Open source : les entreprises européennes ne contribueraient pas assez pour leur propre bien

Les entreprises européennes adoptent l’open source, mais limitent leurs engagements

Seulement 14 % des personnes sondées assurent que leur organisation participe de manière très active en « poussant » du code régulièrement auprès des responsables des projets open source dont elle dépend. Près d’un tiers (28 %) des entreprises contribueraient de manière occasionnelle pour signaler des bugs, livrer du code ou corriger la documentation. En outre, 20 % des sondés signalent que leur organisation maintient un engagement limité consistant à rapporter les problèmes et à participer aux échanges communautaires. Puis, il y a les « passifs » : 23 % des répondants reconnaissent que leur société utilise des outils open source, sans contribuer en retour. Et 7 % des sondés évoquent un engagement indirect : en remontant des éléments auprès des éditeurs. De fait, les entreprises considèrent le support commercial essentiel pour les workloads critiques (53 %), la gestion des données sensibles (40 %) et les infrastructures cloud (38 %).

Les freins à la contribution sont connus : les craintes légales en matière de gestion de licences (31 %), le ROI « incertain » (28 %) et la peur de faire fuiter la propriété intellectuelle (24 %). En ce qui concerne l’usage, le manque de support technique (40 %), la gestion des licences (35 %) et « le manque de compréhension de la valeur non technique » (34 %) sont les points limitants mis en avant par la Linux Foundation.  

Et d’ajouter qu’en Europe, l’approche de l’open source par les entreprises ne dépend pas – dans la grande majorité des cas – d’une feuille de route clairement définie. Environ 34 % des personnes interrogées affirment que leurs organisations européennes ont formellement mises en place des stratégies open source.

Des dirigeants moins convaincus de la valeur stratégique de l’open source

Seulement 22 % des répondants disent que ces mêmes entités ont mis en place un OSPO (Open Source Program Office), un bureau de référence de l’open source, contre 28 % dans le reste du monde.

Les barrières économiques, légales et techniques décrites plus haut seraient à croiser avec l’opinion des cadres concernant l’open source.

« Moins de cadres supérieurs (62 %) reconnaissent la valeur de l’open source pour l’avenir de leur organisation par rapport aux employés non-cadres (86 %) », expliquent les chercheurs de La Linux Foundation. « Cet écart de 24 % suggère que la valeur stratégique des logiciels libres pour des cadres supérieurs n’est peut-être pas encore suffisamment claire, et qu’il y a là une occasion de mieux articuler les arguments commerciaux en faveur des logiciels open source auprès des décideurs de haut niveau ».

Selon la LF, les entreprises européennes qui bénéficieraient des « avantages stratégiques » de l’open source exploitent et contribuent en retour au sein de communautés ouvertes. Et d’évoquer quelques bons élèves issus des secteurs des télécommunications, de l’automobile, de l’énergie et des services financiers, dont RTE, Volkswagen, Mercedes-Benz et le groupe NatWest.

Le Cyber Resilience Act en ligne de mire

Il y a une autre ombre au tableau, souligne l’organisation basée aux États-Unis : le Cyber Resilience Act. Le rapport est l’occasion pour elle de rappeler que le texte européen visant à renforcer la sécurité des équipements connectés commercialisés dans les marchés de l’UE concerne aussi les projets open source. Or, 62 % des 685 contributeurs que la Fondation a interrogé en mars 2025 ne connaissaient pas du tout ou très peu le CRA. D’où la nécessité pour la Fondation de participer à l’effort d’éducation et de formation des contributeurs.

En 2023, la Linux Foundation défendait l’idée que le CRA risquait de créer un open source à deux vitesses, plus favorables aux entreprises qui ont les moyens d’investir dans la cybersécurité de leurs produits. Le texte impose, en substance, la mise en place d’un SBOM (Software Bill of Materials).

Les experts qu’elle interroge dans son rapport publié en août 2025 voient là un changement positif, mais expliquent qu’il est encore difficile de produire des nomenclatures logicielles « pertinentes ». D’autant que les entreprises européennes interrogées font davantage confiance à l’application de la norme ISO 27001 (29 %) et à l’audit par des tiers (26 %) au moment d’adopter une solution open source qu’au SBOM (23 %) ou à la conformité aux normes du NIST (21 %).