Interface IA : comparatif et choix initial

L'essentiel

• L'interface est ce que l'avocat voit : une fenêtre de chat type ChatGPT, dans le navigateur, avec ses documents, ses citations et son compte. Elle ne doit pas être le composant qui garantit la confidentialité, mais elle doit s'y prêter (SSO, groupes, API, RAG externe).
• Dix outils comparés. Deux se détachent pour un cabinet : Open WebUI (le plus complet et le plus répandu, licence BSD-3 modifiée sans contrainte sous 50 utilisateurs) et LibreChat (MIT, ACL par ressource plus fines, groupes Entra ID).
• Aucune interface libre ne synchronise les permissions documentaires depuis la source : Onyx le fait, mais en édition Enterprise. C'est une raison de plus pour un service RAG propre à la Box.
• Open WebUI a publié quatre advisories de contrôle d'accès documentaire en 2026 : son RAG intégré est acceptable pour le POC, pas comme barrière de sécurité.
• Recommandation initiale Hypothèse : Open WebUI pour le POC, à jour, SSO obligatoire, inscription fermée, RAG intégré remplacé progressivement par le pipeline de la Box via son API. Voir ADR-005 et Q-005.

Ce qu'on attend de l'interface

1. Authentification par le SSO du cabinet (OIDC avec Entra ID, Google, Authentik ou Keycloak), inscription libre désactivée, MFA portée par l'IdP.
2. Utilisateurs, groupes et rôles alignés sur l'annuaire (claims de groupes).
3. Conversation avec le LLM local servi par le moteur d'inférence, multi-modèles.
4. RAG : soit intégré et suffisamment configurable, soit branché sur un service externe par API, avec affichage des citations (dossier, document, page, lien).
5. Permissions sur les connaissances compatibles avec le modèle par dossier.
6. API et extensibilité (outils, pipelines) pour brancher le RAG de la Box.
7. Licence compatible avec une offre commerciale ; maintenance active ; déploiement Docker.

Comparatif

Lectures du 16/09/2026 ; les étoiles GitHub et versions bougent chaque semaine Communauté.

Lecture du comparatif pour un cabinet

• Licence : Open WebUI (sous 50 utilisateurs), LibreChat, AnythingLLM, RAGFlow et Kotaemon sont utilisables sans réserve pour un cabinet. Pour une Box vendue avec interface rebrandée, seuls LibreChat, AnythingLLM, RAGFlow et Kotaemon restent sans condition ; Open WebUI exigerait une licence entreprise au-delà du seuil ou pour retirer le branding ; Lobe Chat et Dify interdisent le dérivé ou le multi-tenant.
• Permissions documentaires : tous appliquent leur contrôle côté application. Onyx est le seul à synchroniser les ACL de la source, en payant. Aucun ne fournit de barrière au niveau de la base vectorielle : c'est le pipeline de la Box qui doit l'apporter (permissions).
• SSO : Open WebUI et LibreChat couvrent OIDC, Entra ID, LDAP en édition libre ; AnythingLLM et Onyx le réservent à l'offre payante.
• Maturité et exposition : Open WebUI a la plus grande communauté et la plus grande surface d'attaque ; ses correctifs sont rapides mais fréquents. LibreChat est plus discret et plus fin sur les ACL.
• RAG intégré : suffisant pour un POC (déposer des pièces, poser des questions) ; insuffisant pour la cible (synchronisation SMB/SharePoint, ACL par dossier, citations page à page, évaluation).

Recommandation initiale

Une interface propriétaire, plus tard ?

À terme, une interface propre à la Box pourrait apporter ce qu'aucune interface générique ne fait bien :

• une navigation par dossier : l'avocat ouvre le dossier X et pose ses questions dans ce périmètre, la portée étant visible et évidente ;
• des citations natives : carte par pièce, page, extrait surligné, ouverture de la pièce à la page ;
• un journal d'accès lisible par l'associé responsable et un rapport par dossier (« qui a interrogé ce dossier ») ;
• des flux métier (résumé de pièces, chronologie d'un dossier, comparaison de versions d'un contrat) plutôt qu'un chat nu ;
• une marque et une ergonomie pensées pour des non-techniciens, sans réglages exposés ;
• l'absence de la surface d'attaque d'un produit généraliste (outils, web search, génération d'images, code interpreter).

Le coût est celui d'un produit logiciel à maintenir. La décision se prendra après le POC, quand on saura ce que les avocats utilisent réellement (produit).

Questions ouvertes

• Q-005Open WebUI est-il suffisant comme interface, ou faut-il LibreChat ou une interface propriétaire ?MoyenneEn cours

Ce qu'il reste à tester

• Brancher le RAG de la Box sur Open WebUI (pipeline, endpoint, outil)Un endpoint OpenAI-compatible exposé par le service RAG de la Box, appelé par Open WebUI comme un modèle, transmet l'identité de l'utilisateur de façon vérifiable et affiche les citations (dossier, pièce, page, lien) sans dépendre du RAG intégré ni de ses knowledge bases.À tester
• Test de fuite de permissions du RAG (« l'avocat B ne voit jamais A »)Avec un filtre dossier_id calculé côté serveur et imposé par le moteur (RLS PostgreSQL ou JWT Qdrant), aucun chunk ni aucune réponse ne contient un canari hors de la portée de l'utilisateur, même lorsque la barrière applicative est désactivée.À tester