Debian n’a voté ni pour une IA sans limite ni pour une interdiction générale. L’option gagnante de la General Resolution sur “LLM usage in Debian” pose une règle pratique: les outils génératifs peuvent aider, mais la contribution doit respecter les standards du projet et la responsabilité reste humaine.

Un mainteneur relit une contribution open source assistée par IA avec tests, licences et responsabilité

Ce cas dépasse Linux. Debian est une infrastructure du logiciel libre; sa décision sert de modèle aux entreprises et aux mainteneurs: l’IA peut aider à écrire du code, de la documentation ou un correctif, mais elle ne porte ni la qualité, ni la licence, ni la sécurité, ni la maintenance.

Ce que Debian a décidé

La page officielle indique une discussion du 23 juillet au 13 août 2026, un vote du 15 au 28 août UTC et un résultat publié le 29 août. Le Choice 5, “Responsible Use of Generative AI”, a gagné. Debian neither endorses nor prohibits generative AI dans le développement, la maintenance, la documentation, le packaging et les autres médias du projet. La phrase clé: l’aide d’une IA ne réduit pas la responsabilité du contributeur; il doit comprendre, relire, tester et modifier si nécessaire.

Pourquoi cela dépasse Debian

Beaucoup d’équipes ont dépassé la question “les développeurs peuvent-ils utiliser l’IA?”. Copilot, Cursor, Claude Code, Codex, ChatGPT ou des modèles locaux sont déjà là. La vraie question est ensuite: qui possède le diff, qui vérifie la licence, qui détecte les problèmes de sécurité, qui maintient le changement? Debian transforme le débat en gouvernance: l’outil compte moins qu’un apport explicable et maintenable.

La revue devient le goulet

Un LLM réduit le coût d’écriture d’un patch, d’une issue ou d’une documentation, mais pas celui de la revue. Le mainteneur doit toujours lire, tester, examiner le design, la licence et le coût futur. Si l’auteur envoie une sortie générée qu’il ne comprend pas, le premier ingénieur réel de la boucle est le reviewer. Le AI slop est donc un transfert de coût vers la communauté.

Risque juridique et sécurité

Le texte gagnant reconnaît les questions non résolues de copyright, d’auteur, de licence et de reproduction possible de données d’entraînement. Il avertit aussi de ne pas envoyer à des services d’IA des communications privées, bugs de sécurité sous embargo, clés cryptographiques, credentials ou informations non publiques. Pour les entreprises, c’est déjà une règle: secrets, données clients et vulnérabilités ne vont pas dans un prompt externe pratique.

Pour les mainteneurs

La règle utile: ne soumets pas ce que tu ne peux pas expliquer. Un mainteneur peut fermer un PR non parce qu’il est “IA”, mais parce que l’auteur ne répond pas, ne fournit pas de tests, envoie un diff trop large ou ne comprend pas l’impact. La disclosure doit aider: “l’IA a aidé au brouillon; j’ai revu le diff et lancé ces tests” est utile.

Pour les entreprises

Une politique interne doit dire quels outils sont approuvés pour le code, quelles données sont interdites, quand déclarer une aide substantielle de l’IA, qui vérifie les licences, quand exiger approbation humaine, CI, revue sécurité et journaux d’audit. Principe central: la personne qui soumet le travail en est propriétaire. L’IA aide; elle ne prend pas la responsabilité.

Conclusion

La décision de Debian n’est pas une victoire du vibe coding négligent. C’est un refus mature de deux simplifications: croire qu’une interdiction serait facile à appliquer et accepter une sortie générée sans jugement humain. L’adoption mature de l’IA se mesure à la capacité d’intégrer le résultat dans de vrais workflows en gardant contrôle et responsabilité.

Une politique minimale en une page

Cinq règles suffisent pour commencer. Premièrement: l’auteur du PR comprend le changement et en répond. Deuxièmement: les données sensibles ne vont pas dans des modèles non approuvés. Troisièmement: une aide substantielle de l’IA est déclarée quand elle aide la revue, la provenance ou la sécurité. Quatrièmement: bulk submissions, mass bug filing et refactors automatisés exigent une discussion préalable. Cinquièmement: le mainteneur peut demander une explication courte, des tests et un résultat reproductible, pas un long argument généré.

Cela ne règle pas toute la philosophie de l’auteur, mais protège les vrais goulets: temps de revue, incertitude juridique, secrets et maintenance. C’est pourquoi le cas Debian est utile pour AI Practice: il transforme “autoriser ou interdire” en règles d’exploitation.