Open Source Experience 2024

Sur scène (transcript) :

• Beylat rappelle que Systematic organise ce rassemblement depuis près de 15 ans, sous plusieurs noms, et voit dans l'IA le nouvel accélérateur de l'open source. La salle plénière est baptisée salle Laurent Séguin, en hommage à cette figure du libre disparue en 2020.
• Baudracco présente l'open source « comme un moyen et non comme une fin », l'arrivée de la conférence DevOps REX sur le salon et les cinq thématiques du programme (IA, cybersécurité, cloud, solutions d'entreprise, business et enjeux). Il insiste sur les retours d'expérience et sur les solutions d'éditeurs qui parlent métier, pas code source.
• Bothorel revient sur son rapport de 2020 sur la politique de la donnée (34 recommandations, celles d'ordre législatif adoptées selon lui) et sur sa proposition, non retenue, de pouvoir réquisitionner des données en cas de crise. Il raconte avoir dû renoncer aux outils de visio libres pendant ses 250 auditions faute de fiabilité.
• Il appelle la communauté à peser sur le sommet de l'IA de février 2025 pour faire émerger une IA open source, et reprend une formule de Guillaume Poupard face aux demandes de protection : « vous pouvez être plus cher mais vous pouvez pas être moins bon ».
• Contexte : la plénière se tient le jour du vote de la motion de censure du gouvernement Barnier ; la ministre du numérique, Clara Chappaz, est excusée.

Sur scène (transcript) :

• Blondelle présente la définition de l'IA open source de l'OSI (v1.0 du 28 octobre) : les quatre libertés appliquées aux poids, au code d'entraînement et au code de constitution des données ; pour les données non publiables, une « data information » suffisante pour reconstituer le jeu. « Lama si vous lisez la licence c'est évident que c'est pas quelque chose qui est Open Source ».
• Devillers juge que les données complètes « on l'aura jamais » et réclame des mesures dynamiques : part de données synthétiques, part d'anglais (95 % dans Llama 3 selon elle), audits continus. Elle dénonce une guerre des normes dominée par les acteurs américains.
• Lechelle se dit ambivalent : la réponse de l'OSI à Meta était nécessaire, mais le compromis sur les données risque de privatiser l'information. Il estime la souveraineté numérique française à 1 % (part d'achats endogènes) et défend l'open source comme arme du challenger.
• Il cite scikit-learn : 1,5 milliard de téléchargements, 80 millions par mois, 3 % seulement en France ; « les Français sont tout à fait capables […] par contre nullissimes en marketing ».
• Boussard voit dans l'activité de la communauté un critère de choix d'une librairie et souligne le coût de la contribution : un simple benchmark de modèle leur a coûté 25 000 €.
• Le Monde Informatique retient le même débat sur les jeux de données et cite Blondelle : « nous ne sommes pas là pour légiférer ».

Sur scène (transcript) :

• La stratégie numérique de l'État tient en quatre priorités : méthodes produit et agiles, compétences, circulation des données, souveraineté. Celle-ci recouvre l'immunité au droit extraterritorial (SecNumCloud) et l'indépendance technologique ; elle cite VMware et Broadcom comme exemple de dépendance.
• Entre « make or buy », la DINUM ajoute une troisième voie : le commun numérique. Exemple : Tchap, construit sur Matrix avec très peu de code propre, environ 270 000 utilisateurs récurrents.
• ProConnect sert de brique d'interopérabilité de La Suite numérique ; une vingtaine d'éditeurs se sont manifestés depuis l'appel de septembre.
• Partenariat signé avec l'Allemagne en février 2024, groupe de travail avec le Cigref, soutien à l'avis du CNLL sur NGI. Elle cite Grist comme petit commun prometteur : « on nous vient plus à l'idée […] de forker un commun ».
• Questions du public : les objections internes portent surtout sur l'ergonomie et la sécurité ; l'open source doit être « un petit peu mieux » pour convaincre. Le poste de travail sous Linux est un chantier « beaucoup moins avancé ».

