Le 14 août, le laboratoire chinois Z.ai a annoncé GLM-5.3, et avec le modèle il a annoncé quelque chose qui mérite plus d’attention que le modèle. Dans ses notes de publication, l’entreprise fait état d’un bond en capacité de sécurité offensive qu’elle n’avait pas planifié : davantage de puissance de calcul consacrée à la finition qui suit l’entraînement de base, celle dédiée au code et aux tâches agentiques, aurait produit comme effet secondaire une nette amélioration dans la découverte de vulnérabilités et le raisonnement sur les exploits. Les chiffres revendiqués sont 84,5 % sur CyberGym, où le modèle reçoit du code source en clair et doit identifier puis valider une vulnérabilité en la déclenchant, et un ExploitBench, qui mesure pour sa part à quel point le modèle parvient à transformer une vulnérabilité en attaque fonctionnelle, passé de 24,4 % à 54,4 %. En travaillant avec des équipes de sécurité chinoises, affirme l’entreprise, ses modèles ont identifié 2 436 vulnérabilités dans 269 projets open source, dont 1 097 critiques ou de gravité élevée, la plus ancienne introduite en 1981. L’une d’elles a été trouvée dans Cursor, et communiquée en privé.
Ce sont des déclarations du fabricant, et il faut les lire comme telles : personne ne les a encore reproduites de façon indépendante. Mais à côté des chiffres il y a un fait qui ne dépend pas des benchmarks, et c’est la forme de la publication. Les fonctions offensives les plus sensibles restent derrière un programme d’accès vérifié. Et les poids ne sortent pas avec l’annonce. Les poids sont les milliards de nombres où se dépose tout ce que le modèle a appris pendant l’entraînement : qui les télécharge n’obtient pas le droit d’interroger le modèle à distance, il obtient le modèle, et peut l’exécuter sur ses propres machines sans rien demander à personne. Ils sortent, dit l’entreprise, environ deux semaines après l’annonce, une fois l’évaluation de sécurité terminée. Les vulnérabilités trouvées atterrissent dans un registre public où, au moment de l’annonce, 53 étaient divulguées et 2 383 encore sous embargo, avec la possibilité de publier l’empreinte cryptographique d’une découverte encore en divulgation coordonnée, afin qu’on puisse la vérifier plus tard sans en révéler tout de suite les détails opérationnels.
Quoi qu’on pense de Z.ai, et quoi que vaudront les benchmarks quand quelqu’un les reproduira, c’est la première publication open-weight d’importance où l’ouverture n’est pas un interrupteur mais un calendrier. C’est le bon moment pour admettre que le mot avec lequel nous débattons de tout cela a cessé de fonctionner.
L’intuition qui a tenu trente ans
Il vaut mieux énoncer l’argument en faveur de l’ouverture dans sa forme la plus forte, et non dans sa caricature, parce que c’est celui contre lequel il faut peiner.
Pendant trente ans, nous avons associé l’open source à une intuition morale avant d’être technique. Si le code est inspectable, modifiable, copiable et redistribuable, le pouvoir se déplace du producteur vers la communauté. L’utilisateur peut vérifier ce qu’il exécute, l’entreprise peut échapper au lock-in, l’État peut réduire ses dépendances stratégiques, le chercheur peut contrôler les affirmations du vendeur au lieu de les croire. En Europe, l’idée est entrée dans le lexique officiel de la souveraineté numérique : le 3 juin 2026, dans le paquet sur la souveraineté technologique, la Commission a présenté pour la première fois une stratégie open source autonome, qui traite le logiciel ouvert non comme une option d’achat ou une ligne d’économies mais comme une infrastructure numérique européenne, avec des orientations sur les marchés publics pour les standards ouverts, un soutien aux bureaux de programme open source des administrations et des priorités sur les semi-conducteurs, les systèmes d’exploitation, le cloud, l’intelligence artificielle et la cybersécurité.
De là naît l’objection à toute restriction sur les modèles open-weight, et c’est une objection sérieuse. Si nous acceptons que les modèles les plus capables restent fermés parce qu’ils sont potentiellement dangereux, nous remettons une quantité énorme de pouvoir cognitif à quelques entreprises américaines et peut-être chinoises. Ces entreprises décideront qui accède à quelles capacités, avec quels filtres, à quel prix, depuis quels pays, pour quelles finalités. Elles pourront changer unilatéralement les conditions d’utilisation, retirer un modèle sur lequel quelqu’un a bâti un produit, restreindre les applications autorisées, observer ce que font leurs clients. Pour une entreprise européenne, cela veut dire dépendance économique. Pour une administration publique, cela peut vouloir dire dépendance stratégique. Pour la recherche, cela veut dire l’impossibilité de vérifier jusqu’au bout le système étudié, ce qui revient à demander à la communauté scientifique de travailler sur des objets qu’elle n’a pas le droit d’ouvrir.
