Partir, mais où ?

Selon une étude parue chez Rimini Street, 90 % des clients VMware exploreraient l’idée de changer de crèmerie. L’étude n’y va pas par quatre chemins, pointant surtout les coûts de licence. Pourtant, la situation est plus nuancée et va dans le sens d’une migration partielle et progressive.

Le rachat de VMware par Broadcom en 2023 pour 61 milliards de dollars a engendré plusieurs ondes de choc. De nombreux produits ont été supprimés, les licences perpétuelles ont disparu et Broadcom a rassemblé ses produits en paquets de services disponibles uniquement sous forme d’abonnements. Ces choix ont fait grincer bien des dents, au point de mener des clients devant les tribunaux. Problème, l’offre VMware est aussi complète qu’intégrée et partir n’est pas simple.

• VMware by Broadcom : une situation tendue, l’Europe s’en mêle
• Licences, abonnements, maintenance : AT&T déclare la guerre à Broadcom

Rimini Street, prestataire de support tiers, a justement publié les résultats d’un sondage réalisé par Unisphere Research auprès de 269 clients VMware, entre décembre 2025 et février 2026. L’étude met en avant que 90 % des entreprises ayant répondu envisagent de quitter la galaxie VMware et de changer de crèmerie. Mais une lecture plus attentive révèle – comme souvent – un résultat plus nuancé.

Une situation très diversifiée

Le rapport brosse essentiellement le portrait d’une clientèle en rupture avec Broadcom. Si le chiffre de « 90 % » semble énorme, il masque une réalité plus variée, car les entreprises interrogées évoquent surtout un besoin de diversification, pas nécessairement d’un départ complet.

Dans le sondage, il a été demandé aux participants de choisir parmi les raisons qui les poussaient au départ, total ou partiel. 90 % ont ainsi répondu que les tarifs élevés de VMware étaient effectivement un problème, et 54 % estiment que la suppression des licences perpétuelles est un sérieux point de friction.

Parmi les autres facteurs de motivation au départ, 18 % évoquent le besoin d’un environnement totalement cloud, 18 % la réduction de l’écosystème partenaire (Broadcom est passé principalement à un modèle direct de licence), ou encore 5 % l’inadéquation face aux applications récentes ou en cours. Ce dernier chiffre illustre d’ailleurs que la technique de VMware n’est pas mise en cause.

La nuance apparait sur une autre question : envisagez-vous de migrer les installations VMware actuelles sous licences perpétuelles vers un abonnement VMware Cloud Foundation (VCF) au cours des 12 prochains mois ? 48 % affirment qu’ils ne le feront pas, mais 41 % le feront en partie, tandis que les 11 % restants le feront entièrement. Si près de la moitié refusent une formule par abonnement, cela ne signifie pas que les installations actuelles seront mises de côté. Plus de la moitié des répondants envisagent également de placer au moins une partie de leur infrastructure dans VCF.

On peut lire aussi dans l’étude que 34 % des entreprises interrogées envisagent un changement complet d’hyperviseur (le composant central permettant la virtualisation) au cours des trois prochaines années, et 48 % une bascule partielle.

« La tendance montre une diversification croissante des stratégies de virtualisation d’entreprise avec une transition à plus long terme vers des environnements de virtualisation informatique sur mesure et multiplateformes. Alors que les organisations réévaluent leurs parcours de modernisation, elles adoptent de plus en plus des approches combinant infrastructure sur site, cloud privé, cloud public et hyperviseurs alternatifs afin de soutenir la flexibilité de la charge de travail, l’efficacité opérationnelle et un meilleur contrôle des coûts », indique l’étude.

Le pari de la diversification

Si l’étude a été commanditée par Rimini Street, c’est aussi parce qu’elle dépeint une situation profitable à cette entreprise. Commercialisant du support tiers, les résultats du sondage lui permettent de mettre en avant une situation mouvante dans laquelle ce type de support pourrait faire toute la différence. Un point que souligne d’ailleurs Ars Technica.

Mais l’étude a surtout le mérite de pointer des interrogations plus profondes que la seule question du fournisseur de solutions de virtualisation. Dans la catégorie « obstacles » aux projets d’évolution des infrastructures, 40 % des entreprises interrogées ont mis en avant la complexité opérationnelle, 38 % les défis liés à la gestion de fournisseurs multiples, 37 % les difficultés de sécurisation d’une surface d’attaque grandissante, ou encore 37 % les exigences en compétences d’équipe.

Comme souvent dans ce genre de cas, le rachat par Broadcom a illustré une dépendance excessive à un seul acteur. Si l’envie de changer de fournisseur semble motiver bon nombre d’entreprises aujourd’hui, la complexité de la migration est désormais le sujet brûlant. En outre, les obstacles cités sont nombreux et posent une question : payer pour une certaine forme de simplicité ou diversifier et faire face à une plus grande complexité ?

Même si le sondage va dans le sens de Rimini Street, ce n’est pas la première étude qui analyse la grogne des clients VMware. En septembre, Gartner a également évoqué la situation, mais avec des chiffres moins « flamboyants », puisque 55 % des entreprises lanceraient dans les trois ans à venir des « maquettes » de solutions de remplacement. Le cabinet d’analyse note cependant la forte progression de ce chiffre, qui était de 25 % plus tôt dans l’année, même si étudier un départ ne signifie pas partir.

Gartner soulignait aussi les problèmes rencontrés en cas de diversification, récoltant des retours d’entreprises. Les licences Nutanix étaient ainsi jugées complexes avec des tarifs parfois plus élevés que prévu, l’offre de Microsoft paraissait complexe avec le besoin de jongler avec plusieurs consoles d’administration disjointes, et Proxmox apparaissait comme un acteur de niche, faute de prise en charge des applications d’entreprise de premier rang et en raison d’effectifs réduits.

La scène de la virtualisation continue cependant d’évoluer, la grogne contre VMware aiguisant les convoitises et contribuant à faire émerger de nouvelles offres. L’entreprise française Vates vient ainsi de lever 30 millions d’euros auprès d’IRIS et de Bpifrance pour devenir « un leader mondial de la virtualisation ». « Vates entend prendre une place majeure dans cette nouvelle configuration grâce à une plateforme open source permettant aux organisations de conserver le contrôle de leurs infrastructures, de limiter leur dépendance technologique et de préserver leur liberté d’architecture », affirme l’entreprise dans un communiqué publié le 6 octobre.

Un calendrier à la fois rapide et lent

Les deux études, même si elles pointent des différences, vont dans le même sens : une diversification progressive.

La situation peut être cependant très différente selon les entreprises. Selon The Register, de nombreux clients ont renouvelé leurs abonnements de trois ans juste avant le rachat. En outre, si un exode rapide et massif n’est pas étayé, la question peut devenir pressante selon les cas, le support de vSphere 8.x s’achevant en octobre 2027. Cette date marquera alors la fin du support général pour l’ensemble des licences perpétuelles VMware.

Les raisons évoquées sur la complexité sont quoi qu’il en soit bien présentes. Aux Assises de la cybersécurité à Monaco, plusieurs entreprises nous ont en effet confirmé la difficulté à migrer. Il ne s’agit pas seulement d’une question de coût, mais aussi de cartographie des ressources.

Partir, mais où ?

Selon une étude parue chez Rimini Street, 90 % des clients VMware exploreraient l’idée de changer de crèmerie. L’étude n’y va pas par quatre chemins, pointant surtout les coûts de licence. Pourtant, la situation est plus nuancée et va dans le sens d’une migration partielle et progressive.

Le rachat de VMware par Broadcom en 2023 pour 61 milliards de dollars a engendré plusieurs ondes de choc. De nombreux produits ont été supprimés, les licences perpétuelles ont disparu et Broadcom a rassemblé ses produits en paquets de services disponibles uniquement sous forme d’abonnements. Ces choix ont fait grincer bien des dents, au point de mener des clients devant les tribunaux. Problème, l’offre VMware est aussi complète qu’intégrée et partir n’est pas simple.

• VMware by Broadcom : une situation tendue, l’Europe s’en mêle
• Licences, abonnements, maintenance : AT&T déclare la guerre à Broadcom

Rimini Street, prestataire de support tiers, a justement publié les résultats d’un sondage réalisé par Unisphere Research auprès de 269 clients VMware, entre décembre 2025 et février 2026. L’étude met en avant que 90 % des entreprises ayant répondu envisagent de quitter la galaxie VMware et de changer de crèmerie. Mais une lecture plus attentive révèle – comme souvent – un résultat plus nuancé.

Une situation très diversifiée

Le rapport brosse essentiellement le portrait d’une clientèle en rupture avec Broadcom. Si le chiffre de « 90 % » semble énorme, il masque une réalité plus variée, car les entreprises interrogées évoquent surtout un besoin de diversification, pas nécessairement d’un départ complet.

Dans le sondage, il a été demandé aux participants de choisir parmi les raisons qui les poussaient au départ, total ou partiel. 90 % ont ainsi répondu que les tarifs élevés de VMware étaient effectivement un problème, et 54 % estiment que la suppression des licences perpétuelles est un sérieux point de friction.

Parmi les autres facteurs de motivation au départ, 18 % évoquent le besoin d’un environnement totalement cloud, 18 % la réduction de l’écosystème partenaire (Broadcom est passé principalement à un modèle direct de licence), ou encore 5 % l’inadéquation face aux applications récentes ou en cours. Ce dernier chiffre illustre d’ailleurs que la technique de VMware n’est pas mise en cause.

