Pendant des décennies, l’open source a représenté l’un des plus grands paradoxes positifs du numérique. Des milliers de développeurs, souvent dispersés à travers le monde, ont construit collectivement les briques logicielles qui alimentent aujourd’hui l’économie numérique mondiale.
Linux fait tourner les serveurs de la planète. Python domine l’IA et la data. Kubernetes orchestre le cloud moderne. PostgreSQL soutient des millions d’applications. Une immense partie de l’infrastructure numérique mondiale repose sur des communs logiciels ouverts.
Le principe semblait robuste : plus le code est ouvert, plus il peut être audité, amélioré et sécurisé.
Mais l’arrivée des IA génératives capables de lire, comprendre, documenter, corriger et reproduire du code à grande échelle est en train de fragiliser cet équilibre historique.
L’affaire Cal.com, devenue emblématique au printemps 2026, a brutalement mis le sujet sur la table. L’entreprise a annoncé le passage d’une partie de son code d’une licence AGPL vers un modèle plus propriétaire, invoquant explicitement un risque nouveau : les IA seraient désormais capables d’industrialiser la recherche de vulnérabilités dans les projets open source.
Derrière cette décision se cache un débat beaucoup plus profond : l’intelligence artificielle est-elle compatible avec le futur des communs numériques ?
Le contrat implicite de l’open source est en train de changer
L’open source n’a jamais été uniquement une question de gratuité.
C’est un modèle de coopération.
Les entreprises utilisent des logiciels ouverts, les communautés les maintiennent, certains acteurs contribuent financièrement ou techniquement, et l’ensemble progresse grâce à un équilibre relativement stable entre intérêt individuel et bénéfice collectif.
Ce modèle reposait aussi sur une réalité technique importante : comprendre un projet logiciel complexe demandait du temps, des compétences et des ressources humaines significatives.
Même si le code était public, peu d’acteurs avaient réellement la capacité de l’auditer profondément.
Cette “friction” créait une forme de protection implicite.
L’IA fait disparaître cette friction.
Aujourd’hui, des modèles avancés peuvent :
- analyser des millions de lignes de code ;
- détecter des patterns de vulnérabilité ;
- générer des correctifs ;
- documenter automatiquement des architectures ;
- produire du reverse engineering à une vitesse inédite.
Ce changement d’échelle transforme profondément la relation entre ouverture et sécurité.
L’affaire Cal.com : un signal faible devenu débat mondial
Lorsque Cal.com annonce vouloir fermer une partie stratégique de son code, la réaction de la communauté tech est immédiate.
Le sujet dépasse largement le cas de cette entreprise.
Pour certains, cette décision est rationnelle :
publier publiquement un code exploitable par des IA offensives augmente potentiellement la surface d’attaque.
L’argument n’est pas absurde.
Là où un audit humain demandait autrefois des jours ou des semaines, une IA peut désormais :
- cartographier rapidement une architecture ;
- identifier des dépendances vulnérables ;
- repérer des erreurs récurrentes ;
- suggérer des scénarios d’exploitation.
Des modèles comme Claude Opus ou d’autres assistants de développement avancés deviennent capables d’effectuer des analyses autrefois réservées à des experts spécialisés.
Le problème est que l’open source reposait historiquement sur une idée presque philosophique : la transparence améliore la sécurité.
La fameuse “loi de Linus” résumait cette vision :
“Avec suffisamment de regards, tous les bugs deviennent superficiels.”
Mais en 2026, ces “regards” ne sont plus uniquement humains.
Et surtout, les attaquants peuvent eux aussi utiliser les mêmes IA.
Le retour du vieux débat : la transparence protège-t-elle encore ?
Les critiques de la décision de Cal.com rappellent un principe fondamental en cybersécurité : cacher le code ne supprime pas les vulnérabilités.
Cela réduit simplement la visibilité externe.
Le logiciel propriétaire n’est pas intrinsèquement plus sécurisé. Il est simplement moins observable.
Et c’est précisément là que le débat devient complexe.
Car l’IA ne renforce pas uniquement les capacités offensives. Elle renforce aussi les capacités défensives.
Les mêmes modèles capables de détecter une faille peuvent :
- proposer un patch ;
- automatiser des tests ;
- vérifier des dépendances ;
- générer de la documentation de sécurité ;
- surveiller des comportements suspects.
Autrement dit, le problème n’est peut-être pas l’open source lui-même, mais l’asymétrie croissante entre les acteurs capables d’exploiter ces outils et ceux capables de se défendre.
Les grandes plateformes technologiques disposent désormais d’équipes IA, d’infrastructures cloud massives et de moyens de cybersécurité très supérieurs aux communautés open source indépendantes.
L’équilibre historique entre coopération et résilience collective commence donc à se désaligner.
MALUS : la provocation qui expose les limites du système
En parallèle de cette tension autour de la sécurité, un autre sujet provoque de fortes réactions dans l’écosystème : les “clean rooms” IA.
Le projet MALUS, présenté comme une satire mais techniquement crédible, pousse cette logique à l’extrême.
Le principe affiché est simple :
- une première IA analyse uniquement la documentation publique d’un logiciel ;
- une seconde IA réimplémente les fonctionnalités sans accéder directement au code original ;
- le résultat est présenté comme “juridiquement distinct”.
Autrement dit, l’objectif serait de recréer un logiciel open source sans réutiliser explicitement son code.
Le sujet peut sembler théorique. Il ne l’est pas.
Les méthodes de “clean room” existent depuis longtemps dans l’histoire de l’informatique, notamment pour créer des systèmes compatibles sans violer directement certains droits d’auteur.
