Un code généré peut-il reproduire du code open source protégé ?

Introduction

Le risque de reproduction involontaire est le second grand risque du vibe-coding, après celui de l’absence de protection. Il est réel, mesurable et réductible.

L’origine du risque

Un système génératif produit du code à partir de données d’entraînement, qui comprennent des dépôts publics.

Dans certaines configurations, notamment pour des séquences fréquemment répétées, il peut restituer des portions correspondant à du code existant.

Ce phénomène est documenté et les éditeurs ont mis en place des mécanismes destinés à le limiter.

Il n’est pas supprimé.

Les conditions de la contrefaçon

La contrefaçon suppose la reproduction, sans autorisation, d’une œuvre protégée.

Deux conditions se dégagent.

Le code reproduit doit être original : une séquence banale, dictée par la technique ou constituant une solution unique à un problème donné, n’est pas protégée.

La reproduction doit porter sur des éléments protégés, en quantité ou en qualité suffisante pour caractériser l’emprunt.

Une similarité de quelques lignes techniques ne caractérise généralement pas une contrefaçon ; la reprise d’une fonction entière, avec son organisation et ses commentaires, la caractérise.

L’indifférence de la bonne foi

La contrefaçon s’apprécie objectivement.

L’ignorance de l’existence du code source ne constitue pas une défense.

Celui qui exploite le code en répond, quelle que soit la manière dont il a été produit.

Cette règle explique que le risque pèse sur l’utilisateur de l’outil, non sur son éditeur.

Les indices de reproduction

Ils sont techniques et connus.

La présence de commentaires identiques, notamment en langue étrangère ou faisant référence à un projet.

Des noms de variables ou de fonctions caractéristiques, sans rapport avec le contexte du projet.

La reproduction d’erreurs ou de particularités sans justification technique.

Des blocs de code correspondant exactement à un dépôt public.

La présence de mentions de licence ou de droits d’auteur dans le code produit, indice le plus direct.

Les mécanismes de filtrage

Les principaux outils proposent des fonctions destinées à détecter et à supprimer les productions correspondant à du code public.

Leur activation est fréquemment une condition du bénéfice des garanties offertes par les éditeurs.

Elles doivent donc être activées et leur activation documentée.

Leur désactivation, même ponctuelle, expose et fait perdre la garantie.

Les outils de vérification

Ils constituent la seconde ligne.

Les outils de détection de similarité comparent le code produit à des bases de code public.

Les outils d’analyse de composition logicielle identifient les composants tiers et leurs licences.

Leur intégration dans la chaîne de construction, avec production de rapports conservés, constitue la mesure de diligence attendue.

Ce sujet fait l’objet d’un article dédié de ce guide.

Le risque particulier des licences à réciprocité

La reproduction d’une portion de code sous licence à réciprocité pose une difficulté supplémentaire.

Au-delà de la contrefaçon, elle peut déclencher les obligations de la licence, notamment la mise à disposition du code source des travaux dérivés en cas de distribution.

Ce risque, traité dans un article dédié, est celui qui inquiète le plus les acquéreurs et les investisseurs.

Les conséquences d’une réclamation

Une mise en demeure de cesser l’exploitation.

Une action en contrefaçon, avec demande d’interdiction et de réparation.

Une saisie-contrefaçon, permettant la description ou la saisie des éléments litigieux.

Une obligation de réécrire les portions concernées, dont le coût peut être significatif.

Une exposition contractuelle envers les clients, au titre des garanties données.

Les mesures de réduction

Activer et ne jamais désactiver les mécanismes de filtrage des outils.

Intégrer un outil de détection de similarité à la chaîne de construction.

Produire et maintenir un inventaire des composants tiers.

Réviser humainement les portions substantielles.

Supprimer toute mention de licence apparaissant dans le code produit, ou traiter la portion concernée comme un composant tiers à part entière.

Conserver les rapports de vérification, qui démontrent la diligence.

Documenter la vérification

Ce qui protège n’est pas l’absence de risque, mais la démonstration de la diligence. Notre expertise en propriété intellectuelle, média et art accompagne ces dispositifs.

En résumé

• Le risque de reproduction existe, réduit mais non supprimé par les mécanismes de filtrage.
• La contrefaçon suppose la reproduction d’éléments originaux, non de séquences banales.
• La bonne foi n’exonère pas : celui qui exploite le code en répond.
• Une mention de licence apparaissant dans le code produit est l’indice le plus direct.
• Activer les filtres, intégrer la détection de similarité et conserver les rapports.