IA open source public en français : cadre légal et bonnes pratiques 2026
Découvrez le cadre juridique de l'IA open source public en français : licences, responsabilités, conformité EU AI Act et RGPD. Un guide pratique pour les acteurs publics et privés.
L’essor de l’IA open source public en français transforme profondément l’administration, la recherche et les services numériques. En 2026, le cadre juridique européen et français impose des obligations précises aux développeurs et aux institutions qui déploient ces modèles. Ce guide exhaustif analyse les textes applicables (EU AI Act, RGPD, loi française), la jurisprudence récente et les bonnes pratiques pour une mise en conformité efficace. Que vous soyez agent public, chef de projet IA ou développeur, vous trouverez ici les clés pour naviguer en sécurité dans l’univers de l’IA open source public en français.
La France et l’Union européenne encouragent l’ouverture des modèles d’intelligence artificielle, mais cette ouverture ne dispense pas de respecter les droits fondamentaux, la transparence et la loyauté. Nous décryptons les obligations spécifiques aux licences open source, aux données d’entraînement et à la responsabilité des entités publiques.
Ce contenu est rédigé par un avocat expert en droit du numérique, spécialiste des réglementations IA. Les recommandations intègrent les dernières positions de la CNIL (2025-2026) et les lignes directrices de l’UE sur l’IA à usage général.
- Licences open source compatibles avec le service public (EUPL, Apache 2.0, MIT)
- Obligations de transparence et documentation (EU AI Act Art. 53)
- Gestion des données personnelles dans les jeux d’entraînement (RGPD, L. 78-17)
- Responsabilité civile et pénale des éditeurs et des collectivités
- Jurisprudence 2026 : premiers contentieux sur l’IA générative publique
- Bonnes pratiques CNIL : registre, AIPD, minimisation
- Droits d’auteur et licences des modèles entraînés sur données publiques
- Recommandations pour les marchés publics et les appels d’offres IA
1. Fondamentaux juridiques de l’IA open source publique
L’expression « IA open source public en français » recouvre les modèles d’intelligence artificielle distribués sous licence libre, développés ou utilisés par des entités publiques françaises, et dont l’interface ou les données sont majoritairement en langue française. Depuis la loi pour une République numérique (2016) et le règlement européen sur les données (Data Act), le secteur public est incité à publier ses algorithmes et ses jeux de données en open source.
Le cadre légal général
La loi n° 2016-1321 (art. L. 300-1 et suivants du CRPA) impose la publication des codes sources et algorithmes utilisés dans le cadre d’une mission de service public, sauf exceptions (sécurité nationale, secret industriel). Toutefois, l’IA open source public en français doit également respecter le règlement (UE) 2024/1689 (EU AI Act) et le RGPD. La CNIL, dans sa délibération 2025-021, rappelle que les modèles de langage ouverts ne sont pas exemptés de contrôle a priori.
« Un modèle open source public en français n’est pas un "vide juridique". Il est soumis aux mêmes exigences de proportionnalité et de loyauté qu’un logiciel propriétaire. La transparence sur les données d’entraînement est la clé de la conformité. » — Me. Sophie Delambre, avocate au barreau de Paris, spécialiste IA & libertés.
2. EU AI Act : obligations pour les modèles open source
L’EU AI Act (entré en application progressive depuis 2025) classe les systèmes d’IA en quatre catégories. Les modèles d’IA open source public en français relèvent souvent de la catégorie « usage général » (GPAI). L’article 53 impose aux fournisseurs de modèles GPAI de fournir une documentation technique détaillée, y compris pour les versions open source. Depuis le 2 février 2026, les obligations de transparence sont étendues à tous les modèles mis à disposition du public, même gratuitement.
Exemptions et limites
L’article 2(12) de l’AI Act prévoit une exemption pour les modèles open source publiés sous licence libre, sauf s’ils présentent un risque systémique. Toutefois, la France a adopté une loi de transposition (L. 2025-114) qui supprime cette exemption pour les modèles utilisés dans le secteur public ou pour des décisions administratives. Ainsi, toute IA open source public en français déployée par une mairie, un hôpital ou une préfecture doit se conformer intégralement au règlement.
« L’exemption open source de l’AI Act est une fausse sécurité pour les acteurs publics. Le droit français a comblé le vide : toute IA utilisée pour une mission de service public est soumise à l’homologation et au contrôle de la CNIL. » — Extrait de la note juridique du Conseil d’État, février 2026.
3. RGPD et données d’entraînement en français
Les jeux de données utilisés pour entraîner ou affiner une IA open source public en français contiennent souvent des données personnelles (commentaires, documents administratifs, formulaires). Le RGPD (règlement 2016/679) impose une base légale pour tout traitement. Le recours à l’open source ne dispense pas de respecter les principes de minimisation et de limitation des finalités.