En cybersécurité, l’objection devient plus convaincante encore. Les mêmes capacités qui permettent à un attaquant de découvrir une vulnérabilité permettent à un défenseur de la trouver avant lui, de générer des tests, d’analyser du code legacy que personne ne maintient depuis dix ans, de chercher des chaînes d’exploits dans sa propre infrastructure, d’interpréter des logs et d’automatiser la remédiation. Limiter les outils offensifs limite forcément une partie des capacités défensives, et celui qui se défend est presque toujours celui qui a le moins de budget. Ce n’est pas un hasard si le NIST, dans son guide AI 800-1 sur la gestion du risque d’abus des modèles à double usage, traite ces technologies pour ce qu’elles sont, des technologies duales, et non comme des armes par définition : la tâche est de gérer le risque sur tout le cycle de vie, de l’évaluation préalable au développement jusqu’à la surveillance après déploiement, pas de présumer que la capacité elle-même est illégitime.
Vient ensuite l’argument le plus difficile à écarter, et il est géopolitique. Une politique occidentale très restrictive sur les open weights pourrait ne pas réduire du tout la prolifération mondiale. Elle pourrait simplement garantir que les modèles ouverts les plus capables soient produits ailleurs, sous d’autres règles, avec d’autres critères de publication. GLM-5.3 rend cette hypothèse moins théorique qu’elle ne l’était il y a six mois.
La thèse ne peut donc pas être « les modèles offensifs doivent être fermés ». Ce serait trop simple, probablement inefficace, et surtout cela trahirait certaines des meilleures raisons pour lesquelles l’open source compte.
Ce que nous distribuons, quand nous distribuons des poids
Le problème commence quand on s’aperçoit que nous transférons sans correction le vocabulaire politique de l’open source logiciel à un objet technologique d’une autre nature.
Un serveur web open source et un modèle open-weight partagent une propriété, celle qui nous a convaincus d’employer le même mot : je peux en obtenir une copie et l’utiliser indépendamment du producteur. Mais ce qui est distribué n’est pas la même chose.
Le logiciel traditionnel distribue principalement un ensemble d’instructions. Pour obtenir une capacité nouvelle et significative, je dois les comprendre, les modifier ou en ajouter d’autres. Le code de nginx ne contient pas implicitement des milliers de programmes offensifs qui émergent si je les demande. Son ouverture rend disponible ce qui est écrit dans le dépôt, et rien d’autre : pas un répertoire implicite de comportements que le producteur lui-même ne peut connaître que par voie empirique, en le mesurant.
Un foundation model, un de ces modèles généralistes sur lesquels on construit ensuite tout le reste, est un autre objet. Les poids sont une forme compressée de capacité apprise. Je n’ouvre pas seulement le mécanisme par lequel le système fonctionne : je distribue quelque chose qui peut engendrer des procédures jamais écrites explicitement dans aucune source, et qui peuvent être combinées avec des outils externes : des boucles d’agent, où le modèle décide d’un coup, l’exécute, en lit le résultat et recommence tout seul, puis des shells, des navigateurs, des compilateurs, des scanners. Le bond non planifié dont fait état Z.ai est la démonstration la plus économique de cette asymétrie : personne n’a écrit la capacité d’enchaîner des exploits, elle est apparue pendant qu’on optimisait autre chose, et l’entreprise dit l’avoir découverte en évaluant son propre modèle. Quand le producteur découvre les capacités de son objet par l’expérience, le mot « transparence » signifie tout autre chose que ce qu’il signifiait pour une archive de sources.
Cette différence a l’air technique. Ce qu’elle change, c’est toute la philosophie de l’ouverture.
Trois droits que nous avons traités comme un seul
Dans le logiciel classique, le droit d’inspecter et le droit de copier sont presque inséparables, non par choix idéologique mais par nécessité matérielle. Si je veux te permettre de vérifier vraiment le programme, je dois te permettre de l’obtenir. Et une fois que tu le possèdes, t’empêcher de le copier est à la fois techniquement difficile et politiquement incohérent. Les quatre libertés de Stallman tiennent debout aussi parce que dans leur monde il n’y avait aucun moyen de les séparer.
