Risque de licence des outils open source : trois exemples de 2025 et 2026

Qu’entend-on par risque de licence ?

Un logiciel open source ne coûte pas de redevance de licence, mais il a un titulaire des droits et un développement que quelqu’un finance. Si l’un des deux change, ce que vous recevrez à l’avenir change aussi. Le risque tient rarement à l’interdiction du jour au lendemain des installations existantes. Il tient au fait que les mises à jour, les correctifs de sécurité et les nouvelles fonctionnalités arrivent autrement, ou plus du tout.

Trois exemples de 2025 et 2026 en montrent trois formes.

Outil	Ce qui s’est passé	Quand	Licence aujourd’hui
Mirth Connect (moteur d’interfaces)	Passage d’une licence ouverte à une licence exclusivement commerciale	Version 4.6, annoncée le 19 mars 2025	Jusqu’à 4.5.2 MPL 2.0, à partir de 4.6 commerciale
Flowise (boîte à outils pour agents d’IA)	Rachat par Workday, puis arrêt du développement	Rachat le 14 août 2025, arrêt le 29 juillet 2026	Apache 2.0, dépôt archivé
Langflow (boîte à outils pour déroulés d’IA)	Deux changements de propriétaire : DataStax, puis IBM	4 avril 2024 et 28 mai 2025	MIT, inchangée

Que s’est-il passé avec Mirth Connect ?

Mirth Connect est un moteur d’interfaces répandu dans le secteur de la santé : il échange des messages entre systèmes cliniques, par exemple selon HL7 et FHIR. Jusqu’à la version 4.5.2, le code source était sous Mozilla Public License 2.0, avec en complément des extensions commerciales. Le 19 mars 2025, l’éditeur NextGen Healthcare a annoncé passer avec la version 4.6 à un modèle de licence unique, commercial et propriétaire.

Pour les établissements utilisant l’édition ouverte, NextGen a cité trois voies : rester sur leur version actuelle, passer à la 4.5.2 comme dernière version ouverte, ou acquérir une licence et passer à la 4.6. Pour les études de recherche approuvées et en cours d’établissements à but non lucratif, il existe une licence de recherche gratuite.

La communauté a créé des forks, dont BridgeLink, porté par Innovar Healthcare : construit sur Mirth Connect 4.5.2 et toujours sous Mozilla Public License 2.0. L’interface d’administration de BridgeLink relève d’une autre licence, la Business Source License 1.1. Même pour un fork, il vaut donc la peine d’examiner chaque composant. Un second fork, l’Open Integration Engine, est lui aussi sous Mozilla Public License 2.0 et constitue depuis 2026 un projet de l’Eclipse Foundation. Versions, failles de sécurité et voies possibles pour les établissements utilisant Mirth : Mirth Connect : licence, forks et connexion à l’IA.

La distinction entre moteurs d’interfaces et plateformes d’IA à l’hôpital est décrite dans « SIH, moteur d’interfaces et plateforme d’IA ».

Que s’est-il passé avec Flowise ?

Flowise était une boîte à outils visuelle pour agents d’IA sous licence Apache 2.0. Workday a racheté Flowise en août 2025. Le 29 juillet 2026, l’équipe principale a annoncé l’arrêt immédiat du développement ; depuis le 13 août 2026, le dépôt n’est plus accessible qu’en lecture, et depuis le 31 août 2026, l’équipe principale n’est plus joignable. Les paquets et images de conteneurs sont marqués comme obsolètes.

Le code reste disponible sous Apache 2.0, et l’équipe encourage expressément les forks. Qui continue d’exploiter Flowise assure lui-même la maintenance et les mises à jour de sécurité, ou migre. La licence n’a pas changé ici ; c’est le développement qui a pris fin.

Que s’est-il passé avec Langflow ?

Langflow, une boîte à outils pour déroulés d’IA en Python, est issu de Logspace. DataStax a annoncé son rachat le 4 avril 2024. IBM a annoncé le 25 février 2025 le rachat de DataStax et l’a finalisé le 28 mai 2025. Dans son annonce, IBM s’est engagé à continuer de soutenir la communauté Langflow.

Langflow reste sous licence MIT (au 11 octobre 2026). Jusqu’ici, seul le propriétaire a donc changé. Pour les achats, cela signifie : l’orientation du développement est aujourd’hui fixée par un grand groupe doté de sa propre stratégie produit. Ce n’est pas un défaut, mais un point à connaître lors d’une décision à long terme.

Quelles licences ressemblent à l’open source sans en être ?

L’open source au sens de l’Open Source Definition autorise l’utilisation à toute fin. Plusieurs outils connus rendent leur code consultable, mais posent des limites :

• n8n : Sustainable Use License. L’utilisation pour vos propres besoins internes et à des fins non commerciales est autorisée ; n’est pas autorisé, par exemple, le fait d’exploiter n8n comme service payant pour des tiers.
• Dify : licence Apache 2.0 modifiée. Pas d’exploitation pour plusieurs clients (multi-tenant) sans autorisation écrite ; le logo et le copyright de l’interface ne peuvent pas être retirés. Les contributeurs acceptent que l’éditeur puisse rendre la licence plus stricte ou plus souple.
• Camunda 8 : code source sous Camunda License 1.0 ; depuis la version 8.6 (octobre 2024), l’exploitation en production dans vos propres locaux nécessite une licence.

Ces modèles sont légitimes et clairement décrits dans le texte de licence. Ils relèvent simplement d’une autre catégorie que « gratuit et libre ».

Qu’en découle-t-il pour les achats ?

• Lire le texte de licence, pas l’étiquette : la licence est-elle reconnue par l’Open Source Initiative ? Y a-t-il des conditions supplémentaires sur le multi-tenant, la revente ou l’exploitation en production ?
• Connaître le titulaire des droits : à qui appartient le code, et ses propriétaires peuvent-ils changer la licence des versions futures ? Qui finance le développement ?
• Consigner version et composants : quelle version tourne, sous quelle licence se trouve chaque composant ? Une nomenclature logicielle (SBOM) y aide.
• Prévoir une sortie : que faites-vous si les mises à jour cessent ? Existe-t-il des forks, un prestataire de maintenance, un export de vos déroulés et de vos données ? Pour en savoir plus : Stratégie de sortie pour les plateformes d’IA.
• Prévoir les mises à jour de sécurité : si le développement s’arrête, plus personne ne corrige les nouvelles failles. Qui exploite un logiciel sans éditeur porte lui-même cette obligation ; voir Responsabilité : développement open source maison ou plateforme achetée ?.

Des questions similaires se posent pour les modèles d’IA ; elles sont traitées dans Utiliser des modèles d’IA ouverts dans votre établissement.

Comment cela se passe-t-il avec basebox ?

basebox n’est pas open source, et ce n’est pas prévu. Vous obtenez une licence avec support et mises à jour, et un partenaire contractuel. basebox s’appuie sur des briques open source comme vLLM et Keycloak ; la liste figure dans la nomenclature logicielle (SBOM). En cas d’insolvabilité, il est prévu que le code soit publié en open source pour que les clients puissent continuer à travailler. Les apps, avec leurs instructions, bases de connaissances et paramètres, peuvent être exportées.

Pas un conseil juridique : cet article situe les licences de manière générale. Pour savoir si une licence autorise votre usage, consultez le texte de licence et, en cas de doute, votre service juridique. Informations au 11 octobre 2026 ; licences et propriétaires peuvent changer.