Une grande partie des logiciels modernes est construite sur du code ouvert.
Frameworks, bibliothèques, outils d’infrastructure, environnements d’exécution et modèles dépendent, directement ou indirectement, du travail de communautés et d’organisations qui publient de la technologie sous différentes licences.
Utiliser de l’open source ne signifie pourtant pas que ce logiciel soit exempt de conditions.
Chaque licence définit des droits et des obligations.
Et lorsqu’un projet commence à grandir, gérer correctement ces dépendances cesse d’être uniquement une question de développement.
Cela devient une composante de la gouvernance technologique de l’entreprise.
Qu’est-ce que OpenChain ISO/IEC 5230
OpenChain ISO/IEC 5230 définit les exigences d’un programme de conformité aux licences open source.
Son objectif est d’établir au sein d’une organisation des processus permettant d’identifier et de gérer de manière cohérente les obligations associées aux logiciels libres qu’elle utilise.
La norme ne détermine pas quelles technologies une entreprise doit choisir.
Elle ne certifie pas non plus la sécurité ni la qualité d’un produit.
Elle se concentre spécifiquement sur le processus de conformité associé aux licences open source.
Pourquoi c’est important en intelligence artificielle
En IA, les dépendances sont devenues particulièrement complexes.
Une application peut intégrer simultanément des bibliothèques traditionnelles, des frameworks de machine learning, des environnements d’exécution, des jeux de données, des poids de modèles et d’autres artefacts d’entraînement.
Et tout ce qui est publiquement qualifié d’« open source » n’utilise pas la même licence ni ne confère les mêmes droits.
Certains composants autorisent la modification et l’usage commercial avec peu d’obligations.
D’autres exigent de conserver des mentions, de publier certaines modifications ou de respecter des conditions de distribution précises.
Dans le cas des modèles d’intelligence artificielle, il existe en outre des licences de poids qui ne coïncident pas toujours avec les licences open source traditionnelles utilisées pour les logiciels.
Pour une entreprise qui étudie différents modèles et architectures, connaître ces différences est fondamental.
La conformité dès les premières étapes
Il est fréquent que des sujets tels que la documentation des dépendances, les attributions ou la revue des licences soient reportés à une étape ultérieure de l’entreprise.
Le problème est que reconstituer des années plus tard quel composant est entré dans un produit, quelle version a été utilisée et à quelles conditions peut s’avérer considérablement plus difficile.
Notre approche est différente.
Nous préférons introduire ces pratiques pendant que l’architecture est encore en train de grandir.
Cela permet aux décisions techniques d’intégrer dès le départ des questions comme :
- quelle licence porte une dépendance ;
- quelles obligations elle introduit ;
- si elle autorise l’usage prévu ;
- quelles mentions doivent être conservées ;
- et quelles implications aurait la distribution ou la modification de ce composant.
Open source ne signifie pas absence de responsabilité
Nous jugeons particulièrement important de communiquer cette distinction, car le terme prête à certaines confusions.
Qu’un projet publie son code ou ses poids ne signifie pas automatiquement qu’il puisse être utilisé sans restrictions.
Cela ne signifie pas non plus que toutes les licences ouvertes soient équivalentes.
L’innovation fondée sur l’open source fonctionne précisément parce qu’il existe des règles permettant de réutiliser la technologie dans le respect des conditions choisies par ses auteurs.
Les gérer correctement fait partie de la construction d’un logiciel professionnel.
Une couche supplémentaire de gouvernance technologique
Pour Myukura, travailler conformément à OpenChain s’inscrit dans un principe plus large.
La confiance dans un produit technologique ne dépend pas uniquement de ce que l’utilisateur peut voir dans l’interface.
Elle dépend aussi de la façon dont il est construit.
Architecture, sécurité, confidentialité, gestion des dépendances, licences et supervision des systèmes d’intelligence artificielle font partie de cette infrastructure invisible.
À mesure que Myukura évolue, notre intention est que ces pratiques grandissent avec le produit et non après lui.
Car développer une intelligence artificielle responsable ne consiste pas seulement à contrôler ce que répond un modèle.
Cela implique aussi de savoir avec quoi le système est construit, à quelles conditions il peut être utilisé et quelles responsabilités nous assumons en le faisant.