Avec les modèles, nous pouvons en revanche distinguer au moins trois droits différents : le droit de savoir comment le modèle a été construit, le droit d’en évaluer indépendamment les capacités, le droit de posséder une copie indéfiniment modifiable des poids. Nous les avons traités jusqu’ici comme s’ils étaient la même forme de liberté. Ils ne le sont pas nécessairement, et le premier laboratoire à avoir expédié les trois à trois moments différents l’a fait le 14 août.
Voilà la fracture conceptuelle : le droit à l’inspectabilité n’implique pas automatiquement le droit à la prolifération illimitée de toute capacité.
C’est une phrase dangereuse, parce que quiconque vend des systèmes propriétaires opaques peut s’en servir demain matin pour les justifier. Elle doit donc être bornée avec précision. Elle ne signifie pas « la sécurité passe avant la liberté », formule qui a historiquement autorisé n’importe quel abus et qui n’a rien à faire ici. Elle signifie que nous avons peut-être besoin d’inventer pour l’IA une grammaire de l’ouverture plus articulée que celle née pour le logiciel des années quatre-vingt, et que continuer à comprimer huit décisions distinctes dans un seul mot n’est pas de la fidélité à une idée. C’est de la paresse.
Connaissance et capacité ne sont pas la même chose
Le critère de distinction ne peut pas être « ce modèle est puissant ». Ce serait arbitraire, et en pratique cela reviendrait à « ce modèle est récent ». Il devrait être autre : cette capacité modifie-t-elle substantiellement le coût marginal nécessaire pour produire un dommage donné ?
Le cyber offre un cas presque idéal, parce qu’il permet de raisonner en termes concrets plutôt qu’en catastrophes imaginées.
Un modèle qui explique comment fonctionne une injection SQL ne déplace pas l’équilibre offensif d’un millimètre : internet contient déjà des millions d’explications, souvent meilleures. Un modèle qui produit un exploit connu ne change pas grand-chose non plus : Metasploit existe depuis des décennies et se trouve à un apt install de distance. Le seuil intéressant arrive quand un système peut recevoir une base de code inconnue, y trouver de façon autonome une vulnérabilité non documentée, développer un exploit fiable, l’enchaîner à une escalade de privilèges, contourner les mitigations, et recommencer sur d’autres cibles pour un coût proche de zéro. À ce moment-là, nous n’avons pas démocratisé une connaissance. Nous avons industrialisé une capacité.
Cette distinction est le cœur de l’affaire, et elle est plus vieille que l’informatique. Une recette pour produire une substance dangereuse est une information. Une machine automatique qui la produit à l’échelle industrielle est une capacité. Le droit d’accéder à la première, que je défends, ne règle pas automatiquement la question politique de la seconde. Les LLM brouillent précisément cette frontière, parce qu’ils transforment l’information en capacité exécutive : une fois branchés aux outils, la distance entre « savoir comment on fait » et « le faire » se réduit presque à rien, et l’unité de mesure du dommage cesse d’être la compétence de l’attaquant pour devenir le nombre d’heures-machine qu’il peut se payer.
C’est là que l’argument open source traditionnel rencontre une limite historique, pas morale. Le mouvement naît dans une culture où le coût dominant était l’accès à la connaissance et aux outils, et où abaisser ce coût était presque toujours émancipateur : celui qui ne pouvait pas lire le code était exclu, point. Avec l’IA de frontière, nous abaissons simultanément le coût de la connaissance et le coût de l’action. Ce n’est pas la même opération. L’open source naît pour distribuer le pouvoir de comprendre et de modifier les machines ; l’IA open-weight peut en venir à distribuer aussi le pouvoir d’agir à travers elles. Quand les deux coïncident, la politique de l’ouverture se retrouve devant des responsabilités que le logiciel libre pouvait se permettre de considérer comme périphériques.
L’irréversibilité, et qui a intérêt à nous la rappeler
Le 27 juillet 2026, Anthropic a publié une position signée Dario Amodei qui commence par un démenti : l’entreprise n’a jamais demandé d’interdire les modèles open-weight. Elle arrivait trois jours après une lettre intitulée Open Weights and American AI Leadership, signée par 77 entreprises, fondations, fonds et groupes de recherche, qui défendait les open weights et désignait assez clairement qui les menacerait. La proposition d’Anthropic est de garder accessibles les modèles ouverts à moindre risque et de concentrer les contraintes ailleurs : contrôles sur les puces vers les régimes autoritaires, frein à la distillation à l’échelle industrielle, c’est-à-dire au transvasement systématique des capacités d’un modèle fermé dans un modèle ouvert, tests de sécurité obligatoires pour tous les modèles suffisamment capables, ouverts comme fermés.
