LibreChat, AnythingLLM, Onyx : quel assistant auto-hébergé ?

LibreChat, AnythingLLM et Onyx sont trois assistants open source que l'on peut héberger soi-même, mais ils ne partent pas du même endroit. LibreChat est une interface de chat multi-modèles très riche en agents et en outils (MCP, exécution de code). AnythingLLM organise des documents par espaces de travail et s'installe aussi bien sur un poste que sur un serveur. Onyx (ex-Danswer) est un moteur de recherche d'entreprise connecté à vos applications, avec un chat par-dessus. Open WebUI, le plus répandu, se situe entre LibreChat et AnythingLLM.

Pour un chat privé sur des modèles hébergés chez vous, avec quelques documents, l'un des quatre suffit souvent, et c'est une bonne nouvelle. Les écarts apparaissent quand l'assistant doit répondre juste sur un corpus difficile, respecter les droits de chaque document et agir dans vos outils. Cet article s'adresse à une équipe technique qui doit choisir : licence exacte, déploiement, SSO et droits dans l'édition gratuite, connecteurs, agents et MCP, puis ce qu'il reste à construire pour la production.

Les fonctionnalités et licences citées ont été vérifiées sur les dépôts GitHub et les documentations officielles en novembre 2026. Ces projets évoluent vite : relisez la page de licence et les notes de version de la version que vous déployez.

Trois projets, trois points de départ

Comparer LibreChat, AnythingLLM et Onyx fonctionnalité par fonctionnalité donne vite l'impression qu'ils font tous la même chose : un chat, des documents, des agents, du MCP. C'est vrai en surface. Ce qui les distingue, c'est l'objet autour duquel chacun est construit, et cela se voit dès qu'on pousse un peu.

• LibreChat est construit autour de la conversation. Il réunit de nombreux fournisseurs de modèles dans une seule interface et y ajoute des agents, des outils MCP, de l'exécution de code et des artefacts. Les documents sont une fonction parmi d'autres.
• AnythingLLM est construit autour de l'espace de travail. Chaque espace a ses documents, son modèle, ses réglages et ses agents. C'est la forme la plus naturelle pour « un assistant pour les RH, un pour le support, un pour le bureau d'études ».
• Onyx est construit autour de l'index. Il se connecte à vos applications, les indexe en continu et répond par-dessus. Le chat est la vitrine d'un moteur de recherche d'entreprise.

Ce point de départ détermine ce qui sera facile et ce qui demandera du travail. Si votre connaissance vit dans une dizaine d'outils SaaS, partir d'un chat vous obligera à reconstruire l'ingestion. Si votre besoin est surtout de donner accès à des modèles avec des outils, partir d'un moteur de recherche vous fera porter une infrastructure d'indexation inutile.

LibreChat : le chat multi-modèles le plus riche en outils

LibreChat est une interface de chat open source qui reproduit l'expérience de ChatGPT en la branchant sur presque tous les fournisseurs : OpenAI, Azure, Anthropic, AWS Bedrock, Google et Vertex AI, Mistral, Groq, OpenRouter, DeepSeek, et des modèles locaux via Ollama ou toute API compatible OpenAI.

Licence et déploiement

Le projet est publié sous licence MIT, et le dépôt ne mentionne pas d'édition payante. Vous pouvez le modifier, le mettre à vos couleurs et l'intégrer à un produit sans contrainte de marque. Le déploiement se fait en Docker Compose ou avec un chart Helm sur Kubernetes. La pile comprend une base MongoDB, un moteur de recherche Meilisearch pour l'historique et, pour la recherche dans les fichiers, un service RAG séparé adossé à PostgreSQL avec pgvector.

SSO, rôles et droits

Côté authentification, le dépôt annonce OAuth2, OpenID Connect, LDAP et la connexion par e-mail. Un panneau d'administration gère utilisateurs, groupes et rôles, et les permissions par rôle ou par groupe se modifient sans redéployer. SAML est aussi pris en charge, mais il est désactivé automatiquement si OpenID Connect est activé : il faut choisir l'un ou l'autre. Les droits portent sur les fonctions de LibreChat (agents, recherche de fichiers, exécution de code, partage), pas sur les documents de vos systèmes.

