Flathub Contre QEMU : La Communauté Open Source Incapable de S'entendre sur le Code Généré par IA

En l'espace d'une seule semaine de mai 2026, deux géants du logiciel libre ont tiré dans des directions opposées concernant le code généré par intelligence artificielle. Le fossé qui les sépare aujourd'hui traverse l'ensemble de la communauté open source.

Flathub, la plus grande plateforme de distribution d'applications pour Linux, a verrouillé sa politique sur l'IA en interdisant presque tout. QEMU, le projet essentiel de virtualisation, a entamé des démarches pour assouplir sa propre interdiction stricte. Aucune de ces décisions ne concernait l'efficacité des algorithmes. Elles renvoient toutes à la même question : qui paie le prix quand ça ne marche pas — et qui prend le risque légal quand plus personne ne sait à qui appartient le code ?

La loi de Flathub : l'épuisement avant tout

Le 29 mai 2026, Flathub a poussé une modification de sa documentation sobrement intitulée « Clarification de la politique LLM pour indiquer clairement que c'est interdit » . La nouvelle règle bannit désormais explicitement toute utilisation d'IA/LLM, que ce soit pour l'application soumise ou pour la soumission elle-même — cela inclut les manifestes, les métadonnées, les correctifs et les pull requests .

Ce n'est pas juste une question de droits d'auteur. Le mainteneur Bart Piotrowski a reconnu que les LLM sont inévitables, mais il a expliqué que le véritable déclencheur a été le déferlement de nouveaux venus insistants, poussant des applications générées par IA sans effort, créant des interactions hostiles et une charge de revue insoutenable . La décision visait avant tout à protéger des bénévoles non rémunérés d'une dynamique devenue toxique.

La politique inclut une étroite exception pour les « projets matures et bien maintenus », mais la documentation précise qu'il ne s'agit pas d'une garantie . Les soumissions peuvent être refusées à n'importe quelle étape, et même rappelées après leur fusion si elles s'avèrent non conformes . Les applications existantes contenant du code IA restent sur Flathub — l'interdiction n'est pas rétroactive — mais les nouvelles soumissions assistées par IA sont désormais effectivement bloquées.

Flathub n'a pas cherché à tracer des lignes subtiles entre une utilisation acceptable et une autre non. La plateforme a choisi l'interdiction pure et simple parce que le tri sélectif était devenu un coût insupportable en temps et en énergie. La priorité était de protéger la santé mentale des relecteurs plutôt que d'attendre après un système juridique à la traîne.

Le virage de QEMU : tester une voie médiane

QEMU avait adopté, mi-2025, l'une des politiques les plus dures du logiciel libre. Ses règles formelles stipulaient que toute contribution soupçonnée de provenir ou de dériver d'un contenu généré par IA — que ce soit ChatGPT, Claude, Copilot ou Llama — serait refusée . La raison invoquée était que le code IA ne peut pas satisfaire au Developer's Certificate of Origin (DCO, ou Certificat d'Origine Développeur), car il n'y a pas d'auteur humain pour fournir les attestations requises .

Mais dès la fin mai 2026, le projet changeait de cap. Paolo Bonzini, ingénieur chez Red Hat et mainteneur de KVM, a proposé d'autoriser les correctifs assistés par IA dans des zones limitées et à faible risque — en particulier là où les conséquences d'une violation de droit d'auteur sont faciles à corriger et peu susceptibles de se propager. Le code cœur resterait interdit, sauf accord explicite d'un mainteneur .

L'argument de Bonzini est pragmatique. Les projets acceptant les contributions assistées par IA n'ont pour l'instant pas eu de sérieux ennuis juridiques, et l'équipe légale de Red Hat elle-même a jugé le risque acceptable pour des catégories de changements bien définies . La proposition ajoute une exigence de divulgation obligatoire : les contributeurs doivent signaler explicitement les parties générées par IA plutôt que de les cacher .

QEMU parie qu'une voie médiane basée sur la transparence peut fonctionner, là où une interdiction totale crée des frictions sans apporter un bénéfice juridique proportionnel — surtout pour des contributions mécaniques comme les cas de test, la documentation ou les petits correctifs.

Le DCO, une ligne de fracture juridique

L'interdiction dure de Flathub et l'assouplissement prudent de QEMU gravitent autour de la même question juridique non résolue : que se passe-t-il quand du code généré par une IA rencontre le Certificat d'Origine Développeur ?

Le DCO exige que les contributeurs certifient qu'ils ont créé la contribution ou qu'ils ont le droit de la soumettre sous la licence du projet. Mais en l'état actuel du droit, le code généré par IA n'a pas d'auteur humain identifiable. Le Bureau américain du droit d'auteur a statué en janvier 2025 que les productions de l'IA ne peuvent être protégées par le droit d'auteur que si un humain y a apporté des « éléments expressifs suffisants » — et la simple rédaction d'une requête, même sophistiquée, ne suffit pas . Dans l'affaire Thaler v. Perlmutter, la Cour d'appel du district de Columbia a confirmé en mars 2025 que la loi sur le droit d'auteur exige une paternité humaine en premier lieu, et en mars 2026, la Cour suprême a refusé d'entendre d'autres recours .

