Herramientas open source españolas que sí aguantan producción

En febrero de 2026 el Gobierno aprobó una hoja de ruta para acelerar la soberanía digital con diez líneas de acción. Una de ellas es empujar código abierto y software libre en las administraciones públicas. La suite ofimática que propone como referencia, openDesk, es alemana.

No lo digo como crítica: openDesk está bien y reutilizar lo que ya funciona es exactamente lo que debe hacer una administración. Lo digo porque revela un punto ciego. Antes de preguntarnos qué adoptamos de fuera, conviene mirar qué hay ya construido aquí. Y la lista de herramientas open source españolas en producción real es bastante más larga de lo que se cuenta.

Este artículo es ese inventario, con lo que normalmente falta: qué licencia tiene cada proyecto, cuánta tracción real tiene, quién lo mantiene hoy y qué pasó con los que fueron comprados. Porque cuatro de los proyectos de esta lista ya no son españoles, y esa es la parte más útil de todo el ejercicio.

Aviso de parte: nosotros construimos Levante desde España, así que también estamos en la lista. Lo señalo donde toca.

Qué cuenta como herramienta open source española

Una herramienta open source española es un proyecto de software cuyo código se publica bajo una licencia aprobada por la OSI, cuyo equipo fundador y núcleo de desarrollo está en España, y cuya gobernanza (quién decide el roadmap y quién puede fusionar cambios) reside en una entidad española: empresa, asociación, universidad u organismo público.

Los tres criterios importan por separado. Hay proyectos con código abierto y gobernanza fuera. Hay proyectos con equipo en España y licencia propietaria. Y hay proyectos que cumplían los tres hasta que alguien firmó una compraventa.

Por eso, en cada ficha de abajo verás las mismas cuatro cosas: qué hace, con qué licencia, quién lo controla hoy y en qué estado está. Si solo te interesa el resumen, hay una tabla comparativa más abajo.

Un dato para calibrar de qué hablamos en términos económicos: el estudio encargado por la Comisión Europea a Fraunhofer ISI y OpenForum Europe calculó que los 1.000 millones de euros invertidos en open source en la UE durante 2018 generaron entre 65.000 y 95.000 millones de retorno. No es filantropía de desarrolladores con barba. Es infraestructura económica.

Infraestructura y cloud: OpenNebula y la lección de Bitnami

OpenNebula es probablemente el proyecto español de infraestructura con más recorrido. Nació en 2005 como proyecto de investigación en la Universidad Complutense de Madrid, se liberó en 2008 y en 2010 se constituyó OpenNebula Systems con sede en Madrid. Gestiona nubes privadas y edge: máquinas virtuales, clústeres de Kubernetes, federación y multi-tenancy. La empresa reporta más de 5.000 organizaciones ejecutándolo.

• Licencia: Apache 2.0.

• Quién lo controla: OpenNebula Systems, Madrid.

• Estado: maduro, con versiones enterprise sobre el core abierto.

Es la alternativa europea seria a VMware y a los orquestadores americanos. Si tu conversación interna de 2026 va de salir de VMware tras el ajuste de precios de Broadcom, esta es la primera llamada que deberías hacer.

Y hablando de Broadcom: Bitnami es el caso que hay que estudiar antes de adoptar nada.

Bitnami salió del entorno de BitRock, con equipo fundacional e ingeniería en Sevilla, y se convirtió en la forma estándar de empaquetar aplicaciones para Kubernetes. Sus Helm charts estaban en la mitad de los values.yaml del planeta. VMware la compró en 2019. Broadcom compró VMware en 2023. Y en agosto de 2025 llegó la factura.

El aviso de cambios en el catálogo fijó el 28 de agosto de 2025 como fecha: la mayoría de imágenes gratuitas se movieron al repositorio bitnamilegacy, sin actualizaciones de seguridad. Hubo cortes programados de 24 y 48 horas durante septiembre y retirada completa de los repositorios públicos el 29 de septiembre. Lo que queda gratis es un subconjunto reducido de imágenes endurecidas; el acceso completo pasó a suscripción empresarial, con tarifas reportadas en el rango de decenas de miles de euros al año.

Miles de pipelines de CI rompieron ese fin de semana. Ninguna licencia se revocó: los charts siguen siendo Apache 2.0 y el código sigue ahí. Lo que se retiró fueron los artefactos construidos y hospedados. Apunta esa distinción, porque la retomo al final.

Producto y diseño: Penpot y Taiga

Kaleidos es una empresa de Madrid fundada en 2011 que ha hecho algo raro: sacar dos productos open source con adopción internacional real.

Penpot es un editor de diseño y prototipado colaborativo que trabaja nativamente con estándares web (SVG, CSS). Es la alternativa a Figma que puedes autoalojar. La historia tiene un momento redondo: Kaleidos levantó 8 millones de dólares dos semanas después de que Adobe anunciara la compra de Figma por 20.000 millones. El descontento del mercado se convirtió en tracción de la noche a la mañana, y el repositorio pasó de proyecto discreto a decenas de miles de estrellas en GitHub.