Agents, MCP et exécution de code

C'est le point fort du projet. LibreChat propose un constructeur d'agents sans code, une place de marché d'agents interne, des sous-agents, des compétences réutilisables, et la prise en charge du Model Context Protocol pour brancher des outils. L'interpréteur de code s'exécute dans un bac à sable et couvre Python, JavaScript, Go, Java et d'autres langages. Une API de gestion des agents permet de les administrer par script.

Documents et RAG

Le RAG de LibreChat repose sur des fichiers que l'utilisateur ou l'administrateur importe, rattachés à une conversation ou à un agent. Il n'y a pas de connecteurs qui synchronisent un SharePoint ou un Drive en continu. Pour un assistant sur une documentation qui change toutes les semaines, il faut donc écrire soi-même la chaîne d'ingestion, ou exposer votre recherche documentaire comme un outil MCP que les agents de LibreChat appellent.

AnythingLLM : les documents rangés par espace de travail

AnythingLLM, développé par Mintplex Labs, se présente comme une application tout-en-un : vous déposez des documents dans un espace de travail, vous choisissez un modèle, et l'espace devient un assistant sur ces documents. Il est très apprécié pour sa prise en main, ce qui explique une bonne part de sa croissance.

Licence et déploiement

Le projet est publié sous licence MIT. Il existe en application de bureau (macOS, Windows, Linux), pratique pour un usage individuel sur des documents sensibles, et en image Docker pour un serveur partagé. Le dépôt fournit aussi des modèles de déploiement pour plusieurs clouds. Par défaut, la base vectorielle est LanceDB, embarquée ; PGVector, Qdrant, Chroma, Weaviate, Milvus et d'autres sont pris en charge. Près de quarante fournisseurs de modèles sont listés, dont Ollama pour un fonctionnement entièrement local.

Multi-utilisateur, rôles et SSO

Le mode multi-utilisateur avec permissions n'existe que dans la version Docker, pas dans l'application de bureau. Il distingue des rôles (administrateur, gestionnaire, utilisateur) et donne accès aux espaces de travail utilisateur par utilisateur. Le dépôt ne documente pas d'OIDC ni de SAML natif dans la version open source à la date de lecture ; la documentation décrit un mécanisme de connexion par jeton généré via l'API, qui permet de rattacher l'outil à votre propre authentification. Si le SSO d'entreprise est un prérequis, vérifiez ce point sur la version visée avant de choisir.

Connecteurs, agents et MCP

AnythingLLM sait ingérer des fichiers (PDF, DOCX, TXT et autres) et propose quelques connecteurs de collecte, comme Confluence, des dépôts GitHub ou GitLab, des pages web ou des transcriptions YouTube, dont la liste dépend de la version. Il ne synchronise pas les permissions des sources. Il inclut un constructeur d'agents sans code et la compatibilité MCP, ce qui permet de lui donner des outils.

AnythingLLM vs Open WebUI

La question revient souvent. Les deux s'auto-hébergent, font du RAG sur des fichiers importés et parlent à Ollama. AnythingLLM pense en espaces de travail et fonctionne aussi en application de bureau ; Open WebUI pense en conversations et en bases de connaissances, et inclut SSO, LDAP et SCIM dans sa version gratuite. Pour une interface à vos couleurs ou intégrée à un produit, la licence MIT d'AnythingLLM est plus simple que la clause de marque d'Open WebUI. Pour un annuaire d'entreprise à brancher sans développement, Open WebUI part avec une longueur d'avance.

Onyx : la recherche d'entreprise connectée à vos applications

Onyx, anciennement Danswer, est le plus proche d'un moteur de recherche d'entreprise open source. Il se connecte à vos applications, les indexe en arrière-plan et permet de poser des questions sur l'ensemble, avec citations. Le chat, les agents et la recherche approfondie viennent par-dessus.