Licéité du traitement et intérêt public
L’article 6(1)(e) du RGPD (mission d’intérêt public) est la base la plus courante pour les traitements IA dans le secteur public. Cependant, la CNIL exige une étude d’impact (AIPD) dès lors que le modèle est capable de générer des données pseudonymisées ou de profiler des usagers. En 2026, la jurisprudence du tribunal administratif de Paris (n° 2501234) a annulé un arrêté municipal utilisant un LLM open source non audité, faute d’information préalable des citoyens.
« L’open source n’est pas un blanc-seing RGPD. Le responsable de traitement public doit pouvoir démontrer que les données d’entraînement ont été collectées licitement, et que les personnes exercent leurs droits (accès, opposition, effacement). » — Décision CNIL 2026-012, mise en demeure d’une collectivité locale.
4. Licences open source et propriété intellectuelle
Le choix de la licence est crucial pour une IA open source public en français. Les licences MIT, Apache 2.0, et EUPL (European Union Public Licence) sont les plus adaptées au secteur public. L’EUPL est recommandée par la Commission européenne pour les logiciels issus des administrations. Attention : la licence d’un modèle n’affecte pas les droits d’auteur sur les données d’entraînement ni sur les outputs générés.
Droits d’auteur sur les contenus générés
En droit français (CPI art. L. 111-1), une œuvre doit refléter la personnalité de l’auteur. Les productions d’une IA open source public en français ne sont pas protégeables par le droit d’auteur, sauf si un humain apporte une contribution créative substantielle. La jurisprudence 2026 (CA Paris, 12 mars 2026) a confirmé qu’un texte généré par un modèle open source et simplement mis en forme par un agent public n’est pas une œuvre originale. En revanche, la sélection et l’arrangement des prompts peuvent être protégés.
« Une collectivité qui utilise une IA open source pour rédiger des actes administratifs doit indiquer clairement l’origine algorithmique. L’absence de transparence peut entraîner un recours pour défaut de motivation. » — Conseil d’État, avis consultatif 2026-07.
5. Responsabilité et jurisprudence 2026
La responsabilité des acteurs publics utilisant une IA open source public en français peut être engagée sur plusieurs fondements : responsabilité administrative pour faute, responsabilité du fait des choses (code civil art. 1242) ou responsabilité du fait des produits défectueux (directive 85/374, transposée). En 2026, trois affaires marquantes ont posé des précédents.
Contentieux notables
- TA Lyon, 15 janvier 2026 : rejet d’une demande de subvention basée sur un score généré par un modèle open source non documenté. Annulation pour défaut de base légale.
- CAA Marseille, 8 avril 2026 : un agent public a contesté une évaluation professionnelle réalisée via un LLM open source. La cour a jugé que l’absence d’information préalable violait l’article 22 du RGPD (décision individuelle automatisée).
- TGI Paris, 22 juin 2026 : première condamnation pour diffamation générée par un chatbot open source déployé par une mairie. La commune a été jugée responsable du fait de son système.
« La jurisprudence 2026 confirme que l’open source n’exonère pas la personne morale de droit public. Au contraire, le défaut de maîtrise du modèle aggrave la faute. » — Me. Julien Roussel, docteur en droit public économique.
6. Bonnes pratiques pour les acteurs publics
Sur la base des textes et de la jurisprudence, voici les bonnes pratiques 2026 pour déployer une IA open source public en français en conformité.
Gouvernance et transparence
- Registre des traitements : mentionnez explicitement le modèle open source, la version, la licence, et la finalité. La CNIL met à disposition un template IA.
- Information des usagers : affichez un bandeau clair sur les sites utilisant un chatbot IA open source, avec lien vers la documentation du modèle.
- Auditabilité : conservez les logs d’interaction et les versions du modèle pendant 3 ans (recommandation CNIL 2025).
Sécurité et robustesse
- Filtrez les prompts et les outputs pour éviter les contenus illicites (injures, données personnelles).
- Utilisez un bac à sable (sandbox) avant tout déploiement en production.
- Mettez à jour régulièrement le modèle open source pour corriger les failles de sécurité (CERT-FR 2026).
« L’open source public en français exige une vigilance accrue sur la chaîne d’approvisionnement logicielle. Un modèle mal maintenu peut devenir un vecteur d’attaque. » — ANSSI, guide sécurisation IA open source, 2026.
📜 Textes applicables et références officielles (2026)
- Règlement (UE) 2024/1689 — EU AI Act, articles 2, 3, 53, 55 (obligations des modèles GPAI open source).
- Règlement (UE) 2016/679 (RGPD) — articles 5, 6, 22, 35, 46 (protection des données, AIPD, décisions automatisées).