La nuance apparait sur une autre question : envisagez-vous de migrer les installations VMware actuelles sous licences perpétuelles vers un abonnement VMware Cloud Foundation (VCF) au cours des 12 prochains mois ? 48 % affirment qu’ils ne le feront pas, mais 41 % le feront en partie, tandis que les 11 % restants le feront entièrement. Si près de la moitié refusent une formule par abonnement, cela ne signifie pas que les installations actuelles seront mises de côté. Plus de la moitié des répondants envisagent également de placer au moins une partie de leur infrastructure dans VCF.

On peut lire aussi dans l’étude que 34 % des entreprises interrogées envisagent un changement complet d’hyperviseur (le composant central permettant la virtualisation) au cours des trois prochaines années, et 48 % une bascule partielle.

« La tendance montre une diversification croissante des stratégies de virtualisation d’entreprise avec une transition à plus long terme vers des environnements de virtualisation informatique sur mesure et multiplateformes. Alors que les organisations réévaluent leurs parcours de modernisation, elles adoptent de plus en plus des approches combinant infrastructure sur site, cloud privé, cloud public et hyperviseurs alternatifs afin de soutenir la flexibilité de la charge de travail, l’efficacité opérationnelle et un meilleur contrôle des coûts », indique l’étude.

Le pari de la diversification

Si l’étude a été commanditée par Rimini Street, c’est aussi parce qu’elle dépeint une situation profitable à cette entreprise. Commercialisant du support tiers, les résultats du sondage lui permettent de mettre en avant une situation mouvante dans laquelle ce type de support pourrait faire toute la différence. Un point que souligne d’ailleurs Ars Technica.

Mais l’étude a surtout le mérite de pointer des interrogations plus profondes que la seule question du fournisseur de solutions de virtualisation. Dans la catégorie « obstacles » aux projets d’évolution des infrastructures, 40 % des entreprises interrogées ont mis en avant la complexité opérationnelle, 38 % les défis liés à la gestion de fournisseurs multiples, 37 % les difficultés de sécurisation d’une surface d’attaque grandissante, ou encore 37 % les exigences en compétences d’équipe.

Comme souvent dans ce genre de cas, le rachat par Broadcom a illustré une dépendance excessive à un seul acteur. Si l’envie de changer de fournisseur semble motiver bon nombre d’entreprises aujourd’hui, la complexité de la migration est désormais le sujet brûlant. En outre, les obstacles cités sont nombreux et posent une question : payer pour une certaine forme de simplicité ou diversifier et faire face à une plus grande complexité ?

Même si le sondage va dans le sens de Rimini Street, ce n’est pas la première étude qui analyse la grogne des clients VMware. En septembre, Gartner a également évoqué la situation, mais avec des chiffres moins « flamboyants », puisque 55 % des entreprises lanceraient dans les trois ans à venir des « maquettes » de solutions de remplacement. Le cabinet d’analyse note cependant la forte progression de ce chiffre, qui était de 25 % plus tôt dans l’année, même si étudier un départ ne signifie pas partir.

Gartner soulignait aussi les problèmes rencontrés en cas de diversification, récoltant des retours d’entreprises. Les licences Nutanix étaient ainsi jugées complexes avec des tarifs parfois plus élevés que prévu, l’offre de Microsoft paraissait complexe avec le besoin de jongler avec plusieurs consoles d’administration disjointes, et Proxmox apparaissait comme un acteur de niche, faute de prise en charge des applications d’entreprise de premier rang et en raison d’effectifs réduits.

La scène de la virtualisation continue cependant d’évoluer, la grogne contre VMware aiguisant les convoitises et contribuant à faire émerger de nouvelles offres. L’entreprise française Vates vient ainsi de lever 30 millions d’euros auprès d’IRIS et de Bpifrance pour devenir « un leader mondial de la virtualisation ». « Vates entend prendre une place majeure dans cette nouvelle configuration grâce à une plateforme open source permettant aux organisations de conserver le contrôle de leurs infrastructures, de limiter leur dépendance technologique et de préserver leur liberté d’architecture », affirme l’entreprise dans un communiqué publié le 6 octobre.

Un calendrier à la fois rapide et lent

Les deux études, même si elles pointent des différences, vont dans le même sens : une diversification progressive.

La situation peut être cependant très différente selon les entreprises. Selon The Register, de nombreux clients ont renouvelé leurs abonnements de trois ans juste avant le rachat. En outre, si un exode rapide et massif n’est pas étayé, la question peut devenir pressante selon les cas, le support de vSphere 8.x s’achevant en octobre 2027. Cette date marquera alors la fin du support général pour l’ensemble des licences perpétuelles VMware.

Les raisons évoquées sur la complexité sont quoi qu’il en soit bien présentes. Aux Assises de la cybersécurité à Monaco, plusieurs entreprises nous ont en effet confirmé la difficulté à migrer. Il ne s’agit pas seulement d’une question de coût, mais aussi de cartographie des ressources.

À nous de vous faire préférer le libre

Dix ans après la promulgation de la loi du 7 octobre 2016 pour une République numérique, les dépenses en logiciels libres de l’administration sont toujours réduites à la portion congrue, regrette l’association représentative des entreprises du secteur. Elle appelle l’État à passer de l’encouragement à la règle, et à porter le message à l’échelle européenne.

Dix ans tout juste. C’est en effet le 7 octobre 2016 que François Hollande a promulgué la loi pour une République numérique, qui instituait le principe de pérennité et d’indépendance des systèmes d’information au sein des administrations étatiques françaises. « Elles encouragent l’utilisation des logiciels libres et des formats ouverts lors du développement, de l’achat ou de l’utilisation, de tout ou partie, de ces systèmes d’information », disposait la loi dans son article 16.

Dans son explication de texte de l’époque, Next soulignait la portée juridique quasi-nulle de cette formulation : encourager n’est pas imposer. Et du point de vue du Conseil national du logiciel libre (CNLL), l’association qui représente l’intérêt de la filière open source en France, l’encouragement n’a clairement pas suffi. « Dix ans après, ni l’obligation ni l’encouragement n’ont produit de résultat sur les achats de l’État ; la dépense auprès des grands éditeurs américains continue de croître », dénonce le CNLL dans un communiqué daté du 2 octobre.

Les logiciels propriétaires états-uniens dominent toujours largement

Le CNLL en veut pour preuve les dernières analyses de la dépense publique en matière de logiciel, en s’appuyant notamment sur les conclusions de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, dont les conclusions ont été publiées en juillet dernier.

• Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique

Si la commission en question étudiait plus spécifiquement les enjeux de souveraineté, en s’attachant notamment au critère de la provenance extra-européenne, celle-ci remarquait effectivement que les fournisseurs états-uniens, éditeurs de solutions non libres, figuraient largement en tête des dépenses de logiciels réalisées auprès de l’Ugap. Cette dernière est, pour mémoire, la centrale d’achat public qui permet au commanditaire de se dispenser de ses propres procédures de publicité et de mise en concurrence.

« Les dépenses de logiciel pour des produits propriétaires extra-européens représentent un montant annuel de l’ordre de 200 à 300 millions d’euros pour les administrations d’État et les grands établissements publics, et de 1,5 milliard pour l’ensemble des administrations », écrivait la commission dans son rapport, avant de souligner qu’une part significative de ces dépenses pourrait être fléchée différemment :

« Les montants estimés de dépenses publiques substituables par des solutions open source étaient sur le périmètre de l’État a minima de 185 millions et sur le périmètre de l’ensemble des administrations de 1 milliard d’euros. Ces recensements n’étant pas exhaustifs, les dépenses publiques évitables sont probablement beaucoup plus importantes. »

Stéfane Fermigier, coprésident du CNLL, voit dans cette analyse le constat d’échec de la politique d’incitation instaurée par la loi de 2016. « Dix ans plus tard, l’encouragement n’a rien changé aux achats de l’État », argue-t-il dans un communiqué, avant d’appeler à des mesures plus concrètes.

De l’incitation à la dérogation justifiée

Le CNLL demande par conséquent que l’encouragement soit remplacé par une règle, et propose que « le logiciel libre [soit] retenu, sauf justification écrite, soumise avant la décision au contrôle de la future autorité numérique de l’État ».

Autrement dit, les administrations devraient par défaut choisir une solution libre, et justifier toute dérogation auprès de la future Autorité référente pour l’intelligence artificielle et le numérique de l’État (Ariane). Cette dernière, annoncée par le Premier ministre Sébastien Lecornu le 30 avril dernier et précisée en juin, est pour mémoire censée succéder à la Direction interministérielle du numérique (Dinum).

« Il faut maintenant une règle, et une autorité qui la fasse respecter. Il est profondément troublant que les annonces de création d’Ariane, la future autorité numérique de l’État, ne mentionnent ni l’article 16 ni le logiciel libre. Cet oubli doit impérativement être corrigé d’ici son lancement effectif », déclare encore Stéfane Fermigier.

En attendant de découvrir la feuille de route exacte de l’Ariane, le CNLL note qu’un premier décret d’application relatif à l’article 16 de la loi de 2016 a finalement été publié… le 18 mars 2026, avec des dispositions qui vont dans le sens de ce que réclame l’association.