Cela crée une impasse. Un développeur qui soumet du code généré par IA pourrait tout simplement être incapable de signer le DCO en toute honnêteté. La réponse du noyau Linux — formalisée en avril 2026 avec sa toute première politique sur les assistants de codage IA — a été d'exiger que seuls les humains ajoutent la balise Signed-off-by et qu'ils assument l'entière responsabilité légale de toutes les lignes générées par IA . Mais à l'inverse, l'interdiction originelle de QEMU estimait qu'affirmer la conformité au DCO avec du code IA n'était « pas considéré comme crédible » en raison de l'ambiguïté des licences .

Aucun tribunal n'a tranché définitivement si le code généré par IA peut être protégé par le droit d'auteur, à qui appartiennent ces droits le cas échéant, ni quelles obligations de licence s'appliquent. Chaque projet fait son propre calcul de risque, car le système juridique ne lui a pas encore fourni de réponse claire.

Le coût humain, au-delà du juridique

Le débat légal est important, mais c'est bien l'épuisement qui a fait basculer Flathub. Partout, les mainteneurs rapportent le même phénomène : des soumissions générées par IA souvent volumineuses mais creuses — de gros diffs sans réelle compréhension du code — produisant un fardeau de vérification disproportionné par rapport à leur valeur réelle .

Les extensions GNOME Shell ont connu un raz-de-marée similaire. Fin 2025, des relecteurs disaient recevoir certains jours plus de 15 000 lignes de code d'extension généré par IA, ainsi que des réponses à leurs questions de revue elles aussi fabriquées par IA . Le mainteneur de Flathub, Piotrowski, a résumé la goutte d'eau qui a fait déborder le vase en déclarant que la politique était devenue nécessaire parce que certains soumissionnaires « ne savent tout simplement pas communiquer correctement » .

Le coût humain est inséparable du coût juridique. La question du DCO est cruciale car les mainteneurs encourent une responsabilité bien réelle pour le code qu'ils acceptent. La question de l'épuisement est vitale car ce sont des bénévoles, avec des réserves de temps et de bonne volonté limitées. Les soumissions d'IA mettent ces deux ressources sous pression en même temps.

Trois camps, aucun consensus

Une analyse de RedMonk publiée en février 2026, portant sur 32 organisations open source, n'a trouvé aucun consensus naissant . Les projets se répartissent en trois grands camps :

• Interdiction pure et simple : Flathub, Gentoo (vote unanime du conseil en 2024), NetBSD (qui qualifie le code IA de « présumé contaminé ») et le système de revue EGO de GNOME proscrivent toutes les contributions d'IA .
• Acceptation sous condition de transparence : La proposition de QEMU rejoindrait Apache, Fedora, la Linux Foundation et l'EFF, qui autorisent l'IA avec un étiquetage obligatoire et à la discrétion des mainteneurs .
• Approche permissive avec responsabilité humaine : Le noyau Linux et Red Hat autorisent l'IA si le développeur humain assume l'entière responsabilité, signe le DCO et indique l'outil utilisé — mais la signature Signed-off-by reste réservée exclusivement aux humains .

Ces camps ne sont pas simplement en désaccord sur une politique. Ils divergent sur la nature même du code IA : est-ce un outil à gérer ou une menace à exclure ? Et qui doit supporter le coût de cette gestion — les mainteneurs, ou un système juridique qui n'est pas encore prêt ?

La suite

Flathub et QEMU ne sont pas des anomalies. Ce sont des points sur un spectre qui va continuer de s'élargir à mesure que les assistants de codage IA s'améliorent et que le volume de code généré augmente. Certains observateurs notent déjà que détecter le code IA deviendra fonctionnellement impossible d'ici un an ou deux, rendant les interdictions inapplicables quoi qu'en pensent leurs auteurs .

L'EFF a d'ailleurs conclu qu'une interdiction générale n'est pas applicable dans la pratique, au vu de l'omniprésence des LLM . Mais cette impossibilité pratique ne résout pas le problème d'épuisement qui a motivé la décision de Flathub.

En attendant qu'une décision de justice ou une loi établisse des règles claires sur la paternité et la responsabilité du code généré par IA, chaque projet open source choisit son propre pari. Flathub a choisi de protéger ses relecteurs maintenant, au prix de la fermeture de la porte aux outils d'IA. QEMU choisit d'entrouvrir la porte, avec une exigence de transparence et le pari que le risque juridique est gérable pour les contributions à faible enjeu. Les deux démarches sont rationnelles au vu des informations disponibles. Elles reflètent juste des réponses différentes à la même question vertigineuse : dans une communauté bâtie sur la paternité humaine et le travail bénévole, que faites-vous quand le code arrive sans l'une ni l'autre ?