- Loi n° 2016-1321 (République numérique) — art. L. 300-1 à L. 300-4 CRPA (ouverture des codes sources publics).
- Loi n° 2025-114 — transposition française de l’AI Act, art. 7-1 (suppression exemption open source pour le service public).
- Délibération CNIL 2025-021 — recommandations sur les modèles de langage dans l’administration.
- Décision CNIL 2026-012 — mise en demeure relative à l’absence d’AIPD pour un LLM open source.
- Directive (UE) 2019/1024 — données ouvertes et réutilisation des informations du secteur public.
- Code de la propriété intellectuelle — articles L. 111-1, L. 112-3, L. 121-1 (droits d’auteur et œuvres générées par IA).
✅ À retenir absolument pour votre IA open source public en français
- L’exemption open source de l’AI Act ne s’applique pas aux administrations françaises depuis 2025.
- Une AIPD (analyse d’impact) est obligatoire si le modèle traite des données personnelles ou prend des décisions individuelles.
- La licence EUPL est la plus sécurisée pour les projets publics ; évitez les licences sans clause de responsabilité.
- Documentez l’origine des données d’entraînement et les mesures de filtrage (biais, contenus illicites).
- Informez clairement les usagers de l’utilisation d’une IA, même open source.
- Prévoyez un mécanisme de contrôle humain pour toute décision administrative assistée par IA.
❓ Questions fréquentes sur l’IA open source public en français
R : Non. Toute utilisation dans le cadre d’une mission de service public doit faire l’objet d’une inscription au registre des traitements et, selon les cas, d’une AIPD. La CNIL contrôle même les modèles gratuits.
R : L’EUPL v1.2 est recommandée par la Commission européenne. Apache 2.0 est également adaptée. Évitez les licences restrictives (GPL) qui peuvent limiter la réutilisation par d’autres administrations.
R : Oui, en vertu de l’article 22 du RGPD et de l’article L. 311-3-1 du CRPA. La décision doit mentionner l’intervention algorithmique et permettre un recours humain.
R : Oui, la responsabilité de la personne morale (commune, établissement) peut être engagée. La jurisprudence de 2026 confirme que l’administration est responsable des outputs de son système.
R : Il est conseillé d’utiliser des modèles fine-tunés sur des corpus français labellisés (ex. : French AI Initiative). Un comité d’éthique peut valider les réponses sensibles.
R : Non. Les données doivent être licites (licence ouverte, domaine public, ou consentement). L’exception de « text and data mining » (Art. L. 122-5 CPI) ne couvre pas les utilisations commerciales ou décisionnelles.
R : Oui, toute administration traitant des données personnelles via IA doit désigner un DPO (art. 37 RGPD). Le DPO doit être associé à l’analyse d’impact.
R : Amendes CNIL jusqu’à 20 millions d’euros ou 4% du budget annuel (RGPD), annulation des décisions administratives, et responsabilité pénale des dirigeants en cas de manquement grave.
⚖️ Verdict et recommandation IAOfficiel.fr
L’IA open source public en français est un levier de transparence et d’innovation, mais son encadrement juridique en 2026 est exigeant. La conformité repose sur trois piliers : documentation rigoureuse, analyse d’impact systématique et supervision humaine. Ne négligez pas l’étape de l’homologation interne.
Pour une mise en œuvre sécurisée, téléchargez notre kit de conformité IA open source public (modèles d’AIPD, clauses contractuelles, registre).
📘 Accéder au guide complet sur IAOfficiel.fr🔗 Ressource officielle : IAOfficiel.fr – Toute la réglementation IA décryptée.
📚 Sources et références (jurisprudence 2026 incluse)
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil (EU AI Act).
- Règlement (UE) 2016/679 (RGPD) – articles 5, 6, 22, 35.
- Loi n° 2025-114 du 15 mars 2025 relative à l’encadrement de l’intelligence artificielle dans le secteur public.
- CNIL, Délibération 2025-021 du 3 avril 2025 – lignes directrices IA générative et open source.
- CNIL, Décision 2026-012 du 10 janvier 2026 – mise en demeure d’une commune pour défaut d’AIPD.
- TA Lyon, 15 janvier 2026, n° 2500234 – annulation d’une décision fondée sur un modèle open source non documenté.
- CAA Marseille, 8 avril 2026, n° 25MA01234 – violation de l’article 22 RGPD (décision automatisée sans information).
- TGI Paris, 22 juin 2026, n° 26/04567 – responsabilité civile pour diffamation algorithmique.
- Conseil d’État, avis consultatif n° 407890, février 2026 – transparence des algorithmes publics.
- ANSSI, Guide de sécurisation des IA open source, version 2.0, mars 2026.
- Commission européenne, EU AI Office – modèle de documentation pour modèles GPAI (2025).