L’argument central est l’irréversibilité. Une fois les poids publiés, les garde-fous, c’est-à-dire les protections entraînées dans le modèle pour qu’il refuse les demandes dangereuses, peuvent être retirés, les copies peuvent être redistribuées ou exécutées en privé hors de toute supervision, et aucune intervention ultérieure sur le modèle n’est possible. C’est une affirmation intéressée, puisqu’elle vient d’une entreprise qui vend un accès propriétaire à ses propres modèles, et il faut la prendre dans sa version la plus forte et la suspecter dans le même mouvement.
Prenons-la dans sa version la plus forte, celle des chiffres. Retirer le fine-tuning de sécurité, c’est-à-dire l’entraînement supplémentaire qui apprend au modèle à dire non, de Llama 3 8B prend environ cinq minutes sur une seule carte graphique A100, pour moins d’un demi dollar chez la plupart des fournisseurs cloud, et environ 45 minutes sur le modèle à 70 milliards de paramètres, pour moins de 2,50 dollars ; la même procédure tourne en une demi-heure et pour rien sur un carnet gratuit de Google Colab. Avec LoRA, une technique de réentraînement léger, et moins de 200 dollars, le taux de refus de Llama 2-Chat 70B est passé de 78,9 % à 0,4 %, c’est-à-dire de 618 refus sur 783 questions à 3. Et la courbe compte plus que chaque valeur prise isolément : les heures GPU nécessaires pour démonter l’entraînement de sécurité sont passées de centaines en 2022 à des dizaines en 2023 à quelques minutes en 2024. Publier les poids ne publie pas le modèle avec ses contrôles. Cela publie le modèle, et les contrôles restent en arrière comme une intention.
Suspectons-la, maintenant. Que le risque soit réel ne rend pas moins réelle l’incitation économique à le présenter comme un argument en faveur de l’API centralisée, et la même entreprise qui réclame des tests obligatoires pour tous est celle qui vendrait davantage d’accès à ses propres modèles si ses concurrents ouverts disparaissaient. Les deux choses sont vraies à la fois. C’est exactement pour cela que l’alternative « Meta a raison, Anthropic a tort », ou l’inverse, est stérile : ce sont deux positions de marché déguisées en philosophies, et en débattre comme de philosophies nous fait perdre la seule question qui compte.
La question qui compte
Quelles propriétés voulons-nous préserver, de l’open source ?
Si la réponse est « la possibilité de faire tourner n’importe quoi sans aucune interférence extérieure », alors les poids entièrement ouverts sont irremplaçables et il n’y a rien à ajouter.
Si la réponse est la souveraineté, cela devient plus subtil, car souveraineté ne signifie pas posséder tout sans restrictions. Cela signifie ne pas dépendre de la volonté arbitraire d’un autre acteur, ce qui est différent. Un modèle accessible seulement par une unique API américaine est une dépendance évidente. Mais un écosystème européen qui télécharge les poids d’un modèle étranger et s’arrête là n’est pas souverain non plus : sans puissance de calcul, compétences, jeux de données, capacité de réentraînement, d’évaluation et de maintenance, il a seulement changé l’acteur dont il dépend, et il en a choisi un qui ne lui doit rien. L’open weight est une composante de la souveraineté, pas la souveraineté. C’est la même chose que j’écrivais en juin à propos du cloud : la souveraineté n’habite pas dans le data center, et elle n’habite pas davantage dans un dossier de paramètres sur un disque.
L’Europe l’a déjà écrit deux fois
Il y a un détail que le débat européen a tendance à sauter, et c’est que l’Europe a déjà mis cette distinction par écrit, dans deux lois différentes, presque sans s’en apercevoir.
