Le code généré par IA a rendu vos garanties de droit d'auteur impossibles à signer, et vos contrats ne s'en sont pas aperçus
Le Developer Certificate of Origin, l'accord de contribution d'Apache et toute garantie de propriété intellectuelle bâtie au-dessus présument que la paternité d'un code est connaissable et prouvable. Le code généré par IA a invalidé ce postulat, et la fracture de l'open source à ce sujet n'en est que le symptôme visible.
Chaque contribution acceptée dans le noyau Linux, et dans des milliers de projets qui ont repris son mode opératoire, porte une ligne Signed-off-by. Cette ligne certifie la première clause du Developer Certificate of Origin : « La contribution a été créée en tout ou partie par moi et j'ai le droit de la soumettre sous la licence open source indiquée dans le fichier. » L'accord de licence individuel des contributeurs d'Apache, l'ICLA, formule la même promesse autrement : « Vous déclarez que chacune de vos contributions est votre création originale. » Ces phrases ont été rédigées à une époque où le seul auteur possible était un être humain, et tout document qui s'appuie dessus dans la chaîne commerciale (questionnaires de due diligence, garanties de propriété intellectuelle envers un client, annexes d'une cession d'entreprise) hérite de leur postulat central : que le statut de droit d'auteur d'un code est une chose que son auteur peut connaître et son propriétaire, prouver. Le code généré par IA a discrètement invalidé ce postulat. Ces clauses continuent d'être signées chaque jour. Prises au pied de la lettre, beaucoup d'entre elles ne peuvent plus être signées sincèrement par personne.
Pourquoi le droit d'auteur du code généré par IA est-il devenu invérifiable ?
Suivez le mécanisme. Les systèmes qui génèrent du code ont été entraînés sur des dépôts publics couvrant toutes les licences et tous les statuts de droit d'auteur imaginables, et rien dans leur production n'enregistre de quoi une suggestion donnée dérive : il n'existe aucun registre à consulter. Le développeur qui a accepté la suggestion ne peut pas prouver la licence de ce qui lui est arrivé, et le fournisseur de l'outil qui l'a produite ne le peut pas davantage. Ce n'est pas un problème de vérification qu'un meilleur outillage résoudra l'an prochain : l'information n'a jamais été capturée, elle ne peut donc pas être retrouvée. Chaque clause construite sur la preuve d'une paternité, de la ligne de validation d'un contributeur à la garantie de propriété intellectuelle d'un contrat de cession d'actions, repose désormais sur un fait qui n'est plus connaissable.
Les conséquences commerciales arrivent bien avant qu'un tribunal ne s'en mêle. Les questionnaires de due diligence, dans les appels d'offres comme dans les opérations de fusion-acquisition, interrogent désormais directement la provenance du code. Les clients des secteurs régulés veulent des garanties que le code livré est exempt de toute contamination de licence. Les clauses de garantie et d'indemnisation sont calibrées sur ce qui peut être prouvé. Dans chaque cas, ces documents ont été rédigés pour un monde où un audit compétent pouvait, au moins en principe, remonter chaque ligne jusqu'à un auteur et une licence. L'audit, vous pouvez toujours le commander. Il ne peut simplement plus répondre à la question.
L'open source déjà fracturé par l'impossibilité de prouver l'origine
La preuve la plus nette du sérieux avec lequel les ingénieurs prennent ce problème se trouve dans la gouvernance des projets open source. Le conseil de Gentoo a interdit les contributions générées par IA en 2024, citant le droit d'auteur parmi ses motifs. Les directives de contribution de NetBSD présument que tout code généré par IA est entaché et l'excluent sauf validation de l'équipe centrale. QEMU le refuse, précisément pour la raison énoncée en ouverture de cet article : les contributeurs ne peuvent pas certifier honnêtement l'origine d'un code sous la ligne de validation qu'exige chaque patch. Observez la forme que doit prendre toute politique plus souple. Une règle qui n'admettrait le code généré par IA que lorsque le contributeur peut vérifier son statut de droit d'auteur ressemble à un compromis, mais puisque cette vérification n'existe pas, c'est une interdiction totale déguisée en autorisation. Ce sont des projets à gouvernance communautaire dont l'unique actif irremplaçable est une chaîne de titres défendable, et ils renonceront à des contributions pour la préserver.
L'autre moitié de l'écosystème sprinte dans la direction opposée, masse salariale à l'appui. Lors de la présentation des résultats du troisième trimestre 2024 d'Alphabet, Sundar Pichai a déclaré aux analystes que « plus d'un quart de tout le nouveau code chez Google est généré par IA, puis relu et validé par des ingénieurs », une déclaration largement relayée à l'époque, et les plus gros soutiens financiers de la Linux Foundation vendent précisément les outils qui produisent des chiffres pareils. Aucun des deux camps, pourtant, ne peut démontrer ce que son code contient réellement. Aucun détecteur de code écrit par une machine n'a fait la preuve d'une fiabilité à la hauteur de ce qu'exigerait un audit de licence, si bien que le contrôle repose sur l'auto-déclaration ; le noyau Linux a plutôt penché pour la divulgation que pour l'interdiction, mais une règle de divulgation ne mesure que les contributeurs qui choisissent de s'y plier. Quelle que soit la part réelle des correctifs assistés par IA, un système fondé sur l'honneur ne peut fournir qu'un plancher, jamais une mesure. Les problèmes de provenance sont en outre transitifs : un projet strict continue d'importer des dépendances maintenues sous des politiques permissives, et des contributeurs salariés par de grandes entreprises maintiennent des pans entiers de la plomberie que chaque distribution embarque. La politique IA d'un projet vous renseigne sur son appétit pour le risque. Elle ne vous apprend presque rien sur son dépôt.
