L’Open Source et les Communs comme infrastructure d’une politique publique de souveraineté

17 juillet 2026

Le rapport de la commission d’enquête de l’Assemblée nationale sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, adopté le 8 juillet et rendu public ce 15 juillet 2026, retient l’attention à plus d’un titre. L’Open Source et les communs numériques n’y sont plus traités comme une alternative à encourager, mais comme l’infrastructure d’une politique publique de souveraineté, avec à la clé des obligations, des financements et des institutions dédiés. Ce premier billet, d’une série de trois, présente les points clefs du rapport faisant de l’Open Source et des Communs un levier stratégique majeur pour sortir des dépendances numériques actuelles.

Présidée par Philippe Latombe (Dem) et rapportée par Cyrielle Chatelain (EcoS), la commission d’enquête a conduit 45 auditions et entendu 112 personnes entre mars et mai 2026, avant d’adopter son rapport le 8 juillet 2026. Le rapport n° 3054 (tome I) est disponible depuis le 15 juillet 2026 sur le site de l’Assemblée nationale, avec le dossier de la commission et les vidéos des auditions, que l’on recommande : le président regrette lui-même, dans son avant-propos, que la commission « n’ait pas connu un intérêt médiatique à la hauteur des enjeux abordés ».

Ce qu’il faut retenir

Le rapport n° 3054 fait de l’Open Source et des communs numériques l’infrastructure d’une politique de souveraineté, et non plus une simple alternative à encourager. Obligation d’Open Source dans la commande publique au 1er janvier 2030 (outils d’IA compris), institutions et financements dédiés à la maintenance des briques critiques (fondation Flos, fonds Logic, Sovereign Tech Fund européen), contribution des agents publics reconnue, définition OSAID 1.0 rendue opposable contre l’open-washing : plusieurs orientations portées de longue date par l’écosystème passent au registre parlementaire. Restent quatre conditions d’effectivité : sécurisation juridique de l’obligation, gouvernance réelle des communs institués, embarquement de la filière, moyens à la hauteur. Le premier rendez-vous est le projet de loi de finances 2027.

Le diagnostic d’une dépendance mesurée

La première force du rapport tient à un travail cartographique conséquent, mené par questionnaires auprès des administrations d’État, d’opérateurs et d’entreprises publiques. Les ordres de grandeur qu’il consolide viennent à l’appui des recommandations :

Sur le périmètre des cinquante premiers fournisseurs de logiciels des administrations, les acteurs états-uniens représentent près de 80 % des achats ;
Les dépenses publiques annuelles pour des solutions extra-européennes s’élèvent à environ 1,5 milliard d’euros, dont 1 milliard de licences jugées « directement substituables » par des solutions Open Source existantes ;
Un cumul de 17 milliards d’euros de sanctions concurrentielles prononcées contre les Gafam depuis 2010 (dont 12 pour le seul Google), sans que cela remette en cause les positions acquises ;
Et l’effectivité, très concrète, des lois extraterritoriales : plus de 5 500 demandes de divulgation adressées par les autorités américaines à Microsoft au seul second semestre 2025 (satisfaites à 75 %), environ 60 000 à Google (satisfaites à 89 %).

Au-delà de ses effets, le rapport documente aussi les mécaniques sous-jacentes à cette dépendance :

Le verrouillage commercial et technique (permettant des hausses telles que celle de VMware : jusqu’à +113 % sur le catalogue Ugap après le rachat par Broadcom, devis à +800 % pour certains CHU) ;
Le « narratif de l’absence d’alternative » entretenu par un lobbying massif auprès des particuliers, des entreprises privées et du secteur public ;
Le « sovereignty washing » des centrales d’achat (l’Ugap classant VMware ou Zoom parmi les éditeurs « français » sur la foi d’une méthodologie a minima contestable), même s’il faut mentionner des initiatives comme le marché « ALTERNATIVE OPEN SOURCE » publié fin décembre 2025 par la CAIH ;
La dépendance culturelle aux solutions propriétaires forgée dès l’école : le rapport documente la stratégie de pénétration de Microsoft et Google dans les établissements scolaires ; s’y ajoutent, au-delà du rapport, les PC sous Windows et Office comme les tablettes iPad déployées au titre de l’accessibilité, qui installent le même effet d’écosystème ;
Et l’externalisation des compétences publiques qui prive l’État de sa capacité même d’acheter autre chose (« lorsqu’une organisation ne sait plus produire elle-même, elle ne sait plus acheter », résume Henri Verdier devant la commission). Le cas de la Plateforme des données de santé, longuement instruit, sert de démonstration : un choix Microsoft opéré sans appel d’offres en 2019, des alternatives écartées sans examen sérieux, puis une double émancipation (de Microsoft et des cabinets de conseil) rendue possible précisément par la réinternalisation des compétences, jusqu’à la migration vers Scaleway, annoncée en février 2026 puis officialisée en avril.