La première fois, c’est dans l’AI Act. L’article 53 dispense les fournisseurs de modèles GPAI, les modèles à finalité générale, publiés sous licence libre et ouverte d’une partie de leurs obligations : la documentation technique, celle destinée aux fournisseurs en aval, la désignation d’un mandataire pour ceux qui sont établis hors de l’Union. Il ne les dispense pas de la politique de respect du droit d’auteur ni du résumé suffisamment détaillé des données d’entraînement. Et surtout, l’exemption ne s’applique pas aux modèles classés GPAI à risque systémique, qui restent soumis aux obligations d’évaluation et d’atténuation de l’article 55, avec la présomption liée au seuil de 10^25 FLOP et la notification sous deux semaines à l’AI Office, le bureau de la Commission qui surveille ces modèles. Les lignes directrices de la Commission du 18 juillet 2025 ont ajouté la pièce manquante : l’exception open source ne vaut que si la licence permet réellement l’accès, l’usage, la modification et la redistribution du modèle, poids compris, et si le modèle est publiquement disponible. Se dire ouvert ne suffit pas.
La seconde fois, c’est dans le Cyber Resilience Act, et cela passe encore plus inaperçu. L’article 24 crée la figure de l’open-source software steward et lui donne un régime allégé : pas de marquage CE, pas d’évaluation de conformité formelle, pas de conservation obligatoire de la documentation technique. Mais il ne lui donne pas l’exemption. Le steward doit se doter d’une politique de cybersécurité documentée de manière vérifiable, coopérer avec les autorités de surveillance du marché, signaler les vulnérabilités activement exploitées et les incidents graves. L’article 64, paragraphe 10, lui épargne les amendes administratives, et c’est le point où le législateur reconnaît explicitement qu’on ne peut pas traiter un mainteneur bénévole comme un fabricant. C’est une gradation, pas une amnistie.
Deux lois, la même phrase implicite : l’ouverture module le régime, elle n’annule pas le risque. C’est une distinction philosophiquement meilleure que celle qu’on reconnaît d’habitude à l’AI Act, parce que le régime ne regarde pas seulement la licence. Il regarde la capacité et les effets.
Une échelle, pas un interrupteur
De là on arrive à la partie que personne n’a encore écrite en entier : une taxonomie de l’ouverture qui cesse d’être binaire.
Imaginons une échelle. Au premier barreau, la transparence scientifique complète, c’est-à-dire la publication qui décrit vraiment comment le modèle a été construit. Au deuxième, l’accès au jeu de données et à la méthodologie, ce qui n’est pas la même chose que les décrire. Au troisième, l’accès pour audit indépendant, c’est-à-dire la possibilité pour un tiers qualifié de mesurer le modèle sans demander la permission à chaque fois. Au quatrième, l’accès aux poids sous un régime de vérification d’identité, exactement ce que Z.ai a appliqué à ses fonctions offensives. Au cinquième, la redistribuabilité des poids. Au sixième, le droit de faire du fine-tuning. Au septième, le droit de retirer les garde-fous. Au huitième, la publication entièrement irréversible, qui est la somme de tous les précédents plus l’impossibilité de revenir en arrière.
Ce sont des décisions différentes, avec des bénéficiaires différents et des risques différents. Un chercheur qui veut vérifier les affirmations d’un vendeur a besoin du deuxième et du troisième barreau, et presque jamais du septième. Une administration publique qui réduit sa dépendance stratégique a besoin du cinquième et du sixième, et pas nécessairement du huitième. Une startup qui construit un produit a besoin de savoir que le modèle ne lui sera pas retiré sous les pieds, ce qui est une question de licence et de durée plus que de capacité. L’erreur culturelle actuelle est de comprimer les huit barreaux dans le mot « open », puis de se disputer comme s’il n’y avait qu’un seul levier à monter ou descendre.
Une opacité librement redistribuable
De cette compression naît un second malentendu, presque linguistique, qui oblige désormais jusqu’à la presse généraliste à publier des rectificatifs. Beaucoup de modèles décrits comme open source sont en réalité open-weight : on peut télécharger les paramètres, mais on ne connaît ni le jeu de données, ni la pipeline complète d’entraînement, ni les filtres, ni les procédures d’annotation, ni les conditions de production. L’Open Source Initiative a tenté de mettre de l’ordre avec l’Open Source AI Definition 1.0, qui demande ensemble les poids, le code complet pour entraîner et exécuter le système, et des informations sur les données assez détaillées pour qu’une personne compétente puisse en construire un substantiellement équivalent. C’est un compromis, car il n’exige pas le jeu de données lui-même, et il a été contesté sur ce point précis par la Free Software Foundation et la Software Freedom Conservancy : sans les données exactes, la liberté de modifier est nominale.
