Guide d’utilisation des outils d’assistance par IA pour contribuer au noyau Linux

• Document officiel du noyau Linux par Linus Torvalds, indiquant que lors d’une contribution avec des outils de codage par IA, il faut suivre strictement le processus de développement et le style de code existants du noyau
• L’IA ne peut pas ajouter de balise Signed-off-by — juridiquement, seul un humain peut certifier, et le développeur humain assume entièrement la revue du code généré par l’IA, le respect des licences et la responsabilité juridique
• Pour le code auquel une IA a contribué, il faut indiquer le nom du modèle:version ainsi que les outils d’analyse, dans un format tel que Assisted-by: Claude:claude-3-opus coccinelle sparse
  • Les outils de développement de base comme git, gcc et make sont exclus de cette mention
• Toutes les contributions doivent être compatibles GPL-2.0-only et l’identifiant de licence SPDX est obligatoire

[GN⁺]

Réactions sur Hacker News

• La règle de base est qu’on peut utiliser l’IA, mais que la responsabilité du commit incombe entièrement à l’humain
  L’idée que le code doit respecter la licence paraît relever du bon sens. C’est le genre de point avec lequel la plupart des développeurs seraient d’accord

  • C’est une politique vraiment normale, rationnelle au point d’en être presque ennuyeuse
    Ce qui surprend, c’est qu’il faille l’écrire noir sur blanc
    En ce moment, beaucoup publient du code généré par l’IA dans l’open source sans même le comprendre, puis, quand un problème survient, se défaussent en disant « c’est l’IA »
    Dans ce contexte, il est naturel que les mainteneurs soient sceptiques vis-à-vis du code produit par l’IA
  • Dans la communauté Linux, beaucoup sont très opposés aux commits assistés par l’IA
    Certains considèrent Torvalds comme un traître à cause de cette politique, et d’autres disent qu’ils ne contribueront plus jamais si du code généré par l’IA est fusionné
  • Si la sortie de l’IA n’est pas sous GNU GPL, on peut se demander si le simple fait qu’un développeur Linux l’ajoute suffit à en faire du code sous GPL
  • L’IA n’est qu’un simple outil (tool), donc on peut se demander pourquoi il faudrait la mentionner explicitement comme auteur

• J’ai vu récemment Greg KH appliquer le relecteur IA Sashiko à tous les patchs, donc cette politique donne un sentiment de contraste
  Le relecteur IA aide réellement, et pourtant on reste bloqué sur la discussion de la « responsabilité du code IA »
  Les parties vraiment dangereuses, ce sont les conditions de concurrence et les problèmes de verrouillage sur lesquels l’IA se trompe avec assurance
  Je me demande si cette politique est une solution de long terme, ou une mesure transitoire avant que des systèmes comme Sashiko ne renforcent le filtrage côté maintenance

• La politique annoncée par Torvalds précise clairement que l’humain doit relire, signer et assumer la responsabilité du code IA
  On dirait qu’elle a probablement été relue par des avocats, et qu’elle pourrait devenir une référence pour le développement assisté par l’IA à l’avenir

  • Mais le document lui-même a en réalité été rédigé par Sasha Levin à partir des discussions entre mainteneurs Linux
  • Le Signed-off-by est déjà largement une formalité, et beaucoup de nouveaux contributeurs l’ajoutent sans même en comprendre le sens
    Il m’est déjà arrivé que mon nom soit ajouté automatiquement quand mon patch a été intégré dans le refactoring de quelqu’un d’autre
    En pratique, n’importe qui peut ajouter Co-developed-by ou Signed-off-by, et la portée juridique est presque nulle

• Comme les LLM ne peuvent pas citer leurs sources, on peut se demander comment garantir le respect des licences

  • En Allemagne, les sorties de LLM ne sont pas protégées par le droit d’auteur
    L’auteur peut être l’utilisateur de l’IA ou le développeur du modèle, ce qui crée une forte incertitude juridique
    Dans une telle situation, il est même possible qu’à long terme la licence du noyau elle-même perde de sa force
    Le sujet est abordé dans l’article de KPMG Law sur l’IA et le droit d’auteur

• Réutiliser le tag Assisted-by: pour signaler un modèle d’IA paraît étrange
  À l’origine, ce tag servait à indiquer l’aide d’une personne, mais il a maintenant deux significations, ce qui crée de la confusion
  En général, on utiliserait plutôt un tag distinct comme AI-assistant:

• La bonne direction pour l’open source est de rendre explicite le lien entre humains et agents, avec une responsabilité finale de validation portée par l’humain
  Merci à Linus

• Il est rassurant de voir affirmé ce principe de bon sens : même si le code est produit par l’IA, la responsabilité reste humaine

• Cela ressemble à un retournement du vieux dicton « un mauvais ouvrier accuse ses outils »
  Au final, le choix de l’outil et la responsabilité de son usage reviennent à l’humain

• Cette politique ne protégera pas Linux contre une responsabilité pour violation du droit d’auteur
  C’est un peu comme un détaillant qui dirait « je pense que le fournisseur a bien retiré le THC »
  Ce n’est pas parce qu’on proclame soi-même son exonération que la responsabilité juridique disparaît

  • Mais le noyau Linux n’est pas une entité juridique ; c’est un ensemble de contributeurs
    Même si du code contrefaisant y était inclus, les cibles d’un procès seraient plutôt les utilisateurs de Linux ou les entreprises
    En pratique, il est peu probable qu’un tel procès ait lieu
  • Beaucoup d’entreprises utilisent du code IA, mais cela ne signifie pas pour autant qu’elles assument toutes une responsabilité juridique
  • Les projets open source, contrairement aux magasins, ne fournissent pas de garantie au consommateur
    L’analogie n’est donc pas pertinente
  • En réalité, le code IA n’est pas forcément plus risqué
    Un humain peut très bien copier-coller du code privé et le signer
    Au fond, le vrai problème, c’est l’humain qui ment

• Il y a une clause disant que tout le code doit être compatible avec GPL-2.0-only,
  mais avec une IA entraînée sur du code sous licences variées, on peut se demander comment cela pourrait être garanti

  • La réponse est simple : la personne qui a utilisé l’IA en porte la responsabilité
    Si l’IA se trompe, cette responsabilité retombe aussi sur l’humain. Si cela inquiète, il ne faut pas utiliser l’IA
  • En réalité, les développeurs humains non plus n’ont pas vu uniquement du code GPL
  • L’interprétation du droit d’auteur relève des tribunaux. Ce n’est pas à Torvalds de prédire ce problème
    En revanche, si l’IA se met à référencer d’autres bases de code à l’exécution, cela peut devenir plus risqué
  • Certains soutiennent que le code produit par l’IA relève du domaine public, donc qu’il ne viole pas la GPL
    Mais cette approche risque au contraire de diluer le sens même des licences
    Un simple commentaire disant « écrit à 100 % par vibecoding mais relu par moi » aurait une faible valeur juridique
    Certains proposent même d’ouvrir un ticket de relicensing dans le domaine public pour les projets « 100% vibecoded » afin d’alerter sur ce problème