Licences — ce qui déclenche une obligation, et pour qui¶
Pas un conseil juridique
Cette page est la règle de travail du parc. Elle a été écrite à partir d'une note de l'équipe Legal de STA Inc. (24 octobre 2026), revue par sa Chief Legal Officer le 25 octobre 2026. Un cas qui engage — vente, publication, contrat, litige — remonte à l'équipe Legal avant d'agir.
Comme les autres pages de cette section, elle décrit des principes et la façon de les appliquer. L'inventaire du jour et les écarts ouverts vivent dans le vault privé.
Le geste, pas l'usage¶
Une licence ne s'active pas parce qu'on utilise un logiciel. Elle s'active sur un geste :
| Geste | Exemples | Ce qui se déclenche |
|---|---|---|
| Usage interne — personne d'autre ne reçoit de copie | un service qui tourne pour le parc seul | presque rien : garder les notices. Exception : les licences source-available, qui peuvent limiter l'usage même interne |
| Exposition réseau — des tiers interagissent avec le logiciel à distance | un service publié sur Internet | AGPL § 13, si la version est modifiée ; licences source-available (interdiction d'offrir le produit en service) |
| Distribution — un tiers reçoit une copie, source ou binaire | dépôt public, image de conteneur tirable sans authentification, binaire envoyé | GPL/LGPL/MPL : source correspondant ; Apache : LICENSE + NOTICE + mention des changements ; MIT/BSD : notices |
Deux conséquences :
- un registre d'images privé ne distribue rien ; le rendre public, si ;
- un dépôt public sans fichier
LICENSEn'est pas libre : il est tous droits réservés.
Licences open source¶
| Licence | Type | On peut | Obligation qui se déclenche |
|---|---|---|---|
| MIT | permissive | tout : modifier, vendre, fermer, SaaS | à la distribution : copyright + texte de licence |
| BSD 2/3-Clause | permissive | idem MIT | idem ; 3-Clause : pas le nom des auteurs en promotion |
| Apache-2.0 | permissive + brevets | idem MIT, licence de brevets explicite | à la distribution : licence, NOTICE conservé, fichiers modifiés marqués |
| MPL-2.0 | copyleft faible, par fichier | intégrer dans du code fermé | à la distribution : source des fichiers MPL |
| EPL-2.0 | copyleft faible, par module | idem MPL | à la distribution : source des modules EPL modifiés |
| LGPL | copyleft faible, bibliothèque | lier depuis du code fermé | à la distribution : source de la bibliothèque + possibilité de la remplacer |
| GPL-2.0 | copyleft fort | tout usage, commercial compris | à la distribution : œuvre combinée sous GPL-2.0 + source ou offre écrite (§ 3) ; incompatible avec Apache-2.0 en GPL-2.0-only |
| GPL-3.0 | copyleft fort | tout usage ; usage interne et service non distribué libres | à la distribution de binaires : source correspondant, scripts de build compris (§ 6) |
| AGPL-3.0 | copyleft fort + réseau | idem GPL-3.0 | idem GPL, plus § 13 : une version modifiée utilisée à distance offre son source à ses utilisateurs |
Source-available — ce n'est pas de l'open source¶
Le code se lit, mais l'usage est restreint.
| Licence | Restriction principale |
|---|---|
| Sustainable Use License (n8n) | usage interne ou personnel ; pas de revente, pas d'offre en service |
| Elastic License v2 | pas d'offre en service managé ; pas de contournement de clé de licence |
| SSPL / RSALv2 (Redis 7.4) | offre en service : publier toute la pile (SSPL) / interdit comme produit base de données (RSAL) |
| Business Source License 1.1 | restriction propre à chaque projet (« Additional Use Grant ») jusqu'à sa date de conversion |
| Licences « usage personnel » | usage commercial soumis à licence |
Règle du parc : source-available = usage interne seulement, jamais exposé à des tiers comme service, jamais revendu, sauf avis écrit de l'équipe Legal.
Open core. Plusieurs projets MIT embarquent un répertoire enterprise sous licence propriétaire. On n'active jamais une fonction enterprise sans licence, et on ne patche jamais un contrôle de licence.
Propriétaire. Le contrat (EULA) fait foi. Aucun outil de contournement — crack, keygen, patch de licence — n'est exécuté ni stocké dans le parc.
