielles :

• Chroma (de l’entreprise américaine du même nom, née en 2023)
• Milvus (né en 2017 à l’initiative d’une société d’origine chinoise ; confié à la Linux Foundation)
• NQdrant (de l’entreprise allemande Qdrant)

Autre technologie made in Allemagne : le catalogue de métadonnées piveau, issu du réseau des instituts Fraunhofer. La D-Stack inclut une brique complémentaire : CKAN (Comprehensive Knowledge Archive Network). Une association à but non lucratif de droit britannique porte cette application de stockage et de distribution de données inspirée des systèmes de gestion de paquets.

Un arsenal autour de Kubernetes

De la techno allemande, il y en a aussi sur la partie low code. En l’occurrence avec n8n, que l’entreprise du même nom propose depuis 2019. Quatre autres outils sont référencés :

• Appsmith (de l’entreprise américaine éponyme ; première version en 2020)
• Budibase (2019 ; de l’entreprise du même nom, basée en Irlande du Nord)
• Joget (2011 ; de l’entreprise américaine du même nom)
• Node-RED (2013 ; origine IBM, désormais chez l’OpenJS Foundation)

Pas d’Argo CD sur la partie déploiement, donc, mais du Flux, du CircleCI et du Jenkins. Ainsi que du Spinnaker (livraison continue multicloud, publié en 2025 par Netflix) et de l’OpenKruise (gestion de workloads sur Kubernetes ; né en 2019, actuellement en incubation à la CNCF).

GitHub n’est pas cité en tant que tel, mais un de ses produits l’est : GitHub Actions.

En matière d’intégration, la D-Stack s’oriente clairement sur les architectures de microservices. Elle englobe plusieurs proxys (Envoy, NGINX, Traefix) et plusieurs contrôleurs ingress (Contour, Emissary), ainsi qu’Istio. Portainer et Rancher sont aussi sur la liste, comme HashiCorp Nomad et Docker Swarm. Kong l’est également pour sa passerelle API open source, à l’instar de Red Hat avec la version communautaire d’OpenShift.

Illustration générée par IA

The post L’Allemagne esquisse une stack nationale « souveraine » : ce qu’il y a dedans appeared first on Silicon.fr.

Sans surprise, l’idée d’une fondation MySQL ne plaît pas à Oracle.

L’entreprise a opposé une fin de non-recevoir à Percona, qui l’avait sollicitée par lettre ouverte.

L’éditeur invitait à restructurer la gouvernance de MySQL, face à une popularité et une part de marché « en déclin ». PostgreSQL est le choix par défaut pour beaucoup de nouveaux projets et de jeunes développeurs, constate-il. « Vieillissante », la communauté est aussi « fragmentée » : faute d’une entité neutre pour porter la voix, forks et extensions propriétaires se sont multipliés

Percona regrette aussi un manque de transparence et de confiance. Il l’attribue, entre autres, à la visibilité limitée sur la roadmap et sur les prises de décisions associées, ainsi qu’à l’absence de système de suivi public des problèmes de sécurité. Autre élément dénoncé : la priorisation, par Oracle, de fonctionnalités propriétaires. Et par là même, l’indisponibilité, dans l’édition communautaire, de fonctionnalités désormais « nécessaires pour les workloads modernes », comme la recherche vectorielle native.

Oracle invité à s’inspirer d’OpenELA

Trois modèles de gouvernance étaient proposés.

En tête de liste, un système « à la OpenELA », sous forme d’association professionnelle favorisant la collaboration d’organisations concurrentes sur un cœur fonctionnel. Oracle formerait l’entité, aurait la direction stratégique et inviterait des acteurs de l’industrie à la rejoindre en tant que membres fondateurs, leur distribuant le travail de maintenance.

Deuxième option : une approche fédérée, en mode « partenariat collaboratif ». L’industrie mettrait sur pied la fondation, Oracle étant membre principal du conseil d’administration et partenaire stratégique. La communauté gérerait la logistique et l’administration. Un accord serait négocié pour que la fondation utilise la marque MySQL exclusivement dans un but de promotion à des fins non lucratives.

Troisième possibilité : la communauté organiserait indépendamment la fondation, toujours sous forme d’association professionnelle. Laquelle gérerait les dépôts et la promotion. Oracle participerait « de la manière qui lui [conviendrait] ».

500 signataires… dont quelques Français

La lettre a réuni un peu plus d’un demi-millier de signataires. Outre des dizaines travaillant chez Percona, on trouve du personnel de chez Couchbase, GitHub, Salesforce, NVIDIA, Meta, Huawei, PayPay, Zoho, Shopify, EA, Alibaba, etc. Côté français, il y a notamment :

• Sylvain Arbaudie, architecte data ; sa société est sponsor argent de la fondation MariaDB
• Matthieu Aubry, fondateur de Matomo Analytics
• Yoann La Cancellara, ingénieur support chez Percona
• Jean Lararrigue, webdesigner indépendant
• Aurélien Lequoy, expert MariaDB / MySQL indépendant
• Vincent Levigneron, product owner bases de données structurées et semi-structurées à la MACIF

Vers une roadmap publique de développement

Fin janvier, en amont de la FOSDEM, la communauté s’est réunie à Bruxelles. Ayant pris acte du climat, accentué par une coupe claire dans l’équipe MySQL, Oracle a annoncé des engagements. Parmi eux, associer une roadmap publique – incluant « certains worklogs » et les rapports de bugs – à l’édition communautaire. Et intégrer dans cette dernière des fonctionnalités jusque-là réservées aux versions commerciales. Il faut également s’attendre à des « collaborations avec les distributions Linux », à commencer par Ubuntu. L’allocation des ressources n’est pour le moment pas évoquée.

Planet MySQL évoluera lui aussi. Avec, entre autres :

• Portail de soumission de contenus
• Mise en avant de projets et d’outils de l’écosystème
• Amélioration de la recherche et du filtrage
• Agenda
• Guide de contribution pour les développeurs

Côté fonctionnel, Oracle promet des fonctions vectorielles dans MySQL 9.7 LTS, attendu pour avril (en l’état, leur prise en charge est limitée à HeatWave). Il compte aussi activer par défaut l’optimiseur Hypergraph, intégrer du monitoring via OpenTelemetry et proposer des binaires PGO (optimisés pour des profils d’utilisation).

Quant à une éventuelle fondation, Oracle rétorque que ce sera sans lui…

Illustration © your123 – Adobe Stock

The post Oracle s’engage pour MySQL mais dit non à une fondation appeared first on Silicon.fr.