Licence : un cœur MIT et une édition Enterprise

La Community Edition est sous licence MIT et contient le cœur : connecteurs, indexation, chat, RAG agentique, recherche approfondie, recherche web, agents, actions et MCP. Une partie du code relève de l'Onyx Enterprise Edition, sous licence propre, vendue en deux offres (Business et Enterprise). Selon le dépôt et la documentation consultés en novembre 2026, ces offres ajoutent :

• plusieurs fournisseurs SSO OIDC ou SAML en même temps (un seul fournisseur fonctionne dans toutes les éditions), la synchronisation des groupes et le provisionnement SCIM ;
• le RBAC sur les ressources sensibles comme les agents et les actions ;
• la synchronisation des permissions depuis les sources ;
• les statistiques d'usage et l'historique des requêtes, l'exécution de code personnalisé (par exemple pour retirer des données personnelles), la personnalisation de la marque.

Si vous partez de la Community Edition et la modifiez, restez hors des répertoires sous licence Enterprise : c'est la frontière à vérifier avec votre service juridique avant d'en faire un produit.

Connecteurs et synchronisation des permissions

C'est ce qui distingue Onyx. La documentation et le dépôt annoncent plus de 50 applications indexées en continu : Google Drive, Confluence, Jira, Slack, SharePoint, GitHub, Notion et d'autres, plus des connecteurs maintenus par la communauté. La synchronisation des permissions reprend les droits de la source pour que chacun ne retrouve que ce qu'il peut ouvrir. Elle est réservée aux offres payantes (Business, Enterprise) et au cloud, et la documentation la cite notamment pour Google Drive, SharePoint, OneDrive, Confluence, Jira, Slack et GitHub. Pour les autres sources, les droits se gèrent dans Onyx.

Déploiement

Onyx se déploie en Docker, sur Kubernetes avec Helm, ou avec Terraform, et le dépôt annonce un déploiement isolable de tout réseau externe. Il existe un mode allégé qui demande moins de 1 Go de mémoire, mais il se limite au chat et n'indexe aucun document : dès qu'on veut les connecteurs, il faut l'installation complète et un vrai serveur. C'est le plus lourd des quatre à exploiter : plusieurs services, des tâches d'indexation en arrière-plan, des connecteurs dont les jetons expirent.

Open WebUI en rappel

Open WebUI reste le point de départ le plus courant pour un chat privé sur des modèles locaux : installation en une commande Docker, comptes, groupes, SSO, OIDC, LDAP et SCIM 2.0 inclus, RAG intégré avec recherche hybride. Sa licence a changé en 2025 : BSD-3 avec une clause qui interdit de modifier ou retirer la marque Open WebUI, sauf petit déploiement, accord écrit ou licence Enterprise. Nous avons détaillé installation, fonctions et limites dans notre article Open WebUI en entreprise.

Tableau comparatif : licence, SSO, connecteurs, droits, agents

Le tableau ci-dessous reprend ce qui compte pour un déploiement interne. « Gratuit » désigne ce que contient l'édition open source, sans licence commerciale.

La qualité du RAG sur documents complexes

Les quatre outils savent découper un document, le vectoriser et retrouver des passages. Aucun n'est conçu pour un corpus difficile en particulier. Sur un corpus bien organisé en documents Word ou en pages Confluence, les réglages par défaut donnent souvent des réponses correctes. Sur des PDF techniques, la situation change.

Ce que nous rencontrons le plus souvent en mission : des tableaux aplatis en texte où les colonnes se mélangent, des schémas qui portent l'information et que le parseur ignore, des scans sans couche texte, des documents présents en plusieurs versions qui se contredisent. Le modèle répond alors avec assurance à partir d'un extrait mal lu. Dans nos projets, un RAG basique répond correctement à environ 50 à 70 % des questions ; sur un corpus technique chargé en tableaux, on part souvent plus bas.

