QEMU envisage d’autoriser certaines contributions générées par IA pour les tâches à faible risque

La doctrine actuelle : une ligne rouge

Pour mesurer la portée du changement proposé, il faut revenir sur la politique en vigueur. Mi-2025, QEMU a formalisé une règle stricte dans sa documentation sur la provenance du code. Le projet y indique qu'il « REFUSERA toute contribution dont on pense qu'elle inclut ou dérive d'un contenu généré par IA » . La raison est ancrée dans l'incertitude juridique, plus précisément l'incapacité pour un contributeur de certifier de manière crédible les exigences du Developer's Certificate of Origin (DCO, ou Certificat d'Origine du Développeur) pour du code dont la propriété intellectuelle est floue . En clair, la communauté QEMU a explicitement déclaré n'avoir « ni la volonté ni la capacité d'accepter les risques juridiques de non-conformité » avec le DCO .

La proposition : un système de paliers

La nouvelle proposition n'ouvre pas toutes grandes les portes au code généré par IA. Elle instaure plutôt un système à plusieurs niveaux, basé sur le risque et l'impact de la contribution.

• Usages autorisés : L'assistance par IA serait permise pour les tâches « où les ramifications d'une violation de droit d'auteur sont au moins faciles à inverser et peu susceptibles de se propager » . Cela inclut les petites corrections de bugs et les mises à jour de documentation, des domaines où l'impact d'un éventuel problème juridique est contenu et peut être facilement annulé . Les usages triviaux, comme l'autocomplétion d'un nom de variable par un IDE, sont considérés comme si peu risqués qu'ils pourraient même ne pas nécessiter de divulgation formelle .
• Usages restreints : Les contributions au code cœur de QEMU demeureraient très encadrées. Dans ces cas, l'usage de l'IA resterait totalement exclu « sans l'accord préalable d'un mainteneur » . Cette garantie assure que le code fondamental et à fort enjeu continue d'avoir une provenance claire et vérifiable par un humain.

Une nouvelle ère de transparence : la balise « AI-used-for: »

La pierre angulaire de la politique proposée est un nouveau mécanisme de divulgation obligatoire. Paolo Bonzini a suggéré d'ajouter une balise de commit « AI-used-for: » à tout correctif où l'IA a joué un rôle significatif . Cette balise a une double fonction : elle enregistre de manière transparente l'implication de l'outil pour les relecteurs et mainteneurs, et elle « sert également de vérification que l'auteur a bien lu la politique » avant de soumettre sa contribution . Cette approche se distingue d'une simple balise « Assisted-by » (Assisté par), car elle fait porter au contributeur la responsabilité de certifier activement que son usage de l'IA est conforme aux limites définies par le projet. Point crucial, l'utilisation de l'IA ne dispense le contributeur d'aucune autre exigence standard, y compris de la certification du DCO, qui reste primordiale .

Ce que cela signifie pour l'avenir de l'open source

La délibération de QEMU est l'une des plus scrutées du monde open source. Les questions juridiques autour du code généré par IA — qui en est propriétaire, sous quelle licence peut-il être contribué, et peut-il satisfaire au DCO — restent largement sans réponse devant les tribunaux . Dans ce vide juridique, chaque projet doit créer son propre cadre de gestion des risques.
L'approche que QEMU envisage représente une voie médiane potentielle que de nombreux autres projets majeurs pourraient imiter. Plutôt que de maintenir une interdiction absolue de plus en plus intenable, ou de se précipiter pour accepter tout code d'IA sans garde-fou, ce modèle s'appuie sur une évaluation des risques et un cadre fondé sur la transparence. D'autres projets importants, comme FreeBSD, sont aux prises avec des questions identiques, et des initiatives émergent déjà pour suivre le code open source « contaminé » par les LLM . En autorisant potentiellement une aide de l'IA à faible risque pour le code standard et la documentation, tout en gardant la logique centrale strictement vérifiée par des humains, QEMU teste un modèle qui pourrait concilier les gains de productivité de l'IA avec les besoins fondamentaux de sécurité et de conformité juridique des logiciels d'infrastructure critique .