Il prévoit en effet une validation a priori de la direction interministérielle du numérique (et donc demain de l’Ariane) des choix de logiciels, mais avec une portée limitée aux grands projets informatiques « répondant à des caractéristiques, notamment de coût prévisionnel, fixées par arrêté du Premier ministre ». Bref, un premier pas tardif qui apparait bien limité aux représentants du monde du libre.

Partant du principe qu’il faut une rupture plus franche pour casser les vieilles habitudes et les logiques de licences groupées, le CNLL propose plusieurs mesures qui contribueraient, selon lui, à accélérer le virage et favoriser les acteurs du libre. Il suggère notamment de découpler la souscription d’une licence et du support technique du chantier d’intégration dans les services. « Une part de la dépense revient ainsi à ceux qui produisent le logiciel et finance son évolution », justifie-t-il.

Il demande également que les contrats d’achat chiffrent directement les coûts de sortie (migration, adaptation des applications métier, etc.). Il enjoint par ailleurs chaque ministère à publier chaque année ses dépendances logicielles, en intégrant la part du libre dans ses dépenses, et propose qu’un fonds public participe au financement de la maintenance des logiciels libres critiques dont dépend l’administration, à l’image de ce que fait la Sovereign Tech Agency en Allemagne. Via son fonds dédié, cette dernière participe par exemple au financement de Mastodon, comme l’avait expliqué son directeur technique Renaud Chaput devant la commission d’enquête sur les dépendances numériques, ou plus récemment à celui de l’environnement KDE.

Porter le message à Bruxelles

Enfin, le CNLL demande que la France porte ce passage d’une simple incitation à une règle contraignante au niveau européen. Le calendrier n’est pas anodin : les instances de l’Union européenne travaillent actuellement à la rédaction du futur règlement européen sur le cloud et l’IA (surnommé CADA, pour Cloud and AI Development Act).

Or l’article 41 de la proposition de règlement, telle qu’elle a été rendue publique le 3 juin dernier, s’attache précisément à la question de la préférence donnée à l’open source et au logiciel libre. Au grand dam du CNLL, elle reprend cependant, dans sa formulation actuelle, la logique d’encouragement :

« L’Union et les États membres prennent les mesures nécessaires pour encourager les entités de l’Union et les organismes du secteur public à utiliser et à faciliter la réutilisation des normes et composants ouverts publiés sous une licence open source lors de la construction de leur écosystème ou pile cloud et IA, en tenant compte des fonctionnalités, notamment la sécurité, le coût total et d’autres critères objectifs pertinents et dûment justifiés. »

Le CNLL profite enfin de sa communication pour rappeler que l’argument selon lequel la préférence accordée au logiciel libre contreviendrait au principe fondamental de neutralité technologique, d’égalité de traitement des candidats et de liberté d’accès à la commande publique, a déjà été déminé à différents niveaux.

« Les services de recherche du Bundestag ont conclu, dans un avis juridique du 5 mars 2026, qu’une restriction à l’open source est licite si elle est justifiée, proportionnée et écrite. Après l’arrêt de la Cour de justice de l’Union du 9 janvier 2025 (affaire C-578/23), ils estiment même que choisir l’open source ou des droits complets sur le code dès le premier achat peut être exigé par le droit des marchés », fait-il par exemple valoir.

Notons que l’arrêt de la CJUE en question concernait la maintenance d’un système fiscal tchèque, attribuée sans concurrence à IBM au motif que l’éditeur détenait les droits d’auteur sur le code. Elle avait alors jugé que l’acheteur ne pouvait pas invoquer une exclusivité dont il était lui-même à l’origine par son premier choix. C’est le Bundestag qui en a ensuite déduit qu’exiger des droits étendus sur le code ou choisir un logiciel libre peut de ce fait être préconisé, voire exigé.

À nous de vous faire préférer le libre

Dix ans après la promulgation de la loi du 7 octobre 2016 pour une République numérique, les dépenses en logiciels libres de l’administration sont toujours réduites à la portion congrue, regrette l’association représentative des entreprises du secteur. Elle appelle l’État à passer de l’encouragement à la règle, et à porter le message à l’échelle européenne.

Dix ans tout juste. C’est en effet le 7 octobre 2016 que François Hollande a promulgué la loi pour une République numérique, qui instituait le principe de pérennité et d’indépendance des systèmes d’information au sein des administrations étatiques françaises. « Elles encouragent l’utilisation des logiciels libres et des formats ouverts lors du développement, de l’achat ou de l’utilisation, de tout ou partie, de ces systèmes d’information », disposait la loi dans son article 16.

Dans son explication de texte de l’époque, Next soulignait la portée juridique quasi-nulle de cette formulation : encourager n’est pas imposer. Et du point de vue du Conseil national du logiciel libre (CNLL), l’association qui représente l’intérêt de la filière open source en France, l’encouragement n’a clairement pas suffi. « Dix ans après, ni l’obligation ni l’encouragement n’ont produit de résultat sur les achats de l’État ; la dépense auprès des grands éditeurs américains continue de croître », dénonce le CNLL dans un communiqué daté du 2 octobre.

Les logiciels propriétaires états-uniens dominent toujours largement

Le CNLL en veut pour preuve les dernières analyses de la dépense publique en matière de logiciel, en s’appuyant notamment sur les conclusions de la commission d’enquête sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique, dont les conclusions ont été publiées en juillet dernier.

• Les propositions radicales de la commission de l’Assemblée sur la souveraineté numérique

Si la commission en question étudiait plus spécifiquement les enjeux de souveraineté, en s’attachant notamment au critère de la provenance extra-européenne, celle-ci remarquait effectivement que les fournisseurs états-uniens, éditeurs de solutions non libres, figuraient largement en tête des dépenses de logiciels réalisées auprès de l’Ugap. Cette dernière est, pour mémoire, la centrale d’achat public qui permet au commanditaire de se dispenser de ses propres procédures de publicité et de mise en concurrence.

« Les dépenses de logiciel pour des produits propriétaires extra-européens représentent un montant annuel de l’ordre de 200 à 300 millions d’euros pour les administrations d’État et les grands établissements publics, et de 1,5 milliard pour l’ensemble des administrations », écrivait la commission dans son rapport, avant de souligner qu’une part significative de ces dépenses pourrait être fléchée différemment :

« Les montants estimés de dépenses publiques substituables par des solutions open source étaient sur le périmètre de l’État a minima de 185 millions et sur le périmètre de l’ensemble des administrations de 1 milliard d’euros. Ces recensements n’étant pas exhaustifs, les dépenses publiques évitables sont probablement beaucoup plus importantes. »

Stéfane Fermigier, coprésident du CNLL, voit dans cette analyse le constat d’échec de la politique d’incitation instaurée par la loi de 2016. « Dix ans plus tard, l’encouragement n’a rien changé aux achats de l’État », argue-t-il dans un communiqué, avant d’appeler à des mesures plus concrètes.

De l’incitation à la dérogation justifiée

Le CNLL demande par conséquent que l’encouragement soit remplacé par une règle, et propose que « le logiciel libre [soit] retenu, sauf justification écrite, soumise avant la décision au contrôle de la future autorité numérique de l’État ».

Autrement dit, les administrations devraient par défaut choisir une solution libre, et justifier toute dérogation auprès de la future Autorité référente pour l’intelligence artificielle et le numérique de l’État (Ariane). Cette dernière, annoncée par le Premier ministre Sébastien Lecornu le 30 avril dernier et précisée en juin, est pour mémoire censée succéder à la Direction interministérielle du numérique (Dinum).

« Il faut maintenant une règle, et une autorité qui la fasse respecter. Il est profondément troublant que les annonces de création d’Ariane, la future autorité numérique de l’État, ne mentionnent ni l’article 16 ni le logiciel libre. Cet oubli doit impérativement être corrigé d’ici son lancement effectif », déclare encore Stéfane Fermigier.

En attendant de découvrir la feuille de route exacte de l’Ariane, le CNLL note qu’un premier décret d’application relatif à l’article 16 de la loi de 2016 a finalement été publié… le 18 mars 2026, avec des dispositions qui vont dans le sens de ce que réclame l’association.

Il prévoit en effet une validation a priori de la direction interministérielle du numérique (et donc demain de l’Ariane) des choix de logiciels, mais avec une portée limitée aux grands projets informatiques « répondant à des caractéristiques, notamment de coût prévisionnel, fixées par arrêté du Premier ministre ». Bref, un premier pas tardif qui apparait bien limité aux représentants du monde du libre.

Partant du principe qu’il faut une rupture plus franche pour casser les vieilles habitudes et les logiques de licences groupées, le CNLL propose plusieurs mesures qui contribueraient, selon lui, à accélérer le virage et favoriser les acteurs du libre. Il suggère notamment de découpler la souscription d’une licence et du support technique du chantier d’intégration dans les services. « Une part de la dépense revient ainsi à ceux qui produisent le logiciel et finance son évolution », justifie-t-il.