Sur scène (transcript) :

• Bleton reconnaît un premier échec : faire participer les développeurs aux communautés a été « un flop total ». Elle est revenue au sujet par la RSE ; France Travail participe via TOSIT à TOSIAM, solution d'authentification coproduite avec EDF, Carrefour et Enedis après le changement de modèle de ForgeRock.
• David : l'open source est « le mode par défaut » à l'IGN (géocommuns). Règle empirique : 100 utilisateurs, 10 issues, 1 pull request, d'où un effort de communauté réservé à quelques projets comme Panoramax (40 millions de photos).
• Lair relativise la contribution (« il faut choisir ses combats ») et rappelle qu'Onyxia vient de recevoir le prix spécial du jury des Acteurs du Libre.
• Budget : environ 94 % de l'infrastructure de l'Insee n'est pas open source en valeur, surtout VMware ; « comme Oracle nous a aidé à sortir d'Oracle, VMware nous aide à sortir de VMware ». Chez France Travail, la facture VMware a été multipliée par trois.
• Point commun : « du code diffusé ce n'est pas de l'Open Source », il faut une gouvernance.

D'après le programme et le communiqué de l'organisateur :

• Cérémonie organisée par le CNLL le 4 décembre à 13 h 10, salle Laurent Séguin.
• Lauréats : RTE (meilleure stratégie open source, pour son rôle dans LF Energy), QuantStack (développement commercial), IGN et Camptocamp (collaboration public-privé, GeoNetwork-UI), Commown (numérique ouvert et éthique), Insee (prix spécial du jury, plateforme Onyxia).
• Le même après-midi, l'Adullact a remis ses labels Territoire Numérique Libre (9e édition, 17 h).

Sur scène (transcript) :

• Aatz (30 ans chez Microsoft) distingue la concurrence saine entre contributeurs et la « compétition à mort » des Big Tech sur le produit intégré, après avoir collaboré sur le commun (Kubernetes). Provocateur, il estime que l'open source « a un peu raté ce virage valeur » auprès des dirigeants, supplanté par l'IA et le cloud.
• Baudracco : « le code c'est pas un produit ». Le vrai concurrent de BlueMind est Microsoft, et « si on n'est pas très très moins cher que Microsoft ils prennent Microsoft ».
• Marie décrit au contraire un écosystème de complémentarité dans un marché en croissance, où la souveraineté est l'argument de vente.
• Sur VMware, Baudracco oppose les Américains, qui auraient migré en deux ou trois mois, et la France où « 2 ans après pas grand monde a bougé » ; Marie cite des POC de remplacement financés par Orange.
• Exemples opposés : La Courneuve revenue de Microsoft 365 à BlueMind pour des raisons budgétaires, une autre ville partie vers Microsoft avec un budget multiplié par trois ou quatre.
• BlueMind résume la table ronde comme un débat sur les avantages de la collaboration en contexte concurrentiel.

D'après la page de Jeci :

• Problème : déployer de façon homogène sur des infrastructures clientes déconnectées.
• Solution : une image Docker qui embarque playbooks, inventaire et rôles Ansible et se déploie elle-même sur les serveurs du client.
• Les applications sont packagées en images Docker que le client synchronise depuis un registre privé vers son registre interne, pour des déploiements autonomes (speaker).

Sur scène (transcript ; le fireside chat annoncé dans le titre de la vidéo n'y figure pas) :

• Il n'existe pas une IA mais des outils spécialisés ; l'IA générale « n'existera jamais » tant qu'on fera des mathématiques. L'IA générative est « une évolution » scientifique mais une révolution d'usage, grâce au prompt.
• Hallucinations : il cite l'avocat américain piégé par de fausses jurisprudences et une étude donnant 64 % de réponses justes ; avec du RAG ou du fine-tuning sur ses propres données, on monterait à 98-99 %. « j'ai un assistant qui me dit des conneries 36 % du temps c'est plus mon assistant ».
• Propriété intellectuelle (procès Getty contre Stability), jailbreaking, et coût écologique de l'inférence : il plaide pour des modèles plus petits et frugaux.
• Il voit l'open source comme un levier de contrôle, « pas l'open source à la Meta », et qualifie l'AI Act d'« aberration ».