Surtout, la commission acte ce que l’actualité de juin a rendu difficile à ignorer : « le kill switch n’est plus seulement une hypothèse mais une réalité » (Philippe Latombe). Le ciblage du juge Guillou, privé du jour au lendemain de ses services numériques et de ses moyens de paiement américains, et la suspension, exigée par le gouvernement américain le 12 juin 2026, de l’accès des organisations étrangères aux modèles de frontière d’Anthropic ont fait passer la militarisation des dépendances logicielles du scénario au précédent. À ce sujet, voir notamment nos réflexions concernant l’évolution des règles d’export control et le « cas Fable » : maîtriser sa chaîne logicielle relève désormais aussi du droit extraterritorial.

En marge du rapport, l’audition d’Henri Verdier, directeur général de la fondation Inria. Premier auditionné, le 10 mars 2026 (tome II, p. 7 et s.), il a amplement participé au cadrage :

La distinction entre souveraineté « dans le numérique » et « sur le numérique » : « il ne s’agissait pas de restreindre les libertés en ligne, de contrôler internet ou de censurer la parole publique, mais de garantir notre capacité d’action et de régulation ». Voilà qui désamorce le soupçon de fermeture qui colle à toute politique de souveraineté.

L’avertissement que « changer la nationalité du tyran ne suffit pas à résoudre le problème de la souveraineté » : un monopole national reste un monopole, angle mort d’un « Buy European Act ».

Le financement ne protège rien à lui seul : « le fait qu’un logiciel soit libre ne signifie pas qu’il soit protégé ; sa pérennité dépend de l’existence d’une communauté active de contributeurs, d’un investissement continu et de financements suffisants », avec l’exemple de Mozilla, dont la structure a été « progressivement cannibalisée par Google ».

Enfin, le verrou qu’il juge décisif, culturel : « l’État n’ose pas véritablement s’engager dans le numérique, faute de le maîtriser suffisamment ». D’où l’appel à faire de l’augmentation de nos « degrés de liberté » un critère de chaque décision quotidienne, jusque dans les réflexes d’achat : éprouver, avant de signer, que l’on peut « quitter la solution retenue en quinze jours » (une clause qu’il proposa, et qui lui fut refusée).

Voir aussi la transcription intégrale de l’audition publiée par Libre à lire (April).

De la note de bas de page à une partie pleinement documentée sur le libre et l’ouverture

Là où beaucoup de rapports publics traitaient le logiciel libre et l’Open Source en note de bas de page, la commission lui consacre le cœur de sa quatrième partie, autour d’une thèse frontale : « la véritable force des Gafam est d’avoir également imposé l’idée qu’aucune alternative n’existerait. Or de telles alternatives existent bel et bien ». Suivent une définition en règle (les quatre libertés, le copyleft, la distinction libre/open source), six atouts argumentés (absence de verrouillage, absence de redevances, communautés plutôt que champions, résilience face au kill switch, qualité technique, auditabilité) et une conclusion sans détour : « le logiciel libre constitue la seule véritable alternative au modèle des Gafam […] il doit être au cœur de la stratégie numérique française ».

La formule est politiquement forte, et l’on comprend qu’elle cherche à emporter l’adhésion de décideurs encore réservés. Nos propres analyses retiennent une position plus mesurée : l’Open Source est une condition de souveraineté, non un gage automatique, et l’« alternative » se juge brique par brique, à l’aune de la maturité, de la communauté et du modèle de maintenance. C’est précisément le déplacement qu’opère la suite du chapitre.

Le rapport arme économiquement cette conviction : filière française à 5,9 milliards d’euros (11 % du marché des logiciels et services, croissance de 7,8 % par an, 63 800 ETP), première d’Europe avec 22 % du marché européen, selon l’étude réalisée en 2022 par Markess pour le CNLL, Numeum et Systematic, laquelle établissait aussi que 90 % des organisations interrogées voient dans l’Open Source « un atout majeur pour la souveraineté numérique ». S’y ajoute le rappel de l’étude de la Commission européenne de 2021 selon laquelle une augmentation de 10 % des contributions Open Source générerait chaque année 0,4 à 0,6 point de PIB supplémentaire pour l’Union. Et il assume l’argument de terrain : Échirolles et ses 2,5 millions d’euros d’économies de fonctionnement entre 2020 et 2026, la gendarmerie nationale, la DGFIP et son cloud Nubo sous OpenStack, La Suite numérique de la Dinum.

La commission ne s’arrête pas à l’éloge : elle définit les conditions qui séparent un logiciel publiquement disponible d’un commun vivant. Financer la maintenance (« c’est bien d’avoir un logiciel qui sort en 2026, mais comment faire pour qu’il soit toujours fonctionnel en 2027, en 2028 et au-delà ? », Pierre-Yves Gosset, Framasoft), passer « d’une stratégie de consommation à une stratégie de contribution », prévenir l’appropriation par les Big Tech (le cas GitHub est longuement traité, le modèle ne cessant de se refermer depuis le rachat par Microsoft) et organiser la gouvernance. On retrouve là les trois termes (ressource, communauté, gouvernance) autour desquels nous analysons les communs, et l’idée, développée dans « Ouvrir pour durer », qu’une brique critique doit être entretenue comme une infrastructure publique. La convergence n’a rien de fortuit : c’est la même leçon de terrain, que le rapport martèle à sa manière. La disponibilité d’un logiciel ne vaut rien sans politique claire de maintenance et de contribution.