Début octobre, Qualcomm a annoncé son intention de racheter Arduino, célèbre pour ses micro-ordinateurs. Des promesses avaient été faites sur l’indépendance de la structure et le respect de la communauté. Mais de récents changements dans les conditions d’utilisation ont créé une polémique.

Le 7 octobre, Qualcomm signait un accord « pour acquérir Arduino, entreprise leader dans le matériel et les logiciels open source ». Pour le géant de l’électronique, il s’agissait de renforcer son « portefeuille inégalé de technologies et produits d’informatique en périphérie (edge) ». Qualcomm s’empressait de préciser qu’Arduino conserverait une certaine indépendance, dont sa marque, ses outils et sa mission.

• Qualcomm rachète Arduino, qui montre son Uno Q, une carte « double cerveau »

« Arduino préservera son approche ouverte et son esprit communautaire tout en débloquant une plateforme full-stack pour le développement moderne », affirmait ainsi Qualcomm. L’entreprise évoquait au passage les plus de 33 millions d’utilisateurs actifs de la communauté Arduino, qu’elle voulait rassurer. Le rachat leur permettrait ainsi d’accéder « à la puissante pile technologique de Qualcomm Technologies et à sa portée mondiale ». Au passage, Arduino lançait son Uno Q.

Des changements dans les conditions d’utilisation

Dans un billet publié il y a quelques jours sur LinkedIn, le compte d’Adafruit Industries – un revendeur bien connu d’électronique et de micro-ordinateurs – dit tout le mal qu’il pense de la réécriture des conditions d’utilisation et de la politique de confidentialité.

« Les nouveaux documents introduisent une licence irrévocable et perpétuelle sur tout ce que les utilisateurs téléversent, une surveillance étendue des fonctionnalités d’IA, une clause empêchant les utilisateurs d’identifier une possible violation de brevet, la conservation des noms d’utilisateurs pendant des années même après suppression de compte, et l’intégration de toutes les données utilisateur (y compris les mineurs) dans l’écosystème mondial de données de Qualcomm », fustige ainsi Adafruit.

Celle-ci critique plusieurs passages transformant une plateforme communautaire en « service d’entreprise strictement contrôlé » conçu pour récupérer autant de données que possible. Elle pointe notamment l’interdiction explicite de pratiquer la rétro-ingénierie, ou même de « s’engager dans toute autre activité conçue pour identifier les algorithmes et la logique de fonctionnement de la plateforme» (point 8.2). Adafruit regrette d’autant plus ce changement qu’Arduino est appréciée dans l’enseignement, la recherche, les militants de l’open source et les bidouilleurs.

Le reste du billet est cependant plus alchimique, Adafruit parlant des fraudes de Qualcomm, dont la condamnation récente de l’ancien vice-président Karim Arabi à quatre ans de prison pour fraude. Mais le résultat est là : des dizaines de commentaires négatifs et une condamnation sans équivoque de ces changements. Le billet d’Adafruit est rapidement relayé dans la presse, par exemple chez MiniMachines en France ou The Register au Royaume-Uni. Sans surprise, la levée de boucliers est immédiate, notamment sur Reddit. Le média britannique estimait d’ailleurs quelques jours après l’annonce du rachat que la situation évoluerait fortement pour Arduino.

Arduino n’est pas d’accord

Dans un billet publié le 21 novembre, Arduino nie cependant tout en bloc. La société se dit « reconnaissante » que sa communauté se soucie suffisamment d’elle pour lui faire remonter ses craintes.

« Soyons absolument clairs », enchaine toutefois l’entreprise, « nous étions open source bien avant que cela ne devienne à la mode. Nous n’allons pas changer maintenant. L’acquisition par Qualcomm ne modifie pas la manière dont les données utilisateurs sont traitées ni la manière dont nous appliquons nos principes open source ». La société ajoute qu’elle modifie régulièrement ses documents juridiques pour y faire refléter « de nouvelles fonctions, des évolutions de régulations et les meilleures pratiques ». Il ne s’agirait ainsi que d’une évolution de plus.

Effectivement, de nombreuses ressources Arduino sont sous licence GPLv3 ou AGPLv3, qui ne peuvent pas être changées d’un claquement de doigt. La société indique ainsi dans son propre billet que tout ce qui touche à l’open source, la rétro-ingénierie, la propriété des créations, les données et la confidentialité des mineurs ne change pas.

En fait, Arduino pointe que l’essentiel des changements, surtout sur la rétro-ingénierie, s’applique aux applications cloud SaaS (Software-as-a-Service) : « Tout ce qui était ouvert reste ouvert ». Et d’expliquer notamment que les lancements de l’Uno Q et d’Arduino App Lab, qui introduisent des fonctions dopées à l’IA optionnelles, ont obligé l’entreprise à mettre à jour ses conditions « pour refléter ces nouvelles capacités et encourager leur utilisation sûre, responsable et éthique ».

Pour Adafruit, ce n’est pas assez

De quoi apaiser les craintes ? Pas vraiment, comme l’ont montré Limor Fried, fondateur et ingénieur d’Adafruit, ainsi que Phillip Torrone, rédacteur en chef adjoint, chez Ars Technica. Ils estiment que le billet d’Arduino laisse « de nombreuses questions sans réponse ». Ils renouvellent la question sur la rétro-ingénierie et soulignent que la règle ne cadre pas avec une entreprise qui a bâti son succès sur l’open source.

Les deux responsables ciblent également les fonctions IA. Ils relèvent le manque d’information, Arduino ne précisant pas « quelles données de ces systèmes IA sont conservées, qui y a accès, et pourquoi cette collecte ne peut être refusée qu’en n’utilisant pas ces fonctions ». Ils soulignent aussi le passage sur la recherche éventuelle d’infractions aux brevets : « Aucune entreprise open source ne met dans ses conditions d’utilisation un texte interdisant aux utilisateurs d’identifier d’éventuels problèmes de brevets. Pourquoi cela a-t-il été ajouté, et qui l’a demandé ? ». Contactées par Ars Technica, ni Arduino ni Qualcomm n’ont souhaité répondre, renvoyant vers le billet de blog.

Arduino est désormais dans un problème de communication, dont il est complexe de sortir indemne. Tout changement dans les conditions d’utilisation est rapidement relayé, d’autant plus quand l’entreprise est spécialisée dans l’open source. Mozilla en a fait les frais en mars dernier, avec une volée de bois vert face à une communauté dans l’incompréhension.

Dans un article d’IEEE Spectrum daté du 18 octobre, l’analyste Leonard Lee indiquait à ce titre : « Je pense que la dernière chose que Qualcomm veut, c’est de saper la communauté des développeurs, parce que ce n’est pas un actif que vous achetez. Elle est changeante et peut disparaître en un clin d’œil si vous faites un mauvais pas. »