Selon la Linux Foundation, 94 % des organisations européennes considèrent la souveraineté numérique comme une priorité, c’est-à-dire la capacité à maîtriser leur propre infrastructure et leurs données numériques. Pourtant, seulement 37 % d’entre elles participent activement à la gouvernance des projets open source dont elles dépendent. En réponse, Bruxelles prévoit d’investir 2 milliards d’euros sur sept ans – en combinant fonds publics et privés – pour réduire sa dépendance aux fournisseurs technologiques non européens. Un rapport de 2026, présenté le 7 octobre lors du Open Source Summit Europe, souligne que cet investissement pourrait ne pas suffire si les Européens ne s’impliquent pas davantage dans les processus décisionnels de ces projets open source. L’enquête, menée auprès de 367 organisations entre juin et août, a été réalisée via les réseaux de la Linux Foundation. En matière de contributions de code, les Européens représentent près de 40 % du développement dans des projets open source majeurs comme Kubernetes et OpenStack. Par ailleurs, 59 % des organisations renvoient leurs correctifs logiciels aux projets d’origine, un processus appelé contribution « upstream ». Cependant, en ce qui concerne la gouvernance – les comités qui déterminent la direction et les règles des projets –, seulement 37 % de ces organisations y sont représentées. La Agentic AI Foundation, lancée en décembre 2025 autour du Model Context Protocol (un standard pour connecter les agents d’IA aux outils), compte huit membres fondateurs de niveau platine, tous américains : AWS, Anthropic, Block, Bloomberg, Cloudflare, Google, Microsoft et OpenAI. Des entreprises européennes comme SUSE, SAP et Ericsson en sont membres, mais à des niveaux or et argent. La Linux Foundation elle-même héberge la Agentic AI Foundation. Selon Thierry Carrez, directeur général de la Linux Foundation Europe, l’utilisation de logiciels open source ne garantit pas aux organisations un contrôle total sur la technologie dont elles dépendent. Environ 48 % des organisations maintiennent un « fork », c’est-à-dire une copie privée d’un projet logiciel qu’elles doivent mettre à jour indépendamment. La maintenance de ces forks est chronophage : certaines organisations y consacrent en moyenne 311 heures par cycle de publication, pour 9,5 forks en moyenne. De plus, 28 % de ces organisations peinent à quantifier le temps passé sur ces tâches. Les organisations qui s’impliquent activement dans la gouvernance en tirent des bénéfices estimés 4,6 fois supérieurs à leurs coûts, contre 3,6 fois pour celles qui n’ont pas de gouvernance formelle. Toutefois, ces chiffres reposent sur des estimations portant sur 87 organisations, et le rapport précise qu’ils ne prouvent pas que la gouvernance soit la cause directe de cette différence. Les outils d’IA submergent de plus en plus les mainteneurs de projets open source, tandis que le respect des réglementations devient une priorité croissante. La sécurité et la protection des données sont les principales raisons invoquées par les organisations pour poursuivre la souveraineté numérique, 71 % d’entre elles citant ces préoccupations. Pourtant, les mainteneurs – chargés d’examiner et d’intégrer les correctifs et nouvelles fonctionnalités – peinent à suivre le volume de modifications générées par l’IA. Greg Kroah-Hartman, développeur du noyau Linux, note que le nombre de CVE (identifiants publics de vulnérabilités logicielles) publiés pour le noyau Linux est passé de 55 à 230 par semaine depuis l’introduction des outils d’IA. Si certains de ces problèmes sont réels, y compris des bugs anciens, des tests menés avec des étudiants de la Vrije Universiteit Amsterdam ont révélé que près de la moitié des modifications générées par l’IA étaient incorrectes. Résultat : les mainteneurs du noyau exigent désormais des contributeurs qu’ils prouvent que leurs modifications fonctionnent avant qu’elles ne soient acceptées. Le Cyber Resilience Act (CRA), qui impose des exigences en matière de sécurité aux produits numériques vendus dans l’UE, ajoute une pression supplémentaire. Depuis le 11 septembre, les fabricants doivent signaler les vulnérabilités activement exploitées et les incidents graves dans les 24 heures suivant leur découverte, avec un suivi requis sous 72 heures. Ces règles s’appliqueront à tous d’ici la fin 2027. Pourtant, 66 % des personnes interrogées dans une autre étude de la Linux Foundation ignoraient l’existence du CRA, et seulement 19 % des organisations affirment comprendre pleinement les composants open source dans leurs produits. Sous la pression réglementaire, 63 % des organisations ont augmenté leurs budgets pour suivre les dépendances – c’est-à-dire les composants logiciels tiers.