Open source : le code vient d’Europe, mais les décisions se prennent ailleurs

Selon la Linux Foundation, 94% des organisations européennes jugent la souveraineté numérique importante, mais seules 37% participent à la gouvernance des projets open source dont elles dépendent.

Bruxelles compte mobiliser 2 milliards d'euros sur sept ans (public et privé) pour réduire sa dépendance aux fournisseurs non européens. Selon le rapport 2026, présenté le 7 octobre à l'Open Source Summit Europe, l'argent ne suffira pas si les Européens ne siègent pas là où les projets se décident.

L'enquête a réuni 367 organisations de juin à août, recrutées notamment via les réseaux de la Linux Foundation. Côté code, les Européens signent près de 40% des contributions à des projets comme Kubernetes ou OpenStack, et 59% des organisations renvoient leurs correctifs au projet d'origine (la contribution "upstream"). Mais la gouvernance, c'est-à-dire les comités qui fixent la feuille de route et les règles, ne concerne que 37% d'entre elles.

Lancée en décembre 2025 autour du Model Context Protocol (un standard qui relie les agents IA à des outils), l'Agentic AI Foundation compte huit membres platine fondateurs, tous américains : AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft et OpenAI. SUSE, SAP et Ericsson, seuls Européens, sont aux niveaux or et argent. À noter que la Linux Foundation héberge elle-même cette fondation. Pour Thierry Carrez, directeur général de Linux Foundation Europe, utiliser l'open source "ne donne pas un contrôle effectif sur la technologie".

48% des organisations maintiennent un "fork", une copie privée d'un logiciel qu'il faut ensuite corriger seul. Celles qui le font y passent en général 311 heures par cycle de publication, pour 9,5 forks, et 28% d'entre elles ne savent pas chiffrer ce temps. Les organisations dotées d'une gouvernance avancée déclarent des bénéfices égaux à 4,6 fois leurs coûts, contre 3,6 fois sans gouvernance formelle. Ce sont des estimations des répondants (87 organisations), et le rapport précise qu'elles ne prouvent pas que la gouvernance explique cet écart.

Les outils d'IA saturent les mainteneurs, et la conformité approche La sécurité et la vie privée arrivent en tête des raisons de la souveraineté (71%). Or les mainteneurs, ceux qui entretiennent ces projets, croulent sous les rapports de bugs et les correctifs générés par IA. Greg Kroah-Hartman, développeur du noyau Linux, indique que le nombre de CVE (les identifiants publics de failles) publiés pour le noyau est passé de 55 à 230 par semaine depuis l'arrivée de ces outils. Une partie correspond à de vrais bugs, parfois anciens. Mais lors de tests avec des étudiants de la Vrije Universiteit Amsterdam, près de la moitié des modifications produites par les IA étaient incorrectes. Les mainteneurs du noyau exigent donc que l'auteur prouve que son changement fonctionne.

Le Cyber Resilience Act (CRA), qui impose des exigences de sécurité aux produits numériques vendus dans l'UE, ajoute en plus un peu de pression. Depuis le 11 septembre, les fabricants doivent signaler toute faille activement exploitée et tout incident grave dès qu’ils en ont connaissance : alerte sous 24 heures, puis notification sous 72 heures.