Le SBOM ne répond pas à la question que pose votre garantie
Le réflexe consiste à pointer vers la nomenclature logicielle, le SBOM. Cela ne suffira pas, et la structure même des standards le dit. Les champs définis par SPDX et CycloneDX décrivent des composants : noms, versions, fournisseurs, licences déclarées, relations de dépendance. Aucun champ, dans l'un ou l'autre format, n'affirme comment le code contenu dans un composant est apparu, ni si une personne l'a écrit. SPDX 3.0 a bien ajouté un profil IA, mais il sert à décrire des systèmes d'IA livrés en tant que tels, pas à consigner la paternité du code source ordinaire. Un SBOM inventorie ce que vous exécutez ; il n'a jamais été conçu pour prouver d'où cela vient. Le faire tenir lieu de garantie de provenance est une erreur de catégorie, et les équipes de due diligence commencent à s'en apercevoir.
Le code généré par IA est-il un risque de droit d'auteur pour votre entreprise ?
Le droit est encore instable, et attendre qu'il se stabilise n'est pas une stratégie, car l'exposition est contractuelle et réputationnelle bien avant d'être juridique. La réponse utile consiste à faire passer l'hygiène des licences d'une case à cocher ponctuelle à un jugement permanent, dépendance par dépendance. Connaissez les politiques IA des projets amont dont vous dépendez réellement, et traitez le silence comme une catégorie de risque à part entière. Faites réviser les clauses de garantie et d'indemnisation à l'aune de ce qui est désormais prouvable plutôt que de ce qu'on présumait autrefois : une représentation de « création originale » non qualifiée est une promesse que vos ingénieurs ne peuvent pas tenir en votre nom. Prenez la décision d'appétit pour le risque délibérément, au niveau où se décide l'architecture : c'est exactement le type d'exposition qu'une revue de stratégie technique sérieuse devrait faire apparaître par défaut, et cela relève de la même conversation que la maturité IA avant de se lancer dans un développement. En Europe, où le RGPD et l'AI Act imposent déjà des obligations de traçabilité sur d'autres pans du système d'information, la même logique de preuve documentée va devenir la norme attendue pour le code lui-même. Si vos propres équipes génèrent du code avec l'IA, la même discipline s'applique en interne, ce qui est un argument de plus pour garder l'humain aux commandes de la production de l'IA plutôt que de traiter l'outil comme un auteur.
Chacune de ces politiques de projet est en réalité un choix d'appétit pour le risque, et votre entreprise fait face au même scrutin, une dépendance et une signature à la fois. Les organisations qui traverseront bien cette période ne seront pas celles qui auront choisi le camp « propre ». Ce seront celles qui auront remarqué qu'il n'existait aucun moyen de vérifier, et qui l'auront intégré dans leur prix.
Questions fréquentes
Un logiciel peut-il détecter si un code a été écrit par une IA ?
Pas de façon fiable. Aucun détecteur de code généré par machine n'a démontré la précision qu'exigerait un audit de licence : les classificateurs se trompent dans les deux sens et de simples retouches suffisent à les tromper. C'est pourquoi les projets open source s'appuient sur l'auto-déclaration des contributeurs plutôt que sur un scan automatisé, et pourquoi tout pourcentage d'IA annoncé doit être traité comme un plancher, jamais comme une mesure exacte.
Peut-on encore signer le Developer Certificate of Origin en utilisant des outils de code assistés par IA ?
Cela dépend du projet. Les directives de QEMU concluent que les contributeurs ne peuvent pas certifier honnêtement l'origine d'un code généré par IA et refusent ces correctifs, tandis que le noyau Linux a privilégié une divulgation étiquetée. Vérifiez la politique de chaque projet avant de contribuer, car une ligne de validation est une déclaration juridique sur la provenance, pas une simple formalité.
Que demander à un fournisseur au sujet de la provenance du code généré par IA ?
Demandez sa politique en matière de développement assisté par IA, la manière dont les contributions IA sont étiquetées et relues, si ses garanties de propriété intellectuelle reflètent ce qui est réellement prouvable plutôt que ce qu'on présumait, et qui porte l'indemnisation si la provenance du code livré venait à être contestée.
À lire aussi
- Epic contre Google : la clause qui offre aux rivaux les clés du Play Store
- Les prix de la mémoire se retournent : renégociez le contrat avant le prochain renouvellement de parc
- L'IA n'invente pas les mauvais chefs, elle les arme
- Digital Business
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.