Il demande également que les contrats d’achat chiffrent directement les coûts de sortie (migration, adaptation des applications métier, etc.). Il enjoint par ailleurs chaque ministère à publier chaque année ses dépendances logicielles, en intégrant la part du libre dans ses dépenses, et propose qu’un fonds public participe au financement de la maintenance des logiciels libres critiques dont dépend l’administration, à l’image de ce que fait la Sovereign Tech Agency en Allemagne. Via son fonds dédié, cette dernière participe par exemple au financement de Mastodon, comme l’avait expliqué son directeur technique Renaud Chaput devant la commission d’enquête sur les dépendances numériques, ou plus récemment à celui de l’environnement KDE.

Porter le message à Bruxelles

Enfin, le CNLL demande que la France porte ce passage d’une simple incitation à une règle contraignante au niveau européen. Le calendrier n’est pas anodin : les instances de l’Union européenne travaillent actuellement à la rédaction du futur règlement européen sur le cloud et l’IA (surnommé CADA, pour Cloud and AI Development Act).

Or l’article 41 de la proposition de règlement, telle qu’elle a été rendue publique le 3 juin dernier, s’attache précisément à la question de la préférence donnée à l’open source et au logiciel libre. Au grand dam du CNLL, elle reprend cependant, dans sa formulation actuelle, la logique d’encouragement :

« L’Union et les États membres prennent les mesures nécessaires pour encourager les entités de l’Union et les organismes du secteur public à utiliser et à faciliter la réutilisation des normes et composants ouverts publiés sous une licence open source lors de la construction de leur écosystème ou pile cloud et IA, en tenant compte des fonctionnalités, notamment la sécurité, le coût total et d’autres critères objectifs pertinents et dûment justifiés. »

Le CNLL profite enfin de sa communication pour rappeler que l’argument selon lequel la préférence accordée au logiciel libre contreviendrait au principe fondamental de neutralité technologique, d’égalité de traitement des candidats et de liberté d’accès à la commande publique, a déjà été déminé à différents niveaux.

« Les services de recherche du Bundestag ont conclu, dans un avis juridique du 5 mars 2026, qu’une restriction à l’open source est licite si elle est justifiée, proportionnée et écrite. Après l’arrêt de la Cour de justice de l’Union du 9 janvier 2025 (affaire C-578/23), ils estiment même que choisir l’open source ou des droits complets sur le code dès le premier achat peut être exigé par le droit des marchés », fait-il par exemple valoir.

Notons que l’arrêt de la CJUE en question concernait la maintenance d’un système fiscal tchèque, attribuée sans concurrence à IBM au motif que l’éditeur détenait les droits d’auteur sur le code. Elle avait alors jugé que l’acheteur ne pouvait pas invoquer une exclusivité dont il était lui-même à l’origine par son premier choix. C’est le Bundestag qui en a ensuite déduit qu’exiger des droits étendus sur le code ou choisir un logiciel libre peut de ce fait être préconisé, voire exigé.

L’application scrcpy (pour « screen copy ») est un petit utilitaire multiplateforme permettant d’afficher sur le bureau de son ordinateur une copie miroir de son appareil Android. Cette copie peut être contrôlée au clavier et à la souris quand l’appareil est relié à l’ordinateur par câble USB, à condition d’avoir activé le mode débogage USB dans les options pour développeurs, dans les paramètres d’Android. Le code est open source (licence Apache 2.0) et disponible depuis son dépôt GitHub.

La version 5.0 de l’application est sortie le 5 octobre. Elle apporte une nouveauté de taille : la prise en charge du décodage matériel. Un ajout important, car l’image miroir est alimentée par un flux vidéo. En clair, les opérations passent par le GPU, avec à la clé des gains majeurs sur l’utilisation du CPU, d’un facteur allant jusqu’à 10 dans le meilleur des cas. Les gains sont cependant très variables d’une configuration à une autre.

Cette version 5.0 contient d’autres améliorations, notamment sur le tampon vidéo. On note aussi le passage à adb 37.0.1, FFmpeg 9.0.2, SDL 3.4.18 et dav1d 1.5.4, l’arrivée d’une version compilée pour Windows ARM64 et plusieurs corrections.

scrcpy 5.0 peut être téléchargé depuis son dépôt GitHub, l’application n’ayant pas de site dédié. C’est le seul moyen sur macOS ou Windows, mais les utilisateurs sous Linux auront sans doute des options supplémentaires, l’utilitaire étant souvent présent dans les dépôts. Sous Ubuntu par exemple, une version en paquet Debian et une autre en snap, mais non officielles et non mises à jour pour l’instant.

L’application scrcpy (pour « screen copy ») est un petit utilitaire multiplateforme permettant d’afficher sur le bureau de son ordinateur une copie miroir de son appareil Android. Cette copie peut être contrôlée au clavier et à la souris quand l’appareil est relié à l’ordinateur par câble USB, à condition d’avoir activé le mode débogage USB dans les options pour développeurs, dans les paramètres d’Android. Le code est open source (licence Apache 2.0) et disponible depuis son dépôt GitHub.

La version 5.0 de l’application est sortie le 5 octobre. Elle apporte une nouveauté de taille : la prise en charge du décodage matériel. Un ajout important, car l’image miroir est alimentée par un flux vidéo. En clair, les opérations passent par le GPU, avec à la clé des gains majeurs sur l’utilisation du CPU, d’un facteur allant jusqu’à 10 dans le meilleur des cas. Les gains sont cependant très variables d’une configuration à une autre.

Cette version 5.0 contient d’autres améliorations, notamment sur le tampon vidéo. On note aussi le passage à adb 37.0.1, FFmpeg 9.0.2, SDL 3.4.18 et dav1d 1.5.4, l’arrivée d’une version compilée pour Windows ARM64 et plusieurs corrections.

scrcpy 5.0 peut être téléchargé depuis son dépôt GitHub, l’application n’ayant pas de site dédié. C’est le seul moyen sur macOS ou Windows, mais les utilisateurs sous Linux auront sans doute des options supplémentaires, l’utilitaire étant souvent présent dans les dépôts. Sous Ubuntu par exemple, une version en paquet Debian et une autre en snap, mais non officielles et non mises à jour pour l’instant.

L'IA, une fonction comme les autres

La Document Foundation a clarifié sa position sur l’IA. Si elle n’a rien contre les LLM par principe, elle n’inclura aucune fonction dopée à l’IA tant que l’utilisation des modèles ne pourra pas se faire dans un cadre strict.

Dans un billet, The Document Foundation explique que « oui », le fait de n’avoir aucune fonction IA dans LibreOffice est bien une fonctionnalité. C’est la réponse de la fondation à un commentaire narquois laissé sur un billet précédent, qui annonçait la disponibilité de LibreOffice 26.8.

Cette version présentait toute une série d’améliorations, notamment sur la typographie avec le Paragraphe Composer qui répartit les espaces sur l’ensemble du paragraphe, les systèmes d’écriture complexes et une meilleure prise en charge du format OOXML. Le billet contenait en outre un chapitre « No artificial intelligence », dans lequel la fondation revendiquait plusieurs points : aucune fonctionnalité d’IA générative, aucun document transmis à un service distant, aucun composant nécessitant l’accès au réseau. Une position délibérée, motivée par la confidentialité des données selon la fondation.

Dans le nouveau billet, signé Italo Vignoli, cette revendication est précisée. L’auteur indique que la fondation ne rejette pas l’IA par principe. Cependant, « une suite bureautique utilisée par des dizaines de millions de personnes – dans les écoles, les hôpitaux, les organismes publics, les cabinets d’avocats et des milliers d’autres organisations – n’ajoutera aucune fonctionnalité à sa configuration par défaut tant que cette fonctionnalité ne pourra pas être mise en œuvre dans les conditions définies par le projet conformément à ses principes ».

Six principes obligatoires

En clair, la fondation n’ajoutera pas de fonctions alimentées par l’IA tant qu’elles ne pourront pas obéir à l’ensemble de ces six principes :

1. L’utilisateur choisit où s’exécute l’inférence : sur son appareil, sur une infrastructure qu’il contrôle, ou sur un service qu’il choisit lui-même. Une redirection silencieuse par défaut vers un seul fournisseur n’est pas un choix.
2. Aucun contenu ne quitte l’ordinateur sans autorisation explicite. Les documents peuvent relever de données protégées (dossiers médicaux, pièces de procédure, marchés publics, données d’élèves).
3. Aucune télémétrie, y compris pour les fonctions d’IA.
4. Aucune dépendance à un fournisseur unique : les interfaces doivent être ouvertes et implémentables par plusieurs moteurs.
5. Le contenu généré doit être en ODF, avec structure, styles et sémantique préservés.
6. La fonction doit rester entièrement facultative : installable, désinstallable et absente de l’interface pour qui n’en veut pas, y compris pour les administrateurs qui déploient la suite sur des milliers de postes.

Sans trop de surprise, aucune intégration actuelle ne remplit toutes ces conditions. La fondation recommande aux personnes intéressées de se tourner vers les extensions, la plupart se connectant à un modèle local via Ollama ou LM Studio. Elle recommande également de sélectionner ces extensions avec soin, car elles n’ont pas toutes le même degré de maturité. Il faut notamment contrôler les éventuels points de terminaison cloud et ce que le fournisseur associé fait des données reçues.

Aucune incitation économique

La fondation en profite pour égratigner Microsoft, sans toutefois nommer la firme : « Pour une entreprise qui vend des abonnements, un assistant IA justifie une augmentation de prix et renforce l’argument en faveur de la conservation de tous les documents dans sa propre infrastructure. La fonctionnalité et le modèle économique se renforcent mutuellement, donc l’intégration est non seulement attrayante mais presque obligatoire ».