Mais l’IA change totalement l’échelle du phénomène.
Là où une réimplémentation propre demandait auparavant des équipes spécialisées et des mois de travail, des modèles génératifs peuvent désormais accélérer massivement ce processus.
Et c’est précisément ce qui inquiète une partie de la communauté open source.
Le vrai problème : l’IA brouille la frontière entre inspiration et reproduction
Le droit logiciel protège généralement l’expression du code, pas nécessairement les fonctionnalités elles-mêmes.
Or les IA génératives brouillent cette distinction.
Si un modèle :
- lit une documentation ;
- observe des interfaces publiques ;
- comprend un comportement logiciel ;
- génère un code différent syntaxiquement ;
- mais reproduit une logique identique ;
alors la question devient extrêmement floue.
S’agit-il encore d’une œuvre dérivée ?
Le copyleft s’applique-t-il ?
Peut-on réellement parler de création indépendante ?
À ce jour, les tribunaux n’ont pas encore apporté de réponse claire à ce type de situation appliquée à l’IA générative.
Et cette incertitude juridique est probablement l’un des éléments les plus déstabilisants pour les communautés open source.
Le risque économique est peut-être plus grave que le risque juridique
Le sujet dépasse largement le droit d’auteur.
Le véritable danger est peut-être économique.
L’open source fonctionne parce qu’il existe une forme de réciprocité implicite :
- les entreprises utilisent les communs ;
- certaines contribuent ;
- les coûts de maintenance sont partagés ;
- les communautés conservent une capacité d’influence.
Mais si l’IA permet :
- d’absorber rapidement des innovations communautaires ;
- de recréer des produits équivalents ;
- de contourner certaines obligations de partage ;
- de réduire la dépendance aux communautés originales ;
alors une partie de la valeur créée collectivement risque d’être captée par les acteurs les plus capitalisés.
Le danger est celui d’une “extractivisation” des communs numériques.
Les projets ouverts deviendraient une matière première stratégique pour entraîner des modèles, reconstruire des produits ou accélérer des développements propriétaires, sans redistribution équivalente vers les communautés qui ont produit cette valeur.
Le paradoxe de l’IA moderne
La situation est profondément paradoxale.
L’IA actuelle dépend massivement de l’open source.
Les infrastructures qui permettent le développement des grands modèles reposent largement sur :
- Linux ;
- Python ;
- PyTorch ;
- Kubernetes ;
- PostgreSQL ;
- des bibliothèques scientifiques ouvertes ;
- des outils DevOps communautaires.
Autrement dit, l’IA pourrait fragiliser précisément l’écosystème qui a rendu son émergence possible.
Cette contradiction devient de plus en plus visible.
D’un côté, les grandes entreprises technologiques valorisent l’ouverture lorsqu’elle accélère l’innovation.
De l’autre, elles renforcent parfois leurs propres protections dès que la valeur économique devient critique.
Les “clean rooms” posent aussi une question de numérique responsable
Le débat autour de MALUS n’est pas uniquement juridique ou économique.
Il touche également au numérique responsable.
Car derrière les “clean rooms” IA se cache potentiellement une logique industrielle problématique :
- multiplication des clones logiciels ;
- fragmentation des communautés ;
- duplication des infrastructures ;
- augmentation de la dette technique ;
- perte de mutualisation ;
- hausse des coûts énergétiques.
Le numérique moderne souffre déjà d’un problème structurel de duplication permanente.
Des milliers de services réinventent souvent les mêmes fonctionnalités avec des infrastructures parallèles.
Si les IA rendent la recréation logicielle quasi instantanée, ce phénomène pourrait encore s’accélérer.
Et cela pose une question rarement abordée :
un logiciel “recréé” dix fois par des IA est-il réellement un progrès collectif ?
D’un point de vue environnemental et systémique, la réponse n’est pas évidente.
La question centrale : comment protéger les communs numériques ?
Nous entrons probablement dans une nouvelle phase de l’histoire du logiciel.
Le débat ne porte plus uniquement sur l’ouverture du code.
Il concerne désormais :
- la gouvernance des communs numériques ;
- la soutenabilité des modèles open source ;
- la redistribution de la valeur ;
- la cybersécurité à l’ère des IA ;
- l’encadrement juridique des modèles génératifs ;
- les nouvelles formes de dépendance technologique.
Plusieurs pistes commencent à émerger :
- licences adaptées à l’IA ;
- modèles hybrides “source available” ;
- restrictions d’usage pour l’entraînement ;
- gouvernances coopératives renforcées ;
- mécanismes de financement mutualisés ;
- certifications de confiance pour les projets critiques.
Mais aucune solution ne fait encore consensus.
Ce que révèle réellement cette crise
L’affaire Cal.com et les provocations de MALUS sont importantes parce qu’elles révèlent une transformation plus profonde du numérique.
Pendant longtemps, l’ouverture du code représentait principalement un avantage collectif.
L’IA transforme désormais cette ouverture en ressource exploitable à grande échelle.
Le sujet n’est donc plus simplement technique.
Il devient :
- politique ;
- économique ;
- environnemental ;
- stratégique.
La question centrale n’est peut-être pas “l’IA va-t-elle tuer l’open source ?”.
La vraie question est plutôt :
quel modèle de coopération numérique voulons-nous préserver dans une économie où les IA peuvent absorber, reproduire et industrialiser une partie croissante du travail collectif ?
L’open source ne disparaîtra probablement pas.
Mais il est possible que nous assistions à la fin d’une certaine innocence du logiciel libre.