Sur scène (transcript, en anglais) :

• L'OSI a lancé le chantier en 2022 et l'a accéléré pour deux raisons : l'exemption open source de l'AI Act, qui ne définit pas le terme, et le lobbying de Meta. Llama viole la clause 6 de l'Open Source Definition (plafond d'utilisateurs, interdiction d'entraîner une autre IA).
• Le cœur du problème est la donnée : des droits différents selon les pays, à la différence du code, et des volumes énormes (825 Go pour The Pile contre 43 Go pour tout Wikipédia).
• Co-conception mondiale : ateliers sur cinq continents, participants de 35 pays. La v1.0 exige code et poids sans restriction d'usage ; les données sont partagées si c'est légal, sinon assez d'information pour recréer le modèle.
• Modèles conformes : Allen Institute, EleutherAI, LLM360 ; pas les grands modèles commerciaux. Amazon a retiré son sponsoring et IBM n'aime pas la définition.
• Il se décrit comme le sceptique de l'équipe : « an AI must be assumed to never tell you the truth » et « I don't believe in gradients of open ».

Sur scène (transcript, en anglais) :

• Une nouvelle Commission démarre, avec Henna Virkkunen chargée de la souveraineté technologique : le bon moment pour proposer des idées. Il reprend le diagnostic du rapport Draghi : 80 % des produits TIC de l'UE sont importés.
• Leçon tirée de l'Ukraine : prototyper vite puis passer à l'échelle. Il défend un modèle européen décentralisé (PME, standards ouverts, open source, data spaces) et une offre EuroStack à faire connaître (portefeuille d'identité numérique, sept AI factories).
• Questions du public : interpellé par OW2 sur les coupes du programme NGI, il parle d'un recentrage et non d'une coupe. Il reconnaît que la Commission utilise surtout Microsoft et se dit contre l'open source obligatoire, mais pour un minimum de 20 % d'alternatives.
• « we cannot build these communities on the base of subsidies ».

Sur scène (transcript, en anglais ; table ronde de clôture du track européen) :

• Väliharju : en Finlande, les acheteurs publics n'osent pas exiger de l'open source par peur des recours, alors que la justice a validé un appel d'offres exigeant Moodle. Une entreprise open source européenne de 5 M€ est déjà « grosse » : il souhaite des fusions.
• Horstmann : l'Allemagne a inscrit la priorité à l'open source dans ses achats et créé ZenDiS et la Sovereign Tech Agency, mais l'exécution reste insuffisante ; elle demande une régulation « open source first ».
• Kreil se méfie du mot souveraineté et demande de financer la maintenance : « we can't just produce graveyards of Open Source projects as funders ».
• Kleiner veut passer de la stratégie à l'action et cite une initiative « digital commons » portée par 20 États membres. À un participant qui propose d'acheter 100 % open source, il répond par un palier de 20 %, « almost a magic number ».
• Projets qui donnent de l'espoir : Nextcloud, la coopération entre openDesk et La Suite.

Sur scène (transcript) :

• Le programme NGI a financé plus de 1 200 projets, environ 80 k€ chacun, et 83 % des bénéficiaires n'avaient jamais reçu de subvention. Il a disparu du programme Horizon 2025 ; une lettre ouverte circule pour le défendre.
• Témoignages : NGI représente environ 10 % du budget d'Open Food Facts ; Mastodon vit à 95-98 % de dons avec une équipe de 10 personnes ; sans NLnet, CryptPad « existerait pas » (Dubost).
• Critique partagée : NGI finance des fonctionnalités, pas la maintenance, l'infrastructure ni l'animation. Mastodon reçoit des audits de sécurité payés par l'argent public sans budget pour les corrections.
• Comparaison : un dossier NGI se rédige en quelques heures avec une réponse en trois mois, quand un projet collaboratif français démarre au bout de 16 mois (Dubost). L'Allemagne finance openDesk, le Sovereign Tech Fund et le Prototype Fund ; en France, BPI et France 2030 ne priorisent pas l'open source.
• « c'est bien beau de dire partout souveraineté numérique mais derrière si on met pas les moyens […] il se passera rien ».