• Licencia: MPL 2.0.

• Quién lo controla: Kaleidos, Madrid.

• Estado: producción, con nube gestionada y opción self-hosted.

Taiga es la otra pata: gestión ágil de proyectos, con backlog, sprints y kanban, bajo AGPL. Menos ruidosa que Penpot, pero lleva más de una década desplegada en equipos que no quieren meter su roadmap en Jira.

Si tu equipo de diseño está evaluando salir de Figma por precio o por dónde acaban los archivos, Penpot autoalojado es la respuesta corta. Y es española.

Monitorización y seguridad: Pandora FMS y Wazuh

Pandora FMS arrancó en 2004 en SourceForge como proyecto personal de Sancho Lerena y se convirtió en el producto de Ártica Soluciones Tecnológicas, en Madrid. Monitoriza infraestructura, red, aplicaciones y servicios: el terreno donde normalmente compiten Nagios y Zabbix.

• Licencia: GPL v2 en la edición community.

• Quién lo controla: Ártica ST, Madrid.

• Estado: maduro, veinte años de recorrido, con edición enterprise.

Wazuh es el caso más matizado de la lista. Plataforma open source de XDR y SIEM, nacida en 2015 como fork de OSSEC de la mano de Santiago Bassett. Reporta más de 20 millones de descargas al año y es, de largo, el SIEM más extendido en el mediano mercado español. Pero seamos precisos: la matriz está en Estados Unidos, con oficina en Madrid. Fundador español, ingeniería con fuerte presencia en España, gobernanza corporativa estadounidense.

¿Cuenta como herramienta open source española? Según el criterio de tres patas de antes, cumple dos. Lo dejo en la lista con la etiqueta puesta, porque la alternativa (hinchar el pecho y omitir el detalle) es justo el tipo de contenido que no queremos escribir.

Nota: si estás montando compliance sobre alguna de estas herramientas, la licencia te dice lo que puedes hacer con el código, no dónde se procesan tus datos. Son dos preguntas distintas y hay que responder las dos. Lo desarrollamos en la guía de IA y RGPD para empresas.

Datos, GIS y sector público: gvSIG y el catálogo del Estado

gvSIG es el sistema de información geográfica que impulsó la Generalitat Valenciana en 2004 con fondos FEDER, y que desde 2010 gestiona la Asociación gvSIG. Trabaja con datos raster y vectoriales, es multiplataforma y está bajo GPL. En 2023 ganó el primer premio de los OSOR Awards de la Comisión Europea como mejor proyecto de software público de Europa. Sigue desplegado en administraciones autonómicas y en universidades de media Latinoamérica.

Al lado de gvSIG hay una capa que casi nadie usa fuera del sector público: el catálogo de aplicaciones reutilizables del Estado. El artículo 157 de la Ley 40/2015 obliga a las administraciones a poner sus aplicaciones a disposición de cualquier otra que las solicite, a consultar el directorio general antes de desarrollar o contratar nada, y a reutilizar la solución existente si la hay, salvo justificación de eficiencia. El mismo artículo habilita a declarar esas aplicaciones como fuentes abiertas.

Ahí dentro hay cosas que se usan a diario sin saberlo: Autofirma, componentes de @firma, piezas de Cl@ve y las distribuciones Linux autonómicas históricas (LliureX, MAX, Guadalinex, Linex). No es un catálogo bonito ni tiene comunidad estilo GitHub, pero es la mayor colección de software financiado con dinero público en España.

Mi lectura: la ley lleva desde 2015 diciendo "reutiliza antes de comprar" y el cumplimiento real es discreto. No hace falta una hoja de ruta nueva para arreglar eso; hace falta que alguien mire el directorio antes de firmar el pliego.

IA open source española: ALIA, Salamandra y las lenguas cooficiales

Aquí es donde España ha hecho el movimiento más ambicioso de los últimos años, y donde casi todo el mundo se ha enterado tarde.

ALIA es la familia de modelos fundacionales anunciada por el Gobierno en enero de 2025 y coordinada por el Barcelona Supercomputing Center bajo la Secretaría de Estado de Digitalización e IA. Incluye ALIA-40B y la suite Salamandra en tamaños de 2B, 7B y 40B parámetros, entrenada desde cero sobre datos de 35 lenguas europeas y código, en el supercomputador MareNostrum 5. Hay además SalamandraTA-2B, especializado en traducción entre 30 idiomas. El informe técnico está publicado en arXiv.

El punto diferencial no es el benchmark. Es que incluye catalán, gallego, valenciano y euskera con datos curados, no como residuo estadístico del scraping. Ningún laboratorio de California va a invertir en eso, porque el retorno comercial no existe. Un supercomputador público sí puede.

Alrededor orbitan proyectos de investigación por lengua: Aina en catalán, Nós en gallego desde Santiago de Compostela, Latxa en euskera desde el centro HiTZ de la UPV/EHU. Todos con pesos abiertos.

