Résilience, souveraineté, numérique responsable : trois chantiers qui touchent à l’Open Source, une même question de confiance
Organisée le 10 septembre 2026 au Corum de Montpellier par Digital 113, l’édition 2026 de The Green IT Day posait à la filière une question volontairement directe : « Robustesse, résilience… le numérique tient-il le choc ? ». La table ronde « Résilience et robustesse des organisations » réunissait Céline Colucci, déléguée générale des Interconnectés, Christophe Pham, fondateur d’Infogreen Factory, Christophe Clouzeau, expert RGESN (référentiel général d’écoconception des services numériques) chez Temesis, Bichoi Metias, dirigeant de Cykero, et Benjamin Jean pour inno³. Ce billet s’appuie et prolonge les discussions du panel (concernant notamment la place de l’Open Source pour construire des relations de confiance).
A-t-on confiance dans la technologie, fût-elle Open Source ?
La réponse est simple et négative. Par nature, les êtres humains que nous sommes n’accordent pas leur confiance à des objets (encore moins lorsque ces objets sont numériques) : la confiance se noue entre des personnes, puis par extension entre des organisations.
Concernant les organisations, c’est la notion de prévisibilité (du marché et des relations) et la capacité d’anticiper et de planifier qui primeront : ainsi la lecture de la stabilité de l’autre comme un facteur de développement (ce qui explique que les démarches de mutualisation échouent plus souvent sur la gouvernance que sur la technique).
Cette distinction déplace le problème, et notamment la liste des éléments à examiner. Cherchée dans un artefact technique, la confiance réclame en effet des garanties que celui-ci ne peut pas produire, alors que cherchée dans une relation, elle indique immédiatement quoi regarder : qui produit la ressource, qui la maintient, selon quelles règles (contractuelles, communautaires ou statutaires), et avec quelle capacité à tenir dans le temps.
L’intelligence artificielle rend la démonstration facile, tant les modèles ouverts y occupent désormais une place visible. Ils sont aujourd’hui mis à disposition de toutes et tous, y compris par des acteurs chinois, et la confiance qu’ils suscitent semble supérieure à celle accordée à un modèle entièrement fermé (ou à un service dont le modèle n’est même pas accessible), sans être pour autant suffisante : l’ouverture des poids ne dit rien des données d’entraînement, ni de la capacité à faire tourner le modèle demain, ni des conditions dans lesquelles son accès pourrait être interrompu.
Ce que l’ouverture garantit
Ce qu’une licence Open Source produit n’est pas de la confiance dans le code, mais un ensemble de conditions vérifiables : la lecture du code est possible, son audit par un tiers l’est également, et la reprise du projet reste ouverte si la relation avec l’acteur qui le porte venait à se dégrader.
Ainsi comprise, l’ouverture est un moyen et non une fin. Elle ne garantit ni la qualité d’une ressource ni la solidité de sa maintenance (deux sujets qui relèvent de l’organisation et non de la licence), mais elle garantit que la continuité d’un usage ne dépend pas de la seule bonne volonté d’un acteur unique. C’est là que la communauté trouve toute sa place.
Les communs prolongent le raisonnement en le portant à l’échelle d’une ressource partagée au sein d’une communauté en charge de la maintenance (et parfois de la conception) d’une ou plusieurs ressources. Transposée au numérique, la logique ancienne d’une ressource entretenue collectivement parce que son usage profite à chacune et chacun rencontre une propriété que le matériel n’a pas : les biens y sont non rivaux et non exclusifs, de sorte que la diffusion n’appauvrit personne.
Il en découle une dynamique contributive documentée de longue date, où les utilisatrices et utilisateurs d’aujourd’hui deviennent les contributrices et contributeurs de demain, parfois les mainteneuses et mainteneurs d’après-demain. La ressource numérique telle qu’elle a été construite compte ainsi moins que la communauté qui l’a construite et que la manière dont celle-ci s’est organisée pour durer, et c’est là que se joue la robustesse d’un projet comme la résilience de ses réutilisations.
Cette lecture n’est plus théorique, et elle trouve depuis peu des traductions financières. Ouvert le 6 mai 2026, l’appel à coalition EuroCommons porté par la Caisse des Dépôts vise la création de communs numériques européens ouverts et pérennes, l’institution s’y posant explicitement en « tiers de confiance » pour dérisquer les migrations (position qui n’aurait guère été formulable il y a trois ans, faute d’acteurs financiers prêts à qualifier des communs d’actifs).
Une précision s’impose, tant elle revient dans les discussions sur la mutualisation : produire ensemble n’oblige pas à opérer ensemble. La production et la maintenance des ressources relèvent d’une logique collective, quand leur instanciation et leur mise en opération peuvent rester propres à chaque organisation (en interne ou de manière fédérée, selon les besoins et les contraintes de chacune).
Du numérique responsable aux enjeux de souveraineté ?
La table ronde portait sur la résilience et a fait circuler quatre familles de sujets : la cybersécurité, la souveraineté, l’écoconception et le réemploi. Portés dans la plupart des organisations par des équipes distinctes, ces chantiers convergent.
