L’essentiel
- Sur 367 organisations européennes interrogées, 94 % jugent la souveraineté numérique stratégique — mais 31 % n’ont toujours aucune gouvernance formelle de l’open source.
- 48 % entretiennent des forks privés ; le profil type du rapport estime environ 311 heures par cycle de release pour les maintenir, et 28 % des concernés ne savent pas mesurer cette charge.
- Sans gouvernance, seuls 15 % des répondants disent connaître entièrement les composants open source de leurs produits ; ce taux monte à 25 % chez les organisations au stade de gouvernance le plus avancé.
- Les PME cumulent le risque : 44 % sans gouvernance formelle contre 23 % chez les grandes structures, alors qu’elles tirent déjà une part importante de leur stack du logiciel libre.
La réunion où tout le monde dit « oui »
Le directeur général demande un point sur la souveraineté numérique. On parle d’hébergement en Europe, de moins de dépendance aux géants américains, de logiciels ouverts. Tout le monde acquiesce. Puis quelqu’un pose la question qui coince : savez-vous quels composants open source tournent dans votre site, votre ERP connecté ou l’application métier livrée l’an dernier ? Silence. Ce n’est pas une scène inventée : c’est l’écart que mesure la cinquième édition du rapport State of Open Source in Europe, publiée en octobre 2026 par la Linux Foundation à partir de 367 répondants européens.
Le constat est paradoxal. 94 % des organisations estiment la souveraineté numérique importante pour leur stratégie technologique, 61 % même « très importante ». Pourtant 31 % n’ont aucune gouvernance formelle de l’open source — pas de règle d’inventaire, pas de processus d’évaluation avant d’adopter une bibliothèque, pas de responsable identifié. On veut reprendre la main, sans tenir le registre qui permettrait de la tenir.
Consommer sans gouverner
L’Europe contribue au code : 59 % des organisations le font. Elle participe moins aux décisions : 37 % s’impliquent dans la gouvernance des projets, contre 47 % dans le reste du monde. En pratique, beaucoup s’appuient sur des projets hébergés par des fondations neutres (52 % privilégient ce modèle), mais seulement 27 % appliquent un processus formalisé pour évaluer la santé d’un projet avant adoption — 13 points de moins que la moyenne hors Europe. On aime les projets bien gouvernés, à condition que d’autres assument la gouvernance.
Autre habitude coûteuse : 48 % des organisations maintiennent des forks privés — des copies maison qu’il faut patcher à chaque release amont. Le rapport décrit un profil type qui y consacre environ 311 heures par cycle de publication, pour une dizaine de forks. 28 % des répondants concernés avouent ne pas savoir chiffrer cette charge. Le logiciel libre n’est pas « gratuit » : une partie du coût est invisible dans le budget, jusqu’au jour où une faille ou une obsolescence bloque une mise en production.
L’IA accélère l’adoption — pas la visibilité
L’édition 2026 intègre l’effet des assistants de code à base d’IA : 94 % des organisations les utilisent ou les testent ; 48 % disent utiliser davantage de composants open source grâce à eux ; 76 % estiment que ces outils augmentent la valeur qu’ils tirent de l’OSS déjà en place. C’est une bonne nouvelle pour la productivité — et un risque pour la traçabilité. Plus de suggestions de dépendances, plus de mises à jour proposées automatiquement, sans cadre pour vérifier licence, maintenance du projet et surface d’attaque.
Le rapport insiste aussi sur la couche agentique : protocoles et frameworks qui orchestrent les agents IA. L’Agentic AI Foundation, lancée en décembre 2025, regroupe des projets comme MCP ou AGENTS.md ; les membres fondateurs de premier rang sont américains, les acteurs européens (SAP, SUSE, Ericsson) étant surtout aux niveaux inférieurs. Même schéma que le cloud : beaucoup utiliser, peu peser sur les règles du jeu. Pour une PME qui prépare des agents sur son intranet ou chez un hébergeur souverain, la question n’est pas abstraite : qui fixe les standards que vos outils embarqueront demain ?
Ce que les chiffres impliquent pour une PME
Le rapport relie maturité de gouvernance et retour perçu : multiple bénéfices/coûts de 3,6 sans gouvernance formelle, 4,6 au stade le plus avancé, 4,1 en moyenne en Europe. Corrélation n’est pas causalité — mais la visibilité sur les dépendances suit la même pente : 15 % seulement des organisations sans gouvernance disent connaître entièrement les composants OSS de leurs produits, contre 25 % au stade avancé. Les PME sont plus fragiles : 44 % sans gouvernance formelle, contre 23 % chez les grandes structures.
- Inventaire trimestriel des dépendances des sites et applications critiques (direct + prestataire), avec date de dernière revue.
- Avant chaque grosse release : liste des bibliothèques ajoutées ou mises à jour, licence, projet toujours maintenu, correctifs de sécurité récents.
- Forks maison : les documenter ou les éliminer ; comparer le coût interne au coût d’une contribution amont ou d’un changement de composant.
- Sous-traitants : exiger une liste des composants OSS livrés avec le code — pas seulement au moment de l’appel d’offres, mais à chaque livraison.
Le Cyber Resilience Act pousse déjà les budgets : 63 % des répondants ont augmenté leurs investissements dans la gestion des dépendances en anticipation des obligations. Pour une PME, l’enjeu n’est pas de recopier un OSPO de grand groupe, mais d’éviter l’angle mort : un site Next.js, un module PHP, une librairie JavaScript dans le tunnel de commande — autant de portes ouvertes si personne ne sait ce qui est installé.
Sources
Cette note a été rédigée avec l’aide d’outils d’intelligence artificielle à partir des sources citées, puis relue et publiée sous la responsabilité de Jordan FOUASSIER, directeur de la publication. Nous résumons les faits et proposons notre lecture ; les textes et visuels des sources ne sont pas reproduits. Une erreur ? Écrivez à contact@aigyrosgroup.com.