Un constat difficilement contestable, Microsoft ayant effectivement intégré de force Copilot dans ses abonnements Microsoft 365, augmentant les prix au passage. « La Document Foundation est une organisation à but non lucratif. Il n’y a pas de niveaux d’abonnement à protéger, pas de ventes supplémentaires, pas de données à monétiser », ajoute Italo Vignoli.

• Microsoft monte le prix de ses offres 365 Personnel et Famille au nom de l’IA

La fondation insiste : les critères énumérés ne constituent pas un rejet définitif. Elle note les évolutions spectaculaires du secteur de l’IA, en particulier les modèles ouverts qui « s’améliorent bien plus vite que la plupart d’entre nous ne l’avaient anticipé ». Elle affirme qu’elle évaluera « très attentivement » les approches répondant à toutes ces conditions.

L'IA, une fonction comme les autres

La Document Foundation a clarifié sa position sur l’IA. Si elle n’a rien contre les LLM par principe, elle n’inclura aucune fonction dopée à l’IA tant que l’utilisation des modèles ne pourra pas se faire dans un cadre strict.

Dans un billet, The Document Foundation explique que « oui », le fait de n’avoir aucune fonction IA dans LibreOffice est bien une fonctionnalité. C’est la réponse de la fondation à un commentaire narquois laissé sur un billet précédent, qui annonçait la disponibilité de LibreOffice 26.8.

Cette version présentait toute une série d’améliorations, notamment sur la typographie avec le Paragraphe Composer qui répartit les espaces sur l’ensemble du paragraphe, les systèmes d’écriture complexes et une meilleure prise en charge du format OOXML. Le billet contenait en outre un chapitre « No artificial intelligence », dans lequel la fondation revendiquait plusieurs points : aucune fonctionnalité d’IA générative, aucun document transmis à un service distant, aucun composant nécessitant l’accès au réseau. Une position délibérée, motivée par la confidentialité des données selon la fondation.

Dans le nouveau billet, signé Italo Vignoli, cette revendication est précisée. L’auteur indique que la fondation ne rejette pas l’IA par principe. Cependant, « une suite bureautique utilisée par des dizaines de millions de personnes – dans les écoles, les hôpitaux, les organismes publics, les cabinets d’avocats et des milliers d’autres organisations – n’ajoutera aucune fonctionnalité à sa configuration par défaut tant que cette fonctionnalité ne pourra pas être mise en œuvre dans les conditions définies par le projet conformément à ses principes ».

Six principes obligatoires

En clair, la fondation n’ajoutera pas de fonctions alimentées par l’IA tant qu’elles ne pourront pas obéir à l’ensemble de ces six principes :

1. L’utilisateur choisit où s’exécute l’inférence : sur son appareil, sur une infrastructure qu’il contrôle, ou sur un service qu’il choisit lui-même. Une redirection silencieuse par défaut vers un seul fournisseur n’est pas un choix.
2. Aucun contenu ne quitte l’ordinateur sans autorisation explicite. Les documents peuvent relever de données protégées (dossiers médicaux, pièces de procédure, marchés publics, données d’élèves).
3. Aucune télémétrie, y compris pour les fonctions d’IA.
4. Aucune dépendance à un fournisseur unique : les interfaces doivent être ouvertes et implémentables par plusieurs moteurs.
5. Le contenu généré doit être en ODF, avec structure, styles et sémantique préservés.
6. La fonction doit rester entièrement facultative : installable, désinstallable et absente de l’interface pour qui n’en veut pas, y compris pour les administrateurs qui déploient la suite sur des milliers de postes.

Sans trop de surprise, aucune intégration actuelle ne remplit toutes ces conditions. La fondation recommande aux personnes intéressées de se tourner vers les extensions, la plupart se connectant à un modèle local via Ollama ou LM Studio. Elle recommande également de sélectionner ces extensions avec soin, car elles n’ont pas toutes le même degré de maturité. Il faut notamment contrôler les éventuels points de terminaison cloud et ce que le fournisseur associé fait des données reçues.

Aucune incitation économique

La fondation en profite pour égratigner Microsoft, sans toutefois nommer la firme : « Pour une entreprise qui vend des abonnements, un assistant IA justifie une augmentation de prix et renforce l’argument en faveur de la conservation de tous les documents dans sa propre infrastructure. La fonctionnalité et le modèle économique se renforcent mutuellement, donc l’intégration est non seulement attrayante mais presque obligatoire ».

Un constat difficilement contestable, Microsoft ayant effectivement intégré de force Copilot dans ses abonnements Microsoft 365, augmentant les prix au passage. « La Document Foundation est une organisation à but non lucratif. Il n’y a pas de niveaux d’abonnement à protéger, pas de ventes supplémentaires, pas de données à monétiser », ajoute Italo Vignoli.

• Microsoft monte le prix de ses offres 365 Personnel et Famille au nom de l’IA

La fondation insiste : les critères énumérés ne constituent pas un rejet définitif. Elle note les évolutions spectaculaires du secteur de l’IA, en particulier les modèles ouverts qui « s’améliorent bien plus vite que la plupart d’entre nous ne l’avaient anticipé ». Elle affirme qu’elle évaluera « très attentivement » les approches répondant à toutes ces conditions.

L'IA d'Apple au pain sec et à l'eau

Au prix du Go actuel, les utilisateurs de PC au budget serré ont tout intérêt à surveiller de très près le SSD de leur machine et son embonpoint. En particulier chez Apple, qui s’obstine toujours à vendre des Mac chichement dotés en la matière. Le Mac mini d’entrée de gamme se contente ainsi de 256 Go, malgré un tarif rondelet de 1 049 euros. Tout est donc bon à prendre pour faire des économies de stockage, et les données qui ne servent à rien ont vocation à dégager.

Ceux qui n’ont aucun intérêt dans Apple Intelligence pourront gagner une dizaine de Go, voire plus. Ce qui était possible avec macOS 26 Tahoe ne l’est malheureusement plus avec macOS 27 Golden Gate : Apple a retiré le bouton permettant de désactiver ces fonctions, qui s’installent donc automatiquement et prennent de la place inutilement. Seul Siri AI peut être désactivé (le Mac est la seule plateforme où la version du nouvel assistant est disponible dans l’UE).

Le régime forcé d’Apple Intelligence

Un développeur a toutefois trouvé une solution : Om Lahore a mis au point un outil en ligne de commande, RemoveMacAI, disponible sur GitHub sous licence MIT. Une fois installé, il supprime les données occupées par Apple Intelligence : 9,4 Go dans le cas de votre serviteur, mais le gain peut être encore plus substantiel (plus de 30 Go chez The Verge, par exemple). Pour connaître le poids d’Apple Intelligence, cliquez sur le petit « i » en face de l’entrée macOS, dans les Réglages système > Général > Stockage. Quoi qu’il en soit, ce n’est pas négligeable.

Il est possible d’installer RemoveMacAI directement depuis le terminal, via une ligne de commande, en passant par Homebrew, ou en installant le binaire depuis GitHub. Attention toutefois à cette dernière méthode : lorsqu’un fichier non notarisé est téléchargé avec un navigateur, macOS le bloque tant que son attribut de quarantaine n’a pas été retiré. Il faudra le retirer avant de lancer le binaire, comme l’explique Om Lahore en fournissant les lignes de commande nécessaires (c’est bien plus simple de passer par le terminal).

Peu importe la méthode d’installation, il n’est pas nécessaire de désactiver SIP (System Integrity Protection), le mécanisme de protection qui empêche même un compte administrateur de modifier certains fichiers et processus sensibles de macOS. Aucun fichier système n’est modifié directement.

Un profil macOS plutôt qu’une bidouille système

RemoveMacAI installe un profil dans les réglages de macOS et désactive toute une série de fonctions liées à Apple Intelligence : Siri et « Dis Siri », l’extension ChatGPT, les outils d’aide à l’écriture, Genmoji et Image Playground, les résumés de courriels et les réponses intelligentes dans Mail, les résumés de notifications et d’articles dans Safari, la complétion de code dans Xcode, la fonction de nettoyage dans Photos et les photos spatiales. L’outil retire aussi les modèles locaux d’Apple Intelligence.

Après l’opération, macOS ne cherchera pas à télécharger à nouveau les données nécessaires à Apple Intelligence. Les utilisateurs qui ont besoin d’une fonction spécifique peuvent indiquer à RemoveMacAI, toujours en ligne de commande, de ne pas la retirer. Et bien sûr, il est possible de restaurer l’ensemble du paquet Apple Intelligence, ce qui supprime le profil. L’outil ne réalise aucun appel réseau, il ne collecte aucune donnée, assure le développeur.

Il faut évidemment utiliser l’utilitaire en connaissance de cause : RemoveMacAI n’a rien d’officiel, et une future mise à jour de macOS pourrait modifier le comportement de ces réglages ou des modèles concernés.

On peut comprendre Apple qui tient absolument à imposer sa solution IA dans les Mac. Mais l’absence d’un bouton de désactivation dans Golden Gate peut poser problème dans les organisations et les entreprises qui ne veulent pas ou ne peuvent pas utiliser de l’IA. Dans ce cas, elles n’ont guère le choix : rester sous Tahoe, administrer les restrictions via leurs propres outils de gestion… ou s’intéresser à cette solution non officielle.

