Un projet d'IA sur cinq n'a pas de licence lisible par une machine

L'open source est un arrangement de licence avant toute autre chose. Un dépôt public n'est pas un permis : en vertu de la Convention de Berne, le code est protégé par le droit d'auteur dès sa rédaction, et l'auteur conserve tous les droits qu'il n'a pas explicitement cédés.

Nous avons donc posé une question ennuyeuse au catalogue : combien de projets d'IA disent réellement ce que vous avez le droit d'en faire ?

Un sur cinq ne dit rien

Sur les 8 246 dépôts que nous classons comme logiciels — cours, awesome-lists, feuilles de route et livres exclus, en utilisant la même règle que notre analyse de dormance — 1 641 n'ont pas d'identifiant de licence SPDX. Soit 19,9 %.

Le contenu exclu est pire, pour mémoire : 39,5 % des 2 090 cours et listes n'ont pas non plus de licence. Nous les avons exclus parce que personne ne déploie une feuille de route.

Ce n'est pas un problème de projet amateur

C'est la découverte à laquelle nous ne nous attendions pas. L'histoire intuitive — quelqu'un pousse une expérience de week-end et ne trouve jamais le temps d'ajouter un fichier LICENSE — produirait un taux qui chute fortement à mesure que les projets deviennent sérieux. Ce n'est pas le cas.

Un dépôt avec cinquante mille étoiles a presque exactement la même probabilité d'être sans licence qu'un dépôt avec deux cents. Parmi les 175 projets sans licence de plus de 10 000 étoiles se trouvent des outils que vous avez probablement installés.

Le langage ne change presque rien non plus : Go est le plus discipliné avec 15,1 %, C++ le moins avec 23,3 %, et tout le reste se situe entre 18 et 22 %.

« Sans licence » recouvre deux situations différentes

Nous devons être précis, car les deux cas se ressemblent de l'extérieur et ont des conséquences différentes.

Certains projets n'ont vraiment rien. Pas de fichier LICENSE, pas de conditions dans le README, aucune déclaration nulle part. Le défaut s'applique : tous droits réservés. Vous pouvez regarder le code. Vous ne pouvez pas le copier dans votre produit.

D'autres ont une licence qui n'est tout simplement pas l'un des identifiants standard. Une variante personnalisée, une licence source-available avec restrictions commerciales, un BSD modifié, des conditions rédigées par un avocat d'entreprise. Certains des plus grands noms de notre liste sans licence appartiennent à ce deuxième groupe — ils ne sont pas hors-la-loi, ils ne sont simplement pas standard.

Le problème pratique est que aucun outil automatisé ne peut faire la différence entre les deux. Votre analyseur de dépendances signale « inconnu » pour les deux. Votre tableau de bord de conformité signale « inconnu ». Et de plus en plus, l'agent de codage qui vient d'extraire cet extrait dans votre codebase n'a rien signalé du tout, parce qu'il n'a jamais regardé.

Ce que cela signifie en pratique

• Lire le code est toujours autorisé. Apprendre de lui, comprendre une approche, s'en inspirer — rien de tout cela n'a besoin d'une licence.
• Le distribuer ne l'est pas. Copier du code sans licence dans un produit que vous distribuez ou vendez est une violation du droit d'auteur, aussi public que soit le dépôt.
• L'exécuter en interne se situe dans une zone grise qui dépend de votre juridiction et de la manière dont le code vous est parvenu. Consultez un avocat, pas un blog.
• Demandez simplement. Ouvrir un ticket indiquant « nous aimerions utiliser ceci, envisageriez-vous d'ajouter une licence ? » fonctionne bien plus souvent que les gens ne le pensent. Les mainteneurs ont généralement oublié, et la plupart ajoutent une licence MIT en une semaine.

Si vous maintenez l'un de ces projets

Ajouter une licence prend environ quatre-vingt-dix secondes sur GitHub : Ajouter un fichier → Créer un nouveau fichier → taper LICENSE → un sélecteur de modèle apparaît. MIT pour une adoption maximale, Apache-2.0 pour la même chose avec une concession explicite de brevets, AGPL-3.0 si vous voulez que quiconque exécutant une version modifiée en tant que service publie ses modifications.

C'est la minute au rendement le plus élevé que vous puissiez consacrer à votre projet. Sans elle, toute entreprise sérieuse qui découvre votre travail a une politique qui dit : ne pas toucher.

Chaque page de projet sur olud.ai affiche la licence détectée à côté du score de santé — et l'affiche comme inconnue lorsqu'elle est inconnue, plutôt que de deviner.

Méthode

10 336 dépôts IA suivis au 7 août 2026. Les identifiants de licence proviennent de l'API GitHub, qui renvoie un identifiant SPDX lorsqu'elle reconnaît le fichier LICENSE et rien lorsqu'elle ne le reconnaît pas. Nous comptons « aucune licence identifiable » comme l'absence de cet identifiant — ce qui, comme expliqué ci-dessus, fusionne les projets véritablement sans licence avec ceux utilisant des termes non standard. Nous avons séparé les logiciels du contenu (cours, listes, livres) avec la même règle de nom et de langue utilisée dans notre analyse de dormance, et rapportons le chiffre des logiciels.

Cet article décrit ce que nos données montrent à propos des métadonnées de licence. Il ne s'agit pas d'un conseil juridique, et les auteurs ne sont pas avocats.