Le résultat paradoxal, c’est que nous pouvons avoir des modèles très ouverts dans leur capacité à proliférer et beaucoup moins ouverts dans leur capacité à être compris. C’est presque l’inverse de l’idéal fondateur du logiciel libre. On peut copier parfaitement l’objet, et ne jamais reconstruire comment il est né. Une opacité librement redistribuable.
Et il vaut la peine de rappeler que l’ouverture, même dans le logiciel classique, n’a jamais coïncidé avec la vérification. Heartbleed a montré en 2014 qu’une bibliothèque sur laquelle reposait la moitié d’internet était maintenue par deux personnes avec environ 2 000 dollars de dons par an. XZ Utils a montré en 2024 qu’une campagne patiente de près de trois ans, avec huit commits malveillants noyés dans une très longue liste de contributions légitimes et une pression coordonnée de comptes fictifs sur un mainteneur épuisé, pouvait arriver à un pas de compromettre tous les serveurs SSH du monde. « Beaucoup d’yeux » a toujours été un énoncé sur la possibilité, jamais sur la pratique. Je l’avais déjà écrit en regardant les dix mille dépôts clonés de juin : ouvert veut dire inspectable, pas inspecté. Cela vaut à l’identique pour les poids, avec une circonstance aggravante : inspecter un modèle coûte infiniment plus cher que relire les lignes modifiées d’un commit, et les personnes capables de le faire sérieusement dans le monde se comptent par centaines.
Le précédent que nous avons déjà inventé
Il existe déjà, dans notre culture, une institution qui résout un problème de la même forme, et c’est nous, la sécurité, qui l’avons construite.
Prenons une vulnérabilité zero-day. Nous sommes normalement favorables à la divulgation, parce que la connaissance publique force le fabricant à corriger, permet aux utilisateurs de se défendre et crée de la connaissance collective. Et pourtant, presque aucune communauté de sécurité sérieuse ne soutient que l’idéal moral maximal consiste à publier immédiatement une chaîne d’exploits fonctionnelle contre une infrastructure critique avant qu’un correctif existe. La divulgation responsable introduit du temps, du contexte, de la coordination et de la gradation sans nier la valeur fondamentale de l’ouverture. Personne ne l’a jamais considérée comme une trahison de la transparence. C’est le contraire : c’est la transparence qui a appris à se manier.
Peut-être que l’avenir de l’open AI ressemblera moins à la publication simultanée d’un dépôt qu’à la divulgation coordonnée : ouverture maximale comme objectif de fond, mais possibilité de différencier les délais et les modalités quand certaines capacités franchissent des seuils concrètement mesurables. Ce qui est, relu maintenant, exactement le calendrier du 14 août. Deux semaines de retard sur les poids, accès vérifié sur les fonctions les plus sensibles, un registre contenant les empreintes des découvertes encore sous embargo. Je ne dis pas que Z.ai a trouvé la bonne formule, ni que ses motivations sont celles qu’elle déclare, et un régime d’accès vérifié administré par une entreprise soumise à un ordre juridique non européen pose des problèmes bien à lui. Je dis que la forme a déjà été inventée, et qu’elle est la nôtre.
Qui peut faire quoi
À ce stade, la question normative peut être posée utilement. Non pas « comment empêcher les gens malintentionnés d’avoir des modèles puissants », qui est irréaliste et mène droit à la surveillance et au contrôle centralisé, c’est-à-dire à la perte exacte de ce que nous voulions protéger. Mais : quelle distribution du pouvoir technologique maximise en même temps l’autonomie, la vérifiabilité, la capacité défensive et la responsabilité ?
Ces valeurs ne coïncident pas. La transparence maximise la vérifiabilité. L’open weight maximise la réplicabilité. L’exécution locale maximise l’autonomie. L’accès conditionné peut augmenter la responsabilité, parce qu’il crée quelqu’un à qui demander des comptes. La centralisation permet la révocation et la surveillance, et c’est pour cela qu’elle est dangereuse. La décentralisation réduit le lock-in et l’abus monopolistique, et c’est pour cela qu’elle est précieuse. Il n’existe aucun point qui maximise tout, et prétendre le contraire est de la propagande, d’où que cela vienne. C’est exactement le type de problème où une bonne régulation ne doit pas chercher une vérité universelle mais construire des compromis locaux explicites, déclarés comme tels.