L'IA d'Apple au pain sec et à l'eau

Au prix du Go actuel, les utilisateurs de PC au budget serré ont tout intérêt à surveiller de très près le SSD de leur machine et son embonpoint. En particulier chez Apple, qui s’obstine toujours à vendre des Mac chichement dotés en la matière. Le Mac mini d’entrée de gamme se contente ainsi de 256 Go, malgré un tarif rondelet de 1 049 euros. Tout est donc bon à prendre pour faire des économies de stockage, et les données qui ne servent à rien ont vocation à dégager.

Ceux qui n’ont aucun intérêt dans Apple Intelligence pourront gagner une dizaine de Go, voire plus. Ce qui était possible avec macOS 26 Tahoe ne l’est malheureusement plus avec macOS 27 Golden Gate : Apple a retiré le bouton permettant de désactiver ces fonctions, qui s’installent donc automatiquement et prennent de la place inutilement. Seul Siri AI peut être désactivé (le Mac est la seule plateforme où la version du nouvel assistant est disponible dans l’UE).

Le régime forcé d’Apple Intelligence

Un développeur a toutefois trouvé une solution : Om Lahore a mis au point un outil en ligne de commande, RemoveMacAI, disponible sur GitHub sous licence MIT. Une fois installé, il supprime les données occupées par Apple Intelligence : 9,4 Go dans le cas de votre serviteur, mais le gain peut être encore plus substantiel (plus de 30 Go chez The Verge, par exemple). Pour connaître le poids d’Apple Intelligence, cliquez sur le petit « i » en face de l’entrée macOS, dans les Réglages système > Général > Stockage. Quoi qu’il en soit, ce n’est pas négligeable.

Il est possible d’installer RemoveMacAI directement depuis le terminal, via une ligne de commande, en passant par Homebrew, ou en installant le binaire depuis GitHub. Attention toutefois à cette dernière méthode : lorsqu’un fichier non notarisé est téléchargé avec un navigateur, macOS le bloque tant que son attribut de quarantaine n’a pas été retiré. Il faudra le retirer avant de lancer le binaire, comme l’explique Om Lahore en fournissant les lignes de commande nécessaires (c’est bien plus simple de passer par le terminal).

Peu importe la méthode d’installation, il n’est pas nécessaire de désactiver SIP (System Integrity Protection), le mécanisme de protection qui empêche même un compte administrateur de modifier certains fichiers et processus sensibles de macOS. Aucun fichier système n’est modifié directement.

Un profil macOS plutôt qu’une bidouille système

RemoveMacAI installe un profil dans les réglages de macOS et désactive toute une série de fonctions liées à Apple Intelligence : Siri et « Dis Siri », l’extension ChatGPT, les outils d’aide à l’écriture, Genmoji et Image Playground, les résumés de courriels et les réponses intelligentes dans Mail, les résumés de notifications et d’articles dans Safari, la complétion de code dans Xcode, la fonction de nettoyage dans Photos et les photos spatiales. L’outil retire aussi les modèles locaux d’Apple Intelligence.

Après l’opération, macOS ne cherchera pas à télécharger à nouveau les données nécessaires à Apple Intelligence. Les utilisateurs qui ont besoin d’une fonction spécifique peuvent indiquer à RemoveMacAI, toujours en ligne de commande, de ne pas la retirer. Et bien sûr, il est possible de restaurer l’ensemble du paquet Apple Intelligence, ce qui supprime le profil. L’outil ne réalise aucun appel réseau, il ne collecte aucune donnée, assure le développeur.

Il faut évidemment utiliser l’utilitaire en connaissance de cause : RemoveMacAI n’a rien d’officiel, et une future mise à jour de macOS pourrait modifier le comportement de ces réglages ou des modèles concernés.

On peut comprendre Apple qui tient absolument à imposer sa solution IA dans les Mac. Mais l’absence d’un bouton de désactivation dans Golden Gate peut poser problème dans les organisations et les entreprises qui ne veulent pas ou ne peuvent pas utiliser de l’IA. Dans ce cas, elles n’ont guère le choix : rester sous Tahoe, administrer les restrictions via leurs propres outils de gestion… ou s’intéresser à cette solution non officielle.

Google a suspendu son programme de bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP). L’entreprise explique qu’elle reçoit trop de rapports erronés générés par IA.

Depuis le 1er octobre dernier, Google n’accepte « plus les signalements de vulnérabilités de produits soumis au programme OSS VRP [Open Source Software Vulnerability Rewards Program] », a-t-elle expliqué sur la page dédiée à ce programme.

L’entreprise avait ouvert ce programme spécifique aux logiciels libres en 2022. Elle expliquait à l’époque qu’ « en fonction de la gravité de la faille de sécurité et de l’importance du projet, les récompenses varieront entre 100 et 31 337 dollars ». L’idée était notamment de faire émerger les vulnérabilités de la supply chain, mais aussi les problèmes de design informatique causant des problèmes de sécurité, par exemple.

« Une forte augmentation des soumissions automatisées »

Mais le système mis en place par Google pour recueillir ces signalements (qui peuvent donc être lucratifs pour leurs auteurs) montre des signes de fragilité face à l’affluence des signalements de plus en plus automatisés via l’IA générative. Comme Apple cet été, Google ferme le robinet.

L’entreprise le dit dans un message posté sur X : « Cette interruption est due à une forte augmentation des soumissions automatisées, dont la grande majorité n’est pas valide. Nous allons poursuivre le remaniement et le travail sur cet aspect du programme OSS VRP et nous nous engageons à faire le point au premier trimestre 2027 ».

Tous les programmes de bug bounty de Google ne sont pas touchés : uniquement l’OSS VRP. L’entreprise redirige donc les personnes qui voudraient signaler une faille notamment vers son programme Patch Rewards.

Ces entreprises, qui par ailleurs font la course aux modèles d’IA générative, n’ont pas trouvé la solution pour éviter la submersion de contenus générés par IA de qualité médiocre qui les empêche de traiter convenablement les signalements réellement utiles.

« Impact psychologique considérable »

Mais ce problème touche d’autres organisations. Ainsi, en janvier dernier, le créateur du fameux logiciel libre cURL, Daniel Stenberg, avait annoncé : « Le programme de bug bounty de cURL n’existe plus. Il prendra officiellement fin le 31 janvier 2026 ». « La gestion de ces soumissions incessantes de contenus de mauvaise qualité a un impact psychologique considérable et prend parfois beaucoup de temps à démystifier. C’est du temps et de l’énergie complètement gaspillés, qui sapent en outre notre envie de vivre », expliquait-il.

Du côté de la communauté du noyau Linux, le sujet est vu différemment. Si Linus Torvalds avait pesté un moment contre les nombreux rapports d’erreurs générés par les LLM et peu efficaces, cet été il avait changé d’avis sur le sujet et refusait de rejeter en bloc les rapports d’erreurs générés de la sorte, se disant prêt à peser de tout son poids de mainteneur principal du noyau si nécessaire. Il faut préciser qu’on ne parle pas ici de signalements faisant appel à rétribution. Le système des bug bounty attribuant une récompense aux signalements, avec une somme plus importante en fonction de l’importance du bug pousse sans doute davantage certains à utiliser des systèmes automatisés de signalements de bugs, sans se préoccuper de leur qualité et de la possible submersion du système.

Google a suspendu son programme de bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP). L’entreprise explique qu’elle reçoit trop de rapports erronés générés par IA.

Depuis le 1er octobre dernier, Google n’accepte « plus les signalements de vulnérabilités de produits soumis au programme OSS VRP [Open Source Software Vulnerability Rewards Program] », a-t-elle expliqué sur la page dédiée à ce programme.

L’entreprise avait ouvert ce programme spécifique aux logiciels libres en 2022. Elle expliquait à l’époque qu’ « en fonction de la gravité de la faille de sécurité et de l’importance du projet, les récompenses varieront entre 100 et 31 337 dollars ». L’idée était notamment de faire émerger les vulnérabilités de la supply chain, mais aussi les problèmes de design informatique causant des problèmes de sécurité, par exemple.

« Une forte augmentation des soumissions automatisées »

Mais le système mis en place par Google pour recueillir ces signalements (qui peuvent donc être lucratifs pour leurs auteurs) montre des signes de fragilité face à l’affluence des signalements de plus en plus automatisés via l’IA générative. Comme Apple cet été, Google ferme le robinet.

L’entreprise le dit dans un message posté sur X : « Cette interruption est due à une forte augmentation des soumissions automatisées, dont la grande majorité n’est pas valide. Nous allons poursuivre le remaniement et le travail sur cet aspect du programme OSS VRP et nous nous engageons à faire le point au premier trimestre 2027 ».

Tous les programmes de bug bounty de Google ne sont pas touchés : uniquement l’OSS VRP. L’entreprise redirige donc les personnes qui voudraient signaler une faille notamment vers son programme Patch Rewards.

Ces entreprises, qui par ailleurs font la course aux modèles d’IA générative, n’ont pas trouvé la solution pour éviter la submersion de contenus générés par IA de qualité médiocre qui les empêche de traiter convenablement les signalements réellement utiles.

