Ce que l'IA open source n'apporte pas d'office

Qu’apporte l’open source ?

Beaucoup. Un logiciel sous une licence open source reconnue peut être utilisé, examiné, modifié et redistribué par tous, sans redevance de licence. De nombreux composants pour l’IA sont mûrs et largement répandus : logiciels qui exécutent des modèles sur des GPU, interfaces, bases de données, services d’authentification. Les plateformes prêtes à l’emploi s’appuient aussi sur eux ; basebox utilise par exemple vLLM et Keycloak.

Ce que l’open source n’est pas : un produit assorti d’engagements. Les licences répandues Apache 2.0 et MIT fournissent le logiciel « en l’état » et excluent la garantie et la responsabilité dans la mesure permise par la loi. Certains projets ont leurs propres licences avec des conditions, comme Open WebUI avec une clause sur le nom de marque. Il faut donc lire le fichier de licence avant tout déploiement.

Que manque-t-il, et qui le fournit ?

Tâche	Ce que fournit le logiciel	Ce que l’exploitant ajoute
Garantie et responsabilité	en général exclues	risque propre ou contrat avec un prestataire
Mises à jour de sécurité	mises à jour par projet, à son propre rythme	suivre les avis, tester l’ensemble, installer
Droits	rôles et groupes dans certains composants	droits issus de l’annuaire, de bout en bout jusqu’aux logiciels métier
Connexion	interfaces et extensions	construire des connexions où chaque personne ne voit que ce qu’elle a le droit de voir
Journal	paramètres par composant	un journal que personne ne peut modifier après coup, avec une durée de conservation
Modèle d’IA	libre choix	tester les modèles, tester les changements, clarifier la licence du modèle
Protection contre la manipulation	selon le projet	contrôle des instructions cachées, droits, validation humaine
Preuves	aucune	AIPD, registre des activités de traitement, mesures techniques et organisationnelles, nomenclature logicielle
Support	communauté, sans engagement	interlocuteur, suppléance, délai de réaction
Formation	documentation du projet	mesures de maîtrise de l’IA selon l’art. 4 du règlement sur l’IA

Pourquoi cela n’apparaît-il que plus tard ?

Un essai se déroule en général avec peu de personnes, des données d’exemple et un collègue motivé qui connaît tout. Les éléments manquants ne deviennent importants que lorsque de vraies données doivent entrer : la protection des données, la sécurité de l’information et les représentants du personnel posent alors des questions sur les droits, le journal et les documents. Et quand ce collègue part en congé, on voit qui d’autre sait comment tout fonctionne. À ce sujet, le guide facteur bus.

Quelles obligations restent à l’exploitant ?

• Protection des données : celui qui utilise l’IA est responsable du traitement. Il lui faut un registre des activités de traitement (art. 30 RGPD), des mesures techniques et organisationnelles appropriées (art. 32) et, pour les données sensibles, en général une analyse d’impact relative à la protection des données (art. 35). Voir AIPD pour l’IA.
• Maîtrise de l’IA : l’art. 4 du règlement sur l’IA exige des mesures pour les collaborateurs qui travaillent avec l’IA, quelle que soit l’origine du logiciel.
• Sécurité de l’information : l’IA développée en interne relève de votre propre SMSI et, en cas d’obligations NIS2, de la gestion des risques. Voir le guide ISO 27001 et NIS2 pour l’IA développée en interne.
• Responsabilité : qui construit un environnement d’IA à partir de composants open source peut être lui-même considéré comme fabricant. Voir Responsabilité : développement open source ou plateforme achetée ?

Le Cyber Resilience Act prévoit pour les gestionnaires de projets open source des obligations propres et plus légères (art. 24). Pour l’établissement qui assemble et exploite les composants, cela ne change rien à ses propres tâches.

Quand le développement interne reste-t-il le bon choix ?

Lorsqu’une équipe assume durablement les tâches du tableau, par exemple dans la recherche ou dans un centre de données doté de sa propre équipe plateforme. Lorsque des exigences très particulières ne sont couvertes par aucun produit existant. Ou lorsque l’IA ne sert qu’à quelques spécialistes qui n’ont pas besoin de connexion aux logiciels métier. Le guide comparatif du coût total (TCO) compare les coûts des deux voies.

Comment cela fonctionne-t-il avec basebox ?

basebox apporte les éléments du tableau : droits issus de votre annuaire, connecteurs avec le propre accès de chaque personne, un journal d’audit inaltérable, mises à jour et support compris dans la licence, accord de traitement des données, mesures techniques et organisationnelles et accord selon le § 203 StGB (Code pénal allemand, secret professionnel) à télécharger. Les clients voient la nomenclature logicielle (SBOM) dans leur basebox ; avant l’achat, nous l’envoyons sur demande. Les formations réservées couvrent aussi la maîtrise de l’IA au sens du règlement européen sur l’IA. Si basebox devient insolvable, le code sera publié en open source pour que les clients puissent continuer à travailler.

Pas un conseil juridique : ce guide donne une vue d’ensemble, état au 11 octobre 2026. Les obligations qui s’appliquent à votre établissement dépendent de l’usage et de vos contrats.