Deux domaines d'usage : privé et commercial¶
Le parc sert une activité commerciale et des usages privés. Une licence se juge contre le domaine que l'outil sert :
| Domaine | Exemples | Licence acceptable |
|---|---|---|
| Privé | médiathèque et loisirs, photos de famille, domotique | l'usage personnel suffit |
| Commercial | l'activité, ses agents, ses applications, ses outils de production | doit permettre l'usage commercial en production |
| Socle | infrastructure commune : reverse proxy, identité, forge, sauvegardes, supervision | règle commerciale : elle sert l'activité |
Un outil privé ne sert jamais l'activité — aucune donnée, aucun client, aucun flux commercial ne le traverse. C'est la seule condition qui rend une licence « usage personnel » suffisante. Un outil partagé entre les deux domaines suit la règle la plus stricte.
La règle, activité par activité¶
| Activité | Règle | Obligation concrète |
|---|---|---|
| Auto-héberger une image tierce non modifiée | autorisé | licence classée avant la mise en service ; notices conservées ; source-available → interne |
| Modifier un logiciel tiers et l'exposer | sous condition | AGPL : lien vers le source de la version déployée ; Apache : fichiers modifiés marqués ; clauses d'attribution propres (« powered by ») respectées |
| Construire une image en local | autorisé, registre privé | label OCI org.opencontainers.image.licenses ; SBOM ; publier l'image = distribution |
| Publier un dépôt | sous condition | LICENSE à la racine (MIT par défaut) ; code tiers copié avec sa licence et ses notices |
| Copier du code tiers | sous condition | licence identifiée avant de copier ; compatible avec le dépôt d'accueil ; attribution en commentaire |
| Contribuer en amont | sous condition | DCO (Signed-off-by) = attestation sur du code dont on a le droit ; CLA = contrat, signé par une personne, jamais par un agent |
| Servir un modèle open-weight | sous condition | licence du modèle notée à son entrée (voir plus bas) |
| Appeler une API d'IA commerciale | autorisé | conditions du fournisseur : c'est un contrat, pas une licence |
| Générer du code ou du texte par IA | sous condition | un long bloc reproduit à l'identique se traite comme du code tiers d'origine inconnue |
| Scraper, extraire des données | sous condition | réserve de fouille de l'ayant droit respectée ; pas d'extraction substantielle d'une base protégée ; RGPD si données personnelles |
| Logos, icônes, polices | sous condition | logos = marques, usage descriptif seulement ; icônes et polices selon leur licence (Apache, MIT, OFL) |
| Publier de la documentation | autorisé | citations courtes et sourcées ; extraits Stack Overflow sous CC BY-SA |
| Médias (livres, audio, vidéo) | droit d'auteur, pas licence logicielle | voir Contenus |
Une activité absente de ce tableau : on n'avance pas, on demande à l'équipe Legal, et la ligne s'ajoute ici.
Modèles open-weight¶
« Open-weight » n'est pas « open source ».
| Famille | Licence | Ce qui compte |
|---|---|---|
| Llama 3.1 / 3.2 | Llama Community License | commercial permis sous 700 M d'utilisateurs actifs mensuels ; « Built with Llama » ; un dérivé distribué porte « Llama » en tête de nom ; politique d'usage acceptable. Llama 3.2 multimodal : droits non concédés dans l'UE |
| Gemma et ses dérivés | Gemma Terms of Use | politique d'usage interdit, qui suit le modèle et ses dérivés |
| Qwen 2.5 / 3 | Apache-2.0 en général | la licence change selon la taille : vérifier chaque variante |
| Mistral 7B | Apache-2.0 | notices |
| DeepSeek-R1 distillés | MIT (+ licence de la base) | notices |
| Embeddings (bge-m3, nomic-embed) | MIT, Apache-2.0 | notices |
Contenus¶
- Stack Overflow : CC BY-SA 4.0 depuis mai 2018 — attribution et partage à l'identique.
- Sorties d'IA : probablement non protégées par le droit d'auteur en droit de l'UE faute d'apport créatif humain ; le risque réel est la reproduction d'un code sous licence.
- Fouille de textes et de données : permise sur un contenu licitement accessible, sauf réserve exprimée par l'ayant droit (directive (UE) 2019/790, art. 4).
- Médias : la copie privée suppose une source licite (CJUE, C-435/12, 2014) ; la mise à disposition du public n'en relève pas ; le contournement d'une mesure technique de protection est interdit (directive 2001/29/CE, art. 6).
Qui fait quoi¶
| Rôle (PACSI) | Qui |
|---|---|
| Exécute | l'agent ou la session qui fait le geste : classe la licence, pose le label, le LICENSE |
| Rend des comptes | le propriétaire du parc |
| Contrôle | Licensing Officer (licences, modèles), GDPR Officer (données personnelles), Contract Manager (contrats, API, EULA) |
| Conseille | Chief Legal Officer ; QA pour la vérification des faits |
| Informé | Direction Gouvernance IA, Knowledge & Legal ; documentation |
En cas de doute : on n'intègre pas, on demande.
Dernière vérification de cette page : 2026-10-25