Sur scène (transcript, en anglais) :

• Modèles contrastés : Nextcloud (environ 120 personnes) autofinancée et rentable, Element financée par capital-risque et vendant surtout aux gouvernements, Grist (11 personnes) qui commence à vendre aux grands comptes. Pour Element, la licence très permissive du départ « has cost us a lot ».
• Karlitschek vise 100 % d'abonnement : le conseil et le financement de roadmap ne passent pas à l'échelle. Une fonctionnalité financée par un client a retardé un abonnement de plus d'un an ; désormais l'abonnement est signé d'abord, la fonctionnalité promise sous trois mois.
• Ce que paie le client : support par les développeurs du cœur, accessibilité certifiée, support long terme, alertes de sécurité anticipées, indemnisation.
• Ventes difficiles : cycles de plus d'un an dans le public ; Element a perdu un appel d'offres face à une start-up de cinq personnes revendant son propre code.
• Sur les dons : « this whole donation thing is maybe fine to find a hobby project » (Karlitschek).

Sur scène (transcript, en anglais) :

• Le code source est un composant, pas un produit : « If you want a chair and someone gives you a piece of wood, you are going to be disappointed. »
• Un produit, c'est une expérience complète : onboarding accompagné, SLA de support et de correctifs de sécurité, preuves de conformité, mises à jour sans accroc ; ce n'est pas du service.
• Exemples : Medplum (dossiers de santé, code 100 % ouvert, l'open source servant la transparence et les POC) et System Initiative.
• La communauté d'utilisateurs et celle des clients peuvent être « deux cercles qui ne se touchent pas » ; elle invite l'écosystème à sortir d'une logique de charité.

Sur scène (transcript, en anglais) :

• Le Cyber Resilience Act impose des exigences de cybersécurité sur tout le cycle de vie des produits numériques vendus dans l'UE. Trois rôles : fabricants, open source stewards (régime allégé, nouvelle catégorie) et mainteneurs, hors périmètre s'ils ne monétisent pas.
• Les fabricants doivent faire une diligence raisonnable sur leurs dépendances et remonter leurs correctifs vers l'amont : « it's kind of a GPL for security vulnerability ».
• Les normes harmonisées arriveront très peu de temps avant les premières obligations de signalement (2026) : il faut s'y mettre dès maintenant. « you're now responsible for your whole supply chain ».
• Il présente le groupe Open Regulatory Compliance de l'Eclipse Foundation, forum neutre entre communautés et industriels.

Sur scène (transcript, en français) :

• L'ANSSI produit de l'open source, finance des évaluations de sécurité de briques utilisées par les opérateurs d'importance vitale (gestionnaires de mots de passe, sondes, SSO) et veut diffuser la cybersécurité dans l'écosystème. Elle n'impose rien aux projets.
• Outil principal : la CSPN, évaluation bornée à 25-35 jours par un laboratoire agréé.
• Cas sudo : une vulnérabilité notée 7,8 trouvée pendant l'évaluation, corrigée avec le mainteneur et publiée via le CERT-FR. Pas de visa, mais un résultat jugé positif.
• « ce sera un très mauvais signal […] si n'importe qui arrivait en certification et qu'avait 90 % de succès ». Les évaluations sont suspendues dans l'attente du budget 2025.