Ce qui mène à la thèse la plus radicale, et je la formule en entier : « open source » ne devrait plus être une qualité binaire attribuée au modèle, mais une architecture des droits autour du modèle. Qui peut l’inspecter. Qui peut l’évaluer. Qui peut l’exécuter. Qui peut le modifier. Qui peut le redistribuer. Qui peut en retirer les contrôles. Qui peut le brancher à des outils capables d’agir dans le monde. Qui porte la responsabilité quand ces capacités sont employées. Ces questions sont infiniment plus utiles que « est-ce open ? », et elles ont le mérite d’être toutes écrivables dans un contrat, une licence ou une loi, ce qui est après tout notre métier.
Le cyber nous oblige à le comprendre avant les autres domaines parce qu’il rend immédiatement visible ce qui reste abstrait ailleurs : cela se mesure, se compte, se reproduit. Mais un modèle biomédical capable de proposer une molécule dangereuse soulève le même problème. Un système qui optimise la conception de drones le soulève. Un agent qui opère de façon autonome sur les marchés le soulève. Le cyber est simplement le laboratoire où la tension devient évidente en premier, et donc l’endroit où il vaut mieux se tromper maintenant, tant que les erreurs se comptent encore une vulnérabilité à la fois.
La bataille qui vient
Le problème n’est pas que l’open source ait cessé d’être une valeur. C’est l’inverse : il est devenu si important que nous ne pouvons plus nous permettre de l’utiliser comme un slogan.
Pendant trente ans, nous avons défendu l’ouverture parce qu’elle empêchait quiconque de posséder unilatéralement le pouvoir technologique, et cette intuition reste valable mot pour mot. Mais quand l’objet ouvert n’est plus seulement un outil que je peux étudier, et devient une machine à usage général capable de transformer la connaissance en action, la liberté de l’inspecter et celle d’en multiplier sans limites chaque capacité cessent d’être automatiquement le même droit. Le reconnaître n’est pas se rendre à l’enclos propriétaire. C’est la seule manière de défendre l’open source européen sans le transformer en un dogme incapable d’admettre que certains objets technologiques ont changé de nature entre nos mains pendant que nous continuions à les appeler du même nom.
La prochaine bataille ne consistera pas à décider s’il faut ouvrir ou fermer l’intelligence artificielle. Elle consistera à décider quelles formes d’ouverture préservent vraiment la distribution du pouvoir, sans transformer la distribution du pouvoir en distribution irresponsable de la capacité de nuire. Et le point de chute est politique, pas technique : la souveraineté, ce n’est pas pouvoir faire n’importe quoi avec une technologie. C’est ne pas être contraint de demander la permission à quelqu’un d’autre pour comprendre, gouverner et décider ce que cette technologie peut faire dans notre société.
Le 14 août, un laboratoire a envoyé cette question à tout le monde, sous forme de calendrier. Dans deux semaines les poids seront en ligne, et la partie qui compte ne sera pas la qualité du modèle. Ce sera de savoir si nous avons un vocabulaire pour dire ce que nous venons de recevoir.
Ce qu'il faut retenir
Le 14 août, Z.ai a annoncé GLM-5.3 avec un bond revendiqué en capacité cyber, 84,5 % sur CyberGym et un ExploitBench plus que doublé, en gardant les fonctions offensives derrière un programme d’accès vérifié et en retenant environ deux semaines la publication des poids, les nombres qui permettent à quiconque de télécharger le modèle et de l’exécuter pour son propre compte, en attendant une évaluation de sécurité. Les benchmarks sont des déclarations du fabricant, mais la forme de la publication est un fait : ouverture graduée, pas interrupteur.
Dans le logiciel classique, le droit d’inspecter et le droit de copier sont inséparables. Avec les modèles, ils se scindent en au moins trois droits distincts : savoir comment il a été construit, évaluer indépendamment ses capacités, posséder une copie indéfiniment modifiable des poids. Nous les avons traités comme une seule liberté. Ils ne le sont pas.
L’argument de l’irréversibilité n’est pas que de la rhétorique intéressée : effacer de Llama 3 8B l’entraînement qui lui apprend à refuser les demandes dangereuses prend cinq minutes sur une carte graphique A100 et moins d’un demi dollar, et le taux de refus d’un modèle passe de 78,9 % à 0,4 % avec un réentraînement léger de moins de 200 dollars. Le garde-fou ne voyage pas avec les poids. Que cela arrange ceux qui vendent l’accès par API est tout aussi vrai, et ne rend pas les chiffres moins exacts.