Pour juger un outil sur ce point, il n'y a pas de raccourci : importez une vingtaine de vos documents les plus difficiles, posez des questions dont la réponse se trouve dans un tableau ou une figure, et comptez. Le traitement des tableaux, figures et pages scannées est détaillé dans notre article sur le RAG sur images, PDF et tableaux.

Quand l'un de ces outils suffit

Disons-le franchement : pour une bonne partie des besoins, l'un de ces quatre projets suffit, et il serait dommage de développer ce qu'une communauté maintient déjà très bien. C'est le cas quand :

• le besoin principal est un chat privé pour rédiger, reformuler, résumer, coder, sur des modèles que vous hébergez ou que vous appelez sous contrat ;
• les documents se comptent en dizaines ou en centaines, plutôt propres, et chacun importe ceux dont il a besoin ;
• les droits se résument à quelques groupes (une équipe, un espace de travail), sans document confidentiel mélangé au reste ;
• une réponse approximative a un coût faible, parce que l'utilisateur vérifie la source avant d'agir ;
• vous avez quelqu'un pour exploiter l'outil : mises à jour, sauvegardes, supervision.

Dans ce cadre, notre recommandation est simple. LibreChat si votre équipe veut des agents et des outils MCP et qu'elle utilise plusieurs fournisseurs de modèles. AnythingLLM si vous voulez des assistants par équipe, faciles à créer par des non-développeurs. Onyx si la connaissance est éparpillée dans Drive, Confluence, Slack et Jira et que l'indexation continue est le vrai besoin. Open WebUI si vous voulez le chat le plus répandu, branché sur Ollama ou vLLM, et que sa marque ne vous gêne pas. Pour le choix du serveur d'inférence derrière, voyez vLLM ou Ollama pour un modèle ouvert en entreprise.

Ce qu'il reste à construire pour la production

La situation change quand l'assistant devient une source de réponses sur laquelle les équipes s'appuient pour décider : un technicien qui suit une procédure, un juriste qui cite une clause, un commercial qui répond à un client. Cinq chantiers ne sont couverts par aucun des quatre outils, quel que soit celui que vous choisissez.

L'évaluation sur vos questions

La première question que nous posons en mission d'amélioration est « comment mesurez-vous la performance de votre assistant ? ». Presque personne ne sait répondre, au mieux « on pose quelques questions ». Or sans mesure, impossible de savoir si une mise à jour, un nouveau modèle ou un nouveau réglage améliore ou dégrade les réponses. Ce qu'il faut : un jeu de 20 à 50 questions réelles avec leurs réponses attendues dès les premiers jours, une notation binaire (juste ou fausse, complète ou non) plutôt qu'une note de 1 à 5, et l'ajout continu des questions posées par les utilisateurs pendant les tests. La méthode est détaillée dans évaluer un RAG : Ragas, Langfuse ou notation binaire.

Les droits au niveau du document

Trois des quatre outils gèrent des droits sur leurs propres objets : un espace de travail, une base de connaissances, un agent. Vos documents, eux, ont des droits dans SharePoint, la GED ou le serveur de fichiers, et ces droits changent. Reproduire ces règles à la main fonctionne pour trois groupes, pas pour une arborescence de dix ans. Onyx Enterprise couvre une partie des sources. Pour les autres, il faut un filtre appliqué côté serveur à chaque recherche, à partir de l'identité de l'utilisateur et des droits lus dans la source, sinon une question bien tournée peut faire remonter un passage qu'il n'aurait pas pu ouvrir.

Le parsing des PDF complexes

Sur un corpus technique, la qualité se joue d'abord à la lecture des documents. Dans une mission pour un grand groupe du spatial, la reprise de l'assistant est passée par un découpage des documents à l'aide de modèles visuels, pour garder la structure des pages, des tableaux et des schémas. Ce travail dépend de vos documents : il se conçoit, se mesure et s'ajuste sur votre corpus, pas dans un réglage générique. Nous racontons ce projet dans notre retour d'expérience sur un assistant pour ingénieurs du spatial.