Sur scène (transcript, en français) :

• Vates (XCP-ng, Xen Orchestra), environ 70 personnes à Grenoble, propose une stack « entièrement open source, pas de l'open core ». Depuis 2023, 100 % des nouveaux clients viennent de VMware ; les deux tiers du chiffre d'affaires se font aux États-Unis, 5 % en France.
• Les Américains sont vite passés à l'acceptation, l'Europe en est encore à la colère et au marchandage. Pour lui, Broadcom mène « une opération financière ».
• Les clients choisissent d'abord la stabilité, puis la proximité avec VMware, puis le prix ; l'open source n'est qu'un « bonus ».
• Migration : de 1 à 6 mois pour un petit compte, 1 à 3 ans pour un grand. Il voit Microsoft comme futur concurrent numéro un.
• « la souveraineté en Europe on en parle beaucoup mais on en fait très peu ».

Sur scène (transcript ; l'orateur n'est nommé que dans le descriptif de la vidéo) :

• La communauté OpenLLM est passée de 200 à 850 membres en un an. Pour elle, une IA réellement open source suppose une licence sans restriction d'usage, le code d'entraînement et les données.
• Corpus de 3 000 milliards de tokens, dont 40 % de français (moins de 1 % dans Llama selon lui). Entraînement sur Jean Zay : 512 GPU H100, environ 600 000 heures GPU, pour un modèle de 7 milliards de paramètres.
• Démo en local ; sur la résolution d'équations, « c'est le seul modèle qui se plante ». Les versions de base et instruct sont annoncées sous une dizaine de jours, avec un hackathon d'instruction prévu en janvier.
• « la qualité des données est plus importante que la quantité » ; « il faut pas attendre en fait que les politiques se positionnent ».

Sur scène (transcript, en français) :

• Benjamin Jean : l'OSI s'est autosaisie de la définition en réaction à l'AI Act, au prix d'une année de crise ; le compromis est critiqué par tous mais « si on fait rien on se fait bouffer ».
• Adrien Basdevant dénonce à la fois l'open washing (licences interdisant de réutiliser les sorties) et un purisme contre-productif ; il défend une ouverture graduée (Model Openness Framework de la Linux Foundation). Il rappelle qu'au sommet de Bletchley Park le discours dominant associait open source et armes biologiques.
• Charlotte Heylliard présente une licence modulable, « Copyfair », avec restrictions d'usage et tarification selon le chiffre d'affaires ; Benjamin Jean y voit un label commercial sans lien avec les libertés.
• La modératrice doute que le concept s'applique : sans puissance de calcul, avoir les données ne permet pas de réentraîner ; Basdevant prédit une concentration autour de « cinq acteurs » d'ici dix ans.

D'après le programme et le compte-rendu de Linphone :

• Atelier du Hub Open Source de Systematic : des éditeurs racontent comment ils ont démarré, quel modèle ils ont adopté et ce qui n'a pas marché (présentation de Pierre Baudracco en plénière).
• Sujets abordés selon Linphone : modèles économiques, stratégies commerciales, partenariats et choix de licence.
• Linphone y voit « une excellente opportunité de partager des connaissances » avec les autres éditeurs (speaker).

D'après le compte-rendu de BlueMind et la table ronde sur les dynamiques concurrentielles :

• Retour d'expérience de la DSI de La Courneuve sur sa migration d'Office 365 vers BlueMind.
• Selon Pierre Baudracco (table ronde de la veille), la ville était passée à Microsoft 365 et Teams pendant le Covid avant de revenir à BlueMind pour des raisons budgétaires.
• BlueMind présente ce cas comme une illustration des bénéfices d'une solution souveraine (speaker).

D'après le compte-rendu de Linphone :

• Modernisation des systèmes de téléphonie et passage au softphone, avec chiffrement SRTP/ZRTP.
• Cas client présenté : le Conseil départemental de l'Isère.
• Argument mis en avant : « Notre solution s'intègre facilement aux infrastructures existantes » (PBX, téléphones matériels), pour une adoption progressive (speaker).