Une ressource conçue pour durer, maintenue par une communauté identifiée, réparable et reprenable, se révèle ainsi plus sobre, plus sûre et plus autonome à la fois. Plus sobre, parce que l’essentiel des impacts environnementaux du numérique se joue à la fabrication des équipements (ce qui fait d’un logiciel simple et peu exigeant la première condition d’un parc maintenu en service plus longtemps).
Christophe Clouzeau a rappelé en séance que l’écoconception réduit la surface de vulnérabilité, un service simple et réellement utile étant un service dont le périmètre reste maîtrisé. Publié en mai 2024 par l’Arcep avec l’Arcom, l’ADEME et la DINUM en application de la loi REEN (réduction de l’empreinte environnementale du numérique), le RGESN traite d’ailleurs la simplicité des services, l’interdépendance et le décommissionnement autant que la sobriété.
Céline Colucci a décrit de son côté la manière dont les collectivités structurent leur politique de numérique responsable en trois volets : l’impact social, l’éco-responsabilité, et un cadre de confiance qui recouvre aussi bien la cybersécurité que l’indépendance vis-à-vis de fournisseurs extra-européens (sujet ancien pour les collectivités, devenu sensible à mesure que les relations diplomatiques se sont tendues). Bichoi Metias a pour sa part rappelé que le véhicule de ces politiques reste le matériel, et que le réemploi constitue un levier de souveraineté industrielle autant qu’un levier environnemental (les capacités de production de matériel neuf se situant très majoritairement hors d’Europe).
La souveraineté prend ici le sens que les directions préfèrent nommer autonomie stratégique : savoir ce qui se trouve sous le capot. Un logiciel ou un service s’est longtemps acheté sans que sa composition réelle n’intéresse personne (le contrat portant sur un résultat et non sur un inventaire), situation que les mois écoulés ont rendue intenable.
Le cas Fable 5 nous a démontré que la décision administrative américaine est en effet susceptible de fermer du jour au lendemain l’accès à un modèle d’intelligence artificielle pour les entités non américaines (et même les entités américaines avec des collaborateurs non américains)à, et la même mécanique vaudrait pour un produit logiciel. L’extraterritorialité du droit américain du contrôle des exportations s’impose déjà à des entreprises françaises qui intègrent des composants américains (le plus souvent sans qu’elles en aient conscience), ainsi que le cabinet l’a documenté dans son analyse du contrôle export appliqué à l’Open Source.
Le raisonnement vaut également pour la sécurité, traitée néanmoins le plus souvent comme un chantier séparé. Faute d’inventaire précis des composants et de leur provenance, les failles introduites par des dépendances que personne n’a explicitement choisies se subissent plutôt qu’elles ne se traitent. Au-delà, les travaux menés sur les nomenclatures logicielles comme le rapport parlementaire sur les dépendances numériques rendent progressivement visible ce dont les organisations dépendent réellement (ce qui déplace le sujet du registre de la conformité vers celui de la politique publique).
Quelles suites ?
Ces chantiers relèvent en pratique de personnes qui ne se réunissent presque jamais, chacun étant pris par la complexité de ses propres thématiques. Une politique Open Source bien construite sert pourtant la cybersécurité, un inventaire de composants sert la souveraineté, et une démarche d’écoconception sert la maîtrise du système d’information. À ce sujet, voir notre récent article lié au développement d’Hermine afin d’automatiser la gestion des SBOM.
Les réglementations européennes récentes accélèrent cette maturation par la contrainte, un grand nombre d’organisations révisant en quelques semaines des politiques de cybersécurité qui auraient gagné à être écrites plusieurs années plus tôt (NIS2 et DORA ne faisant le plus souvent qu’amplifier un mouvement déjà engagé). L’opportunité est réelle, à condition que l’objectif poursuivi par chaque texte soit compris, une conformité tenue sur le papier et sans transformation des pratiques ne produisant aucun des effets attendus.
Reste les compétences en interne à nos organisations, sans laquelle l’ensemble ne tient pas : l’éducation populaire pratiquée de longue date par Framasoft, ou des dispositifs publics comme compar:IA, permettent à des utilisatrices et utilisateurs non spécialistes de comparer des modèles et d’en mesurer le coût, condition pour que les arbitrages ne restent pas confinés aux expertes et experts.
Articuler ces chantiers suppose ainsi des transformations techniques, juridiques, organisationnelles et économiques qui dépassent largement le périmètre d’un référentiel ou d’un règlement. Ces questions seront reprises le 1er décembre 2026 au CNIT de La Défense, où l’édition 2026 de Commons AI, consacrée à l’intelligence artificielle conduite dans une démarche de communs, s’inscrit dans l’évènement Future of Software Technologies : aucune réponse consolidée n’existe à ce stade, et c’est précisément ce qui justifie de réunir celles et ceux qui y travaillent, à l’échelle nationale, européenne et internationale.