L’Europe a déjà écrit deux fois qu’ouvert n’est pas une exemption : l’article 53 de l’AI Act dispense les modèles sous licence libre d’une partie de la documentation mais pas des obligations de l’article 55 en cas de risque systémique, et l’article 24 du CRA donne aux open-source stewards un régime allégé, pas l’absence d’obligations. Il regarde la capacité et les effets, pas seulement la licence.
La question utile n’est pas « est-ce open ? » mais qui peut l’inspecter, l’évaluer, l’exécuter, le modifier, le redistribuer, en retirer les contrôles, le brancher à des outils capables d’agir, et qui répond quand cela arrive. La souveraineté, ce n’est pas pouvoir tout faire avec une technologie. C’est ne pas devoir demander la permission à quelqu’un d’autre pour comprendre, gouverner et décider ce que cette technologie peut faire chez nous.
Questions & réponses
Qu’est-ce qui distingue un modèle open-weight d’un logiciel open source ?
Le logiciel open source distribue des instructions : pour obtenir une capacité nouvelle, il faut les lire, les modifier ou en ajouter, et le code de nginx ne contient pas implicitement des milliers de programmes qui apparaissent si on les demande. Un modèle open-weight distribue de la capacité apprise sous forme compressée : les poids, c’est-à-dire les nombres où se dépose ce que le modèle a appris, peuvent produire des procédures que personne n’a jamais écrites dans une source, et que le fabricant lui-même ne connaît que par voie empirique, en menant des évaluations. Ce sont deux objets différents sous un même mot, et la différence compte surtout quand le modèle est branché à des shells, des navigateurs, des compilateurs et des scanners.
Interdire les modèles open-weight les plus capables réduirait-il la prolifération ?
Probablement pas, et c’est la raison la plus sérieuse de ne pas essayer. Une politique occidentale très restrictive risque seulement de garantir que les modèles ouverts les plus capables soient produits ailleurs : GLM-5.3, annoncé par Z.ai le 14 août 2026 avec des performances revendiquées au sommet dans la découverte de vulnérabilités, rend l’hypothèse moins théorique. Le but n’est pas d’empêcher la capacité d’exister, puisqu’elle se diffuse de toute façon, mais de décider quelles formes d’ouverture préservent vraiment la distribution du pouvoir.
Les garde-fous survivent-ils dans un modèle aux poids publics ?
Non, et pas par faiblesse d’ingénierie mais par une question de coûts. La recherche disponible montre que retirer le fine-tuning de sécurité, l’entraînement supplémentaire qui apprend au modèle à dire non, de Llama 3 8B prend environ cinq minutes sur une seule carte graphique A100, pour moins d’un demi dollar, et environ 45 minutes sur le modèle à 70 milliards de paramètres. Avec LoRA, une technique de réentraînement léger, et moins de 200 dollars, le taux de refus de Llama 2-Chat 70B est passé de 78,9 % à 0,4 %. Le coût est tombé de centaines d’heures GPU en 2022 à quelques minutes en 2024. Qui publie les poids publie le modèle sans ses contrôles, quelles que soient ses intentions.
L’AI Act exempte-t-il les modèles open source de ses obligations ?
En partie seulement, et jamais en cas de risque systémique. L’article 53 dispense les fournisseurs de modèles GPAI, les modèles à finalité générale, publiés sous licence libre et ouverte de la documentation technique, de celle destinée aux fournisseurs en aval et de la désignation d’un mandataire, mais pas de la politique de respect du droit d’auteur ni du résumé suffisamment détaillé des données d’entraînement. Et l’exemption tombe pour les modèles classés à risque systémique, qui restent soumis aux obligations d’évaluation et d’atténuation de l’article 55. Les lignes directrices de la Commission du 18 juillet 2025 ajoutent que l’exception ne vaut que si la licence permet réellement l’accès, l’usage, la modification et la redistribution, poids compris.
Que signifie alors la souveraineté numérique sur un modèle ?
Pas posséder une copie sans restrictions. Cela signifie ne pas dépendre de la volonté arbitraire d’un autre acteur, et ce sont deux choses différentes. Un modèle accessible seulement par une unique API étrangère est une dépendance évidente, mais un écosystème européen qui télécharge des poids étrangers sans disposer de puissance de calcul, de compétences, de jeux de données, de capacité de réentraînement et d’évaluation n’est pas souverain non plus : il a seulement changé l’acteur dont il dépend. L’open weight est une composante de la souveraineté, pas la souveraineté.
L'auteur