NucliaDB merece mención con asterisco. Nuclia se fundó en Barcelona en 2019 y publicó su motor de búsqueda semántica y RAG como open source. Progress Software la compró en junio de 2025 por 50 millones de dólares. Tecnología nacida en Barcelona, propiedad de una cotizada estadounidense.

Y sí, Levante entra aquí: es el cowork de IA open source que construimos desde España, con licencia Apache 2.0 más Commons Clause, cliente MCP completo, multi-proveedor y almacenamiento local. Si quieres el detalle de cómo encaja con modelos que corren en tu máquina, está en la guía de IA local; la comparativa de licencias de pesos abiertos la desarrollamos en el análisis de modelos chinos open source.

Tabla resumen de herramientas open source españolas

La parte incómoda: cuatro de esta lista ya no son españolas

Bitnami está en Broadcom. NucliaDB está en Progress. eyeOS, aquel escritorio web de Barcelona que fue referencia en 2008, terminó en Telefónica en 2014. FIWARE nació en el I+D de Telefónica y su fundación acabó en Berlín.

No es una historia de fracaso: son salidas exitosas y sus fundadores hicieron lo que tenían que hacer. Pero sí dice algo sobre dónde está el riesgo real cuando adoptas software.

El riesgo no es la licencia. Es la infraestructura alrededor de la licencia.

Vuelve al caso Bitnami. Broadcom no revocó Apache 2.0, porque no puede: la licencia es irrevocable para el código ya publicado. Lo que retiró fue el registro de imágenes, las builds firmadas, los parches de seguridad y la cadencia de releases. El código sigue libre; el servicio que lo hacía útil, no. Y para el equipo cuyo despliegue falla un martes a las tres de la madrugada, esa diferencia es puramente académica.

Es el mismo argumento que llevamos aplicando a la capa de IA. Que un modelo tenga pesos abiertos no te dice dónde se ejecuta la inferencia, quién ve tus prompts ni bajo qué jurisdicción. Por eso en Levante Platform separamos las dos cosas: la app es open source y auditable, y la inferencia va sobre infraestructura europea con Zero Data Retention. Abierto y soberano son dos ejes distintos, y hay que puntuar bien en los dos.

Cómo elegir sin llevarte un susto: checklist de 6 puntos

Antes de meter cualquiera de estas herramientas open source españolas (o de cualquier otro origen) en tu stack, contesta estas seis preguntas. Nos las hacemos nosotros antes de añadir una dependencia:

1. ¿Qué licencia exacta tiene, y de qué partes? Muchos proyectos son abiertos en el core y propietarios en los módulos que de verdad quieres. Míralo repositorio a repositorio.

2. ¿Quién puede fusionar en main? Si son tres personas de la misma empresa, tu roadmap es su roadmap. Una fundación o una asociación reparte ese poder.

3. ¿De qué artefactos hospedados dependes? Registros de imágenes, paquetes, índices de plugins, endpoints de actualización. Eso es lo que se te puede retirar sin tocar la licencia.

4. ¿Sobrevive el fork si la empresa desaparece? Comprueba si existe una comunidad capaz de mantenerlo. Cuenta contribuidores externos, no estrellas.

5. ¿Dónde se procesan los datos? Es independiente de que el código sea abierto. Autoalojado en tu infraestructura y SaaS del mismo proyecto son dos posturas de compliance completamente distintas.

6. ¿Puedes salir? Formato de exportación documentado, sin blobs binarios propietarios. Si no hay salida, la apertura del código es decorativa.

Si un proyecto suspende los puntos 3 y 4 a la vez, tienes el escenario Bitnami esperándote. No significa que no lo uses; significa que el plan B se escribe antes, no durante el incidente.

Lo que yo me llevaría de aquí

España no tiene un problema de proyectos open source. Tiene un problema de inventario. OpenNebula lleva veinte años orquestando nubes privadas, Penpot compite de tú a tú con Figma, Pandora FMS y Wazuh están en miles de infraestructuras, gvSIG ganó el premio europeo de software público y ALIA es de las pocas iniciativas del continente que ha entrenado modelos fundacionales desde cero con lenguas minorizadas dentro. Todo eso existe y se puede instalar hoy.

Lo que falta no es tecnología, es criterio de compra: comprobar el directorio antes de contratar, mirar quién controla el registro de imágenes y no solo el fichero LICENSE, y aceptar que "open source" y "soberano" son dos casillas separadas que hay que marcar por separado.

Si el ángulo que te interesa es el de la IA, usar modelos buenos sin que tus conversaciones crucen el Atlántico, esa es literalmente la razón por la que existimos: descarga Levante, es gratis, y el código está en GitHub para que lo audites tú mismo. Y si te has quedado con ganas de discutir qué proyecto falta en esta lista, seguro que me dejo alguno bueno: ya sabes dónde encontrarnos.