L’open source est désormais partout dans le discours européen sur la souveraineté numérique, mais le dernier état des lieux de la Linux Foundation raconte une réalité moins confortable. Beaucoup d’organisations utilisent massivement du code ouvert sans toujours savoir précisément ce qu’elles embarquent, qui le maintient, ni combien leur coûte cette dépendance lorsqu’elle n’est pas réellement gouvernée.
La souveraineté progresse plus vite que la gouvernance
Dans son State of Open Source Europe 2026, la Linux Foundation indique que 94 % des organisations européennes interrogées considèrent désormais la souveraineté numérique comme importante dans leur stratégie technologique, dont 61 % qui la jugent très importante. Sécurité, confidentialité des données, dépendance aux fournisseurs étrangers ou capacité à garder la main sur certaines briques critiques ont clairement gagné du terrain.
L’Union européenne pousse dans le même sens. Sa stratégie sur la souveraineté technologique place l’open source aux côtés du cloud, des semi-conducteurs et de l’intelligence artificielle parmi les leviers censés réduire la dépendance aux fournisseurs non européens.
Mais disposer du code source ne suffit pas à reprendre le contrôle. Une entreprise peut utiliser des dizaines ou des centaines de composants ouverts tout en restant incapable de dire lesquels elle utilise exactement, qui les maintient, quelles modifications internes ont été ajoutées ou ce qu’il adviendrait si le projet principal cessait d’être entretenu.
Près d’un tiers des organisations interrogées, 31 %, ne disposent toujours d’aucun cadre formel de gouvernance open source. La Linux Foundation observe aussi que les organisations les plus structurées disent retirer davantage de valeur de leurs investissements, même s’il faut garder en tête que ces chiffres restent déclaratifs et proviennent d’une fondation qui défend elle-même ces écosystèmes.
Le fork privé finit parfois par devenir une autre dépendance
Le cas des forks privés montre assez bien ce que cette absence de gouvernance peut produire. Près de la moitié des organisations interrogées, 48 %, maintiennent leurs propres versions de projets open source, souvent pour conserver des fonctions spécifiques ou intégrer des modifications internes. Elles consacrent en moyenne 311 heures par cycle de publication à maintenir et patcher 9,5 forks, tandis que 28 % ne savent même pas mesurer ce que cette maintenance leur coûte.
Le paradoxe est assez net puisque l’on adopte parfois l’open source pour éviter l’enfermement propriétaire, avant d’accumuler suffisamment de modifications internes pour devenir dépendant de quelques équipes capables de maintenir une branche qui s’éloigne progressivement du projet d’origine.
La souveraineté ne se résume donc pas au droit de modifier le code, encore faut-il disposer des compétences, du temps et de l’organisation nécessaires pour le faire durablement.
L’IA accélère encore le problème
La montée en puissance de l’IA dans le développement ajoute une couche supplémentaire. La Linux Foundation indique que 94 % des organisations européennes utilisent déjà ou expérimentent des outils de génération de code, tandis que 76 % estiment que ces outils augmentent la valeur qu’elles tirent de l’open source. Près de la moitié disent même en utiliser davantage depuis l’arrivée de ces assistants.
Un assistant peut proposer une bibliothèque, un framework ou une dépendance en quelques secondes, ce qui accélère le développement mais facilite aussi l’accumulation de composants qu’il faudra ensuite identifier, suivre, mettre à jour et sécuriser.
Le sujet rejoint directement la chaîne logicielle. La Linux Foundation relève que 63 % des organisations ont augmenté leurs investissements dans la gestion des dépendances open source sous l’effet de la pression réglementaire. Le Cyber Resilience Act oblige notamment les fabricants de produits numériques commercialisés à mieux maîtriser la sécurité des composants qu’ils embarquent tout au long de leur cycle de vie.
L’Union a pris soin de ne pas faire porter cette responsabilité sur les développeurs bénévoles qui publient gratuitement leur code. Pour l’entreprise qui assemble ces briques dans un produit ou un service, en revanche, le fait qu’un composant vienne d’un dépôt public ne dispense évidemment pas de savoir ce qu’il fait ni comment il est maintenu.
Utiliser l’open source ne suffit pas
La Linux Foundation pousse logiquement les entreprises à contribuer davantage aux projets dont elles dépendent, mais l’idée dépasse son propre discours. Participer en amont permet de limiter les divergences, de mieux suivre les évolutions techniques et d’éviter de se retrouver seul à maintenir des modifications que personne d’autre ne connaît.
Beaucoup d’organisations continuent pourtant à consommer l’open source comme une ressource abondante et peu coûteuse, tout en investissant beaucoup moins dans les équipes et les communautés qui le rendent possible. Le rapport 2025 pointait déjà ce déséquilibre et celui de 2026 montre surtout qu’il persiste au moment même où la souveraineté numérique devient un sujet central.
L’Europe ne manque ni de développeurs ni de projets open source. Ce qui lui manque encore, c’est parfois la capacité à considérer ces briques comme une partie de son patrimoine technologique, avec ce que cela suppose de cartographie, de maintenance, de compétences et de financement. La vraie différence se joue alors dans la capacité à entretenir, faire évoluer et parfois remplacer ces composants sans se retrouver prisonnier de choix techniques accumulés au fil du temps.
Le rapport de la Linux Foundation raconte donc moins une Europe qui manquerait d’open source qu’une Europe qui doit encore apprendre à gouverner ce qu’elle utilise déjà. Si la souveraineté numérique doit dépasser le stade du slogan, elle passera aussi par ce travail beaucoup moins visible de maintenance, de contribution et de maîtrise technique.