Les actions dans vos outils

LibreChat, AnythingLLM, Onyx et Open WebUI parlent MCP, ce qui est une très bonne base. Mais un outil MCP qui crée un ticket, lit un dossier client dans l'ERP ou prépare une commande doit encore être écrit, sécurisé et testé : quels droits a l'agent, que se passe-t-il quand l'API répond une erreur, qui valide avant l'écriture, comment on trace l'action. Le protocole est standard, l'outil métier derrière ne l'est jamais. Nous détaillons ce chantier dans connecter un agent IA à un logiciel par API ou MCP.

L'exploitation et les mises à jour

Ces projets publient souvent, parfois plusieurs versions par mois, avec des migrations de base et des changements de configuration. Quelqu'un doit suivre les versions, tester sur le jeu d'évaluation avant de monter, sauvegarder, superviser le GPU et la latence, renouveler les jetons des connecteurs, conserver les journaux des questions et des sources consultées. Dans une équipe sans personne dédiée, c'est la charge la plus sous-estimée. Elle est décrite dans notre article sur la maintenance d'un RAG en production.

Partir d'une brique open source ou d'un socle développé et maintenu

Une fois ces cinq chantiers identifiés, deux chemins s'offrent à une équipe technique. Les deux sont légitimes ; ils ne mettent pas la responsabilité au même endroit.

C'est ce second chemin que nous proposons avec l'agent IA souverain déployé chez vous : un socle que Tensoria développe et maintient, installé sur vos serveurs, sur un réseau isolé ou dans un cloud français, avec un modèle interchangeable (modèle ouvert sur site, cloud souverain, ou API si vous l'acceptez). Les développements spécifiques à votre contexte vous sont livrés et vous appartiennent. Le projet démarre par un pilote de quatre à six semaines sur un corpus, avec une mesure de départ sur vos questions, puis un déploiement et un suivi en production. Une interface open source que vos équipes connaissent déjà peut rester en façade.

Nous avons construit ce type d'assistant pour un grand groupe du spatial : deux assistants sur les serveurs internes du groupe en 2024 avec des modèles ouverts, puis une reprise en RAG agentique sur un cloud français en 2025, avec recherche hybride, reranking par un modèle ouvert et évaluation suivie avec Langfuse. Si votre question est plutôt de savoir où vous en êtes avec un assistant existant, un audit RAG et agents donne une mesure et une liste de corrections avant tout développement. Pour situer ces choix dans l'ensemble d'un projet, voyez notre guide du RAG en entreprise, et pour les contraintes d'hébergement, notre page agent IA souverain détaille les modes de déploiement.

Questions fréquentes sur LibreChat, AnythingLLM et Onyx

Pour aller plus loin

• Open WebUI en entreprise : installation avec Ollama, RAG intégré, licence et limites.
• Shadow IA : vos équipes collent déjà vos documents dans ChatGPT, et pourquoi un assistant interne est la réponse.
• IA locale en entreprise : serveur, cloud souverain ou poste.
• DGX Spark en entreprise : ce qu'une petite machine fait tourner pour un assistant interne.
• Serveurs d'inférence LLM open source : ce qui sert le modèle derrière l'interface.
• Pipeline RAG en production : les étapes de l'ingestion au suivi.
• Qdrant ou pgvector : quelle base vectorielle pour un RAG.
• ITAR et Diffusion Restreinte : un assistant IA sur des données contrôlées.
• IA souveraine : héberger modèles et données sous votre contrôle.

Sources

• Dépôt GitHub LibreChat (consulté le 11 novembre 2026)
• Dépôt GitHub AnythingLLM (consulté le 11 novembre 2026)
• Dépôt GitHub Onyx (consulté le 11 novembre 2026)
• Documentation Onyx, édition Enterprise et synchronisation des permissions (consultées le 11 novembre 2026)
• Documentation Open WebUI, licence (consultée le 11 novembre 2026)