« Impact psychologique considérable »

Mais ce problème touche d’autres organisations. Ainsi, en janvier dernier, le créateur du fameux logiciel libre cURL, Daniel Stenberg, avait annoncé : « Le programme de bug bounty de cURL n’existe plus. Il prendra officiellement fin le 31 janvier 2026 ». « La gestion de ces soumissions incessantes de contenus de mauvaise qualité a un impact psychologique considérable et prend parfois beaucoup de temps à démystifier. C’est du temps et de l’énergie complètement gaspillés, qui sapent en outre notre envie de vivre », expliquait-il.

Du côté de la communauté du noyau Linux, le sujet est vu différemment. Si Linus Torvalds avait pesté un moment contre les nombreux rapports d’erreurs générés par les LLM et peu efficaces, cet été il avait changé d’avis sur le sujet et refusait de rejeter en bloc les rapports d’erreurs générés de la sorte, se disant prêt à peser de tout son poids de mainteneur principal du noyau si nécessaire. Il faut préciser qu’on ne parle pas ici de signalements faisant appel à rétribution. Le système des bug bounty attribuant une récompense aux signalements, avec une somme plus importante en fonction de l’importance du bug pousse sans doute davantage certains à utiliser des systèmes automatisés de signalements de bugs, sans se préoccuper de leur qualité et de la possible submersion du système.

Google ne manque jamais une occasion de faire la promotion de Chrome ou de sa propre application de recherche dans Safari, tout particulièrement sur iPhone. Apple voudrait en avoir le cœur net et mesurer précisément le volume et la fréquence de ces bannières et de ces panneaux souvent envahissants.

La bêta 2 d’iOS 27.2 contient en tout cas des outils de télémétrie pour relever l’usage que fait Google de ces promotions dans Safari, d’après le code découvert par le site 9to5Mac. Cela ne veut pas nécessairement dire qu’ils seront présents dans la version finale d’iOS 27.2, mais leur présence dans la bêta confirme l’expérimentation par Apple de cette fonction.

Safari injecte un script JavaScript dans certaines pages du site de Google : accueil et résultats de recherche. Il cherche les bannières et les éléments visuels qui incitent les utilisateurs à lancer Chrome ou l’app Google. Lorsqu’une de ces promotions est détectée, le navigateur peut enregistrer plusieurs informations : si elle a été affichée, si l’utilisateur a interagi avec elle, ou encore s’il semble connecté à un compte Google.

Apple est ainsi en mesure de déterminer si l’utilisateur a accepté ou ignoré les sollicitations de Google. Reste à savoir pour quoi faire. 9to5Mac avance l’idée que ces outils pourraient être indispensables dans un cadre réglementaire. Dans l’UE, le règlement sur les marchés numériques oblige Apple à proposer aux internautes le choix du navigateur et du moteur de recherche. Mais pourquoi dans ce cas se limiter à Chrome ?

• Navigateurs au temps du DMA : plus de choix, mais pas encore d’égalité avec Safari

Le constructeur informatique n’a en tout cas rien officialisé ni documenté la fonction.

Google ne manque jamais une occasion de faire la promotion de Chrome ou de sa propre application de recherche dans Safari, tout particulièrement sur iPhone. Apple voudrait en avoir le cœur net et mesurer précisément le volume et la fréquence de ces bannières et de ces panneaux souvent envahissants.

La bêta 2 d’iOS 27.2 contient en tout cas des outils de télémétrie pour relever l’usage que fait Google de ces promotions dans Safari, d’après le code découvert par le site 9to5Mac. Cela ne veut pas nécessairement dire qu’ils seront présents dans la version finale d’iOS 27.2, mais leur présence dans la bêta confirme l’expérimentation par Apple de cette fonction.

Safari injecte un script JavaScript dans certaines pages du site de Google : accueil et résultats de recherche. Il cherche les bannières et les éléments visuels qui incitent les utilisateurs à lancer Chrome ou l’app Google. Lorsqu’une de ces promotions est détectée, le navigateur peut enregistrer plusieurs informations : si elle a été affichée, si l’utilisateur a interagi avec elle, ou encore s’il semble connecté à un compte Google.

Apple est ainsi en mesure de déterminer si l’utilisateur a accepté ou ignoré les sollicitations de Google. Reste à savoir pour quoi faire. 9to5Mac avance l’idée que ces outils pourraient être indispensables dans un cadre réglementaire. Dans l’UE, le règlement sur les marchés numériques oblige Apple à proposer aux internautes le choix du navigateur et du moteur de recherche. Mais pourquoi dans ce cas se limiter à Chrome ?

• Navigateurs au temps du DMA : plus de choix, mais pas encore d’égalité avec Safari

Le constructeur informatique n’a en tout cas rien officialisé ni documenté la fonction.

Le 2 octobre, Apple a fait savoir par une courte note destinée aux développeurs que des changements allaient être introduits pour renforcer l’accès complet au disque dans macOS.

L’entreprise indique que de nombreux contrôles ont été mis en place avec le temps sur son système, mais que l’autorisation d’accès complet au disque permet largement de les contourner. Le fonctionnement était voulu pour « permettre aux applications de sauvegarde de fonctionner correctement sur Mac ».

Cependant, des « développeurs utilisent l’accès complet au disque de manières qui pourraient mettre les utilisateurs en danger, exposant tout ce qui se trouve sur leurs systèmes – y compris les fichiers, les courriels, les messages, et même l’historique de navigation – sans que les utilisateurs en aient pleinement connaissance et compréhension », indique Apple. L’entreprise ajoute que dans les applications de communication, la confidentialité des personnes en contact pourrait également être menacée.

L’entreprise ne compte pas supprimer l’accès disque complet, dont de nombreuses applications ont besoin, par exemple pour de la prise de contrôle à distance via Anydesk ou Teamviewer. En revanche, elle va introduire « des contrôles supplémentaires pour garantir que les utilisateurs qui souhaitent réellement accorder à une application ce niveau d’accès extraordinaire ne puissent le faire qu’avec une action très explicite ». Apple estime ce chantier « crucial », car « les agents IA deviennent de plus en plus capables et autonomes », l’entreprise semblant craindre que les risques associés augmentent « considérablement ».

La note est courte et ne contient aucun détail. Apple ne dit même pas quand ces changements vont être introduits. L’actuelle version 27.2 bêta de macOS ne contient pas ces modifications, mais on peut imaginer que le nouveau contrôle sera présent dans la mouture 27.3.

Le calendrier est également particulier. Comme le souligne TechCrunch, l’annonce survient quelques jours après que le journaliste Jason Aten a affirmé que Muse (Meta) avait lu ses conversations privées. Il assure qu’il n’a jamais donné à Muse l’accès au disque complet, mais que ce dernier lui a quand même suggéré un sujet sur la base d’éléments n’apparaissant que dans l’application Messages sur son Mac. Meta conteste cette version, affirmant que la lecture des conversations dans Messages exige non seulement l’accès complet au disque, mais aussi l’activation du connecteur spécifique Muse pour l’application d’Apple.

Le 2 octobre, Apple a fait savoir par une courte note destinée aux développeurs que des changements allaient être introduits pour renforcer l’accès complet au disque dans macOS.

L’entreprise indique que de nombreux contrôles ont été mis en place avec le temps sur son système, mais que l’autorisation d’accès complet au disque permet largement de les contourner. Le fonctionnement était voulu pour « permettre aux applications de sauvegarde de fonctionner correctement sur Mac ».

Cependant, des « développeurs utilisent l’accès complet au disque de manières qui pourraient mettre les utilisateurs en danger, exposant tout ce qui se trouve sur leurs systèmes – y compris les fichiers, les courriels, les messages, et même l’historique de navigation – sans que les utilisateurs en aient pleinement connaissance et compréhension », indique Apple. L’entreprise ajoute que dans les applications de communication, la confidentialité des personnes en contact pourrait également être menacée.

L’entreprise ne compte pas supprimer l’accès disque complet, dont de nombreuses applications ont besoin, par exemple pour de la prise de contrôle à distance via Anydesk ou Teamviewer. En revanche, elle va introduire « des contrôles supplémentaires pour garantir que les utilisateurs qui souhaitent réellement accorder à une application ce niveau d’accès extraordinaire ne puissent le faire qu’avec une action très explicite ». Apple estime ce chantier « crucial », car « les agents IA deviennent de plus en plus capables et autonomes », l’entreprise semblant craindre que les risques associés augmentent « considérablement ».

La note est courte et ne contient aucun détail. Apple ne dit même pas quand ces changements vont être introduits. L’actuelle version 27.2 bêta de macOS ne contient pas ces modifications, mais on peut imaginer que le nouveau contrôle sera présent dans la mouture 27.3.

Le calendrier est également particulier. Comme le souligne TechCrunch, l’annonce survient quelques jours après que le journaliste Jason Aten a affirmé que Muse (Meta) avait lu ses conversations privées. Il assure qu’il n’a jamais donné à Muse l’accès au disque complet, mais que ce dernier lui a quand même suggéré un sujet sur la base d’éléments n’apparaissant que dans l’application Messages sur son Mac. Meta conteste cette version, affirmant que la lecture des conversations dans Messages exige non seulement l’accès complet au disque, mais aussi l’activation du connecteur spécifique Muse pour l’application d’Apple.

Orion est un navigateur conçu d’abord pour macOS. Après une version 1.0 sortie en novembre 2025 et une 1.1 en juin, Orion s’est fait un petit nom dans le domaine des butineurs.

