Interroger ses propres documents en langage naturel avec citation précise des sources (Kotaemon)

Kotaemon fournit une interface clé en main pour interroger ses propres documents en langage naturel — PDF, tableaux, rapports — avec citation précise des passages sources et visualisation du PDF en regard de la réponse. Il peut servir de base de connaissances consultable sur ses propres documents.

Limites et précautions : des failles publiques sont rapportées et toujours ouvertes (relevées le 2026-10-17, sans réponse de mainteneur visible) : #844 (exécution de code à distance sans authentification via /check_connection, sévérité déclarée par le rapporteur, non vérifiée) et #846 (conversations de tout utilisateur lisibles sans authentification). Le README annonce un identifiant et un mot de passe par défaut admin/admin, sans consigne de changement : changez-le et n'exposez pas l'application sur Internet. Maintenance : dernière release le 2026-05-31, aucun commit depuis le 2026-05-30 ; des installations cassées sont rapportées (#868, #866).

Critique Marketia

Verdict

Interface agréable pour interroger ses documents avec citations, mais activité en baisse et failles graves signalées publiquement, sans réponse visible. À ne pas recommander pour des documents confidentiels ni exposer sur un réseau avant correction ou audit.

Pour qui (PME française)

• Un essai en local, sur des documents non sensibles, par un technicien.
• Pas pour de vrais documents clients ni un accès Internet.

Points forts prouvés

• Licence Apache 2.0 (le LICENSE.txt lu est le texte type, sans titulaire ni année renseignés).
• Interface web sur le port 7860, images Docker lite et full, image main-ollama avec Ollama intégré ; plateformes linux/amd64 et linux/arm64 ; plusieurs fournisseurs de LLM (OpenAI, Azure, Ollama, Groq, Cohere), modèles locaux possibles ; connexion multi-utilisateurs et GraphRAG « provided as an example » (README).

Limites et risques

• Maintenance : dernière release v0.12.0 le 2026-05-31 ; derniers commits lus : 2026-05-30, 2026-03-28, 2026-03-04 (commits.atom) ; soit environ quatre mois et demi sans commit au 2026-10-17, alors que 221 issues sont ouvertes (page lue), dont ces failles.
• Le README ne traite pas la confidentialité des données.
• Les LLM par défaut ne sont pas nommés ; l'exemple de .env cite gpt-3.5-turbo (valeur d'exemple).
• Le .env ne sert qu'à remplir la base au premier lancement (README).

Effort d'installation réel

Docker court en apparence, mais deux issues décrivent des installations cassées, et un durcissement (réseau fermé, mot de passe changé) est indispensable. Estimation : une à deux heures d'essai, une journée de durcissement ; non mesuré.

Alternatives

• Docling + un RAG maison (critique pilote Docling).
• Des solutions RAG plus actives du catalogue, non évaluées ici.

Licence et attribution

Code Apache 2.0. Avertissement de licence : « Poids tiers au choix de l'utilisateur (ex. Llama = licence Meta, non lue) ; README ne cite pas de licence ». Le README ne mentionne pas de licence ; elle vient du fichier LICENSE.txt, sans titulaire.

Ce que nous n'avons pas testé

Aucune installation, aucune reproduction des failles #844 et #846, aucune lecture du code, aucun test de qualité des citations sur des documents français, aucune vérification de l'état de maintenance au-delà des flux lus.

Sources (lues le 2026-10-17)

• https://raw.githubusercontent.com/Cinnamon/kotaemon/HEAD/README.md et LICENSE.txt
• https://github.com/Cinnamon/kotaemon/commits.atom, releases.atom, issues, issues/844, issues/846
• Relevé des licences de poids de modèles du 2026-10-17 (seconde main)