Orion est bâti autour de WebKit, le moteur utilisé par Safari, avec l’idée bien sûr d’une intégration poussée dans l’écosystème Apple. L’équipe de développement met largement l’accent sur la vie privée : aucune télémétrie par défaut, un blocage intégré des traqueurs et publicités, des fonctions avancées comme des conteneurs multi-comptes, ou encore la compatibilité avec les extensions Chrome et Firefox. Celle-ci n’est pas toujours parfaite, mais elle a le mérite d’exister.

Il était également prévu qu’Orion arrive sur Linux et Windows, mais les plans ont changé. Dans un billet daté du 2 octobre, son éditeur Kagi renonce en effet à ces versions. La raison principale est la petite taille de l’équipe face au défi immense de maintenir trois bases de code. Contrairement à Chromium, WebKit n’a pas l’avantage d’être « prêt à l’emploi » sur plusieurs plateformes.

En conséquence, la bêta actuelle pour Linux ne sera plus mise à jour, même si on peut encore l’utiliser. La version Windows, qui devait sortir avant la fin de l’année, est elle aussi abandonnée. Kagi promet que tout le code travaillé pour ces deux plateformes sera prochainement rendu open source, afin que la communauté le récupère si elle souhaite poursuivre le travail de son côté. Des détails seront publiés au cours des 30 prochains jours à ce sujet.

L’éditeur évoque en outre des craintes de certains utilisateurs, selon lesquelles la société pourrait se disperser en tentant l’aventure du multiplateforme. L’entreprise semble donc leur donner raison et annonce que les versions macOS et iOS seront désormais les seules : « L’équipe et les ressources réparties sur les plateformes se concentrent à rendre Orion plus rapide, plus stable [et avec plus de capacités] sur les appareils Apple. Attendez-vous à des améliorations régulières dans les mois à venir ».

Orion est un navigateur conçu d’abord pour macOS. Après une version 1.0 sortie en novembre 2025 et une 1.1 en juin, Orion s’est fait un petit nom dans le domaine des butineurs.

Orion est bâti autour de WebKit, le moteur utilisé par Safari, avec l’idée bien sûr d’une intégration poussée dans l’écosystème Apple. L’équipe de développement met largement l’accent sur la vie privée : aucune télémétrie par défaut, un blocage intégré des traqueurs et publicités, des fonctions avancées comme des conteneurs multi-comptes, ou encore la compatibilité avec les extensions Chrome et Firefox. Celle-ci n’est pas toujours parfaite, mais elle a le mérite d’exister.

Il était également prévu qu’Orion arrive sur Linux et Windows, mais les plans ont changé. Dans un billet daté du 2 octobre, son éditeur Kagi renonce en effet à ces versions. La raison principale est la petite taille de l’équipe face au défi immense de maintenir trois bases de code. Contrairement à Chromium, WebKit n’a pas l’avantage d’être « prêt à l’emploi » sur plusieurs plateformes.

En conséquence, la bêta actuelle pour Linux ne sera plus mise à jour, même si on peut encore l’utiliser. La version Windows, qui devait sortir avant la fin de l’année, est elle aussi abandonnée. Kagi promet que tout le code travaillé pour ces deux plateformes sera prochainement rendu open source, afin que la communauté le récupère si elle souhaite poursuivre le travail de son côté. Des détails seront publiés au cours des 30 prochains jours à ce sujet.

L’éditeur évoque en outre des craintes de certains utilisateurs, selon lesquelles la société pourrait se disperser en tentant l’aventure du multiplateforme. L’entreprise semble donc leur donner raison et annonce que les versions macOS et iOS seront désormais les seules : « L’équipe et les ressources réparties sur les plateformes se concentrent à rendre Orion plus rapide, plus stable [et avec plus de capacités] sur les appareils Apple. Attendez-vous à des améliorations régulières dans les mois à venir ».

En mars 2026, Google a annoncé de profondes modifications pour le « sideloading » des applications sur Android. Le sideloading désigne la possibilité d’installer des applications en passant par d’autres moyens que le Play Store ou même les boutiques tierces. C’est une marque de fabrique d’Android jusqu’ici et un facteur de différenciation face à l’iPhone et son « jardin fortifié ».

Les annonces de Google n’enterraient pas le sideloading. En revanche, les règles allaient être bouleversées, et plusieurs sont entrées en vigueur le 30 septembre dans quatre pays : Brésil, Indonésie, Singapour et Thailande.

Sur les appareils encore supportés et disposant d’Android 7 ou d’une version ultérieure, les applications distribuées via les boutiques participantes doivent avoir un développeur vérifié. Traduction : une personne enregistrée auprès de Google, avec ses coordonnées et une preuve d’identité, généralement le scan d’une pièce d’identité officielle. C’est ce programme, Android Developer Verification, qui est entré en vigueur il y a quelques jours.

Si cette vérification est limitée à quatre pays, Google a annoncé que la généralisation aura lieu en 2027 pour l’ensemble des marchés. Le mécanisme de vérification n’appose pas seulement un badge de vérification, il lie l’identité du développeur à ses applications et ses clés de signature. Pour Google, c’est une question de traçabilité et de sécurité.

Quand la transition sera terminée, le sideloading deviendra nettement plus complexe. Quand vous souhaiterez installer une application récupérée depuis un site, sans passer par une boutique, il faudra en effet activer le mode Développeur dans les options de l’appareil.

Ensuite, après un redémarrage, Google réclamera un délai de 24 heures. Comment l’entreprise justifie-t-elle ce délai ? Par la nécessité de lutter contre les arnaques reposant sur l’ingénierie sociale et la pression en temps réel. Précisons que le délai n’intervient qu’une fois pour toutes les installations, pas pour chacune. En outre, ADB (Android Debug Bridge) reste en place pour les développeurs.

Si cette mesure casse en effet certains scénarios malveillants, elle risque d’avoir un impact lourd pour les boutiques non agréées et le sideloading en général, car la motivation peut vite disparaître devant une telle procédure. La liste initiale des boutiques agréées comprend le Play Store, le Galaxy Store, l’App Market d’HONOR, l’App Market d’OPPO, GetApps de Xiaomi, le V-Appstore de Vivo et le Palm Store de Transsion. Notons que la vérification des développeurs n’est pas forcément un gage de sécurité.

Ce changement fait partie d’un mouvement plus large de restrictions autour d’Android. Google semble en effet serrer la vis sur de nombreux aspects, plusieurs étant pointés du doigt par GrapheneOS, qui critique largement les changements intervenus dans la gestion des correctifs pour AOSP (Android Open Source Program).

En mars 2026, Google a annoncé de profondes modifications pour le « sideloading » des applications sur Android. Le sideloading désigne la possibilité d’installer des applications en passant par d’autres moyens que le Play Store ou même les boutiques tierces. C’est une marque de fabrique d’Android jusqu’ici et un facteur de différenciation face à l’iPhone et son « jardin fortifié ».

Les annonces de Google n’enterraient pas le sideloading. En revanche, les règles allaient être bouleversées, et plusieurs sont entrées en vigueur le 30 septembre dans quatre pays : Brésil, Indonésie, Singapour et Thailande.

Sur les appareils encore supportés et disposant d’Android 7 ou d’une version ultérieure, les applications distribuées via les boutiques participantes doivent avoir un développeur vérifié. Traduction : une personne enregistrée auprès de Google, avec ses coordonnées et une preuve d’identité, généralement le scan d’une pièce d’identité officielle. C’est ce programme, Android Developer Verification, qui est entré en vigueur il y a quelques jours.

Si cette vérification est limitée à quatre pays, Google a annoncé que la généralisation aura lieu en 2027 pour l’ensemble des marchés. Le mécanisme de vérification n’appose pas seulement un badge de vérification, il lie l’identité du développeur à ses applications et ses clés de signature. Pour Google, c’est une question de traçabilité et de sécurité.

Quand la transition sera terminée, le sideloading deviendra nettement plus complexe. Quand vous souhaiterez installer une application récupérée depuis un site, sans passer par une boutique, il faudra en effet activer le mode Développeur dans les options de l’appareil.

Ensuite, après un redémarrage, Google réclamera un délai de 24 heures. Comment l’entreprise justifie-t-elle ce délai ? Par la nécessité de lutter contre les arnaques reposant sur l’ingénierie sociale et la pression en temps réel. Précisons que le délai n’intervient qu’une fois pour toutes les installations, pas pour chacune. En outre, ADB (Android Debug Bridge) reste en place pour les développeurs.

Si cette mesure casse en effet certains scénarios malveillants, elle risque d’avoir un impact lourd pour les boutiques non agréées et le sideloading en général, car la motivation peut vite disparaître devant une telle procédure. La liste initiale des boutiques agréées comprend le Play Store, le Galaxy Store, l’App Market d’HONOR, l’App Market d’OPPO, GetApps de Xiaomi, le V-Appstore de Vivo et le Palm Store de Transsion. Notons que la vérification des développeurs n’est pas forcément un gage de sécurité.

Ce changement fait partie d’un mouvement plus large de restrictions autour d’Android. Google semble en effet serrer la vis sur de nombreux aspects, plusieurs étant pointés du doigt par GrapheneOS, qui critique largement les changements intervenus dans la gestion des correctifs pour AOSP (Android Open Source Program).