Kagi et la confidentialité : marketing vs réalité

Si on regarde le site internet de Kagi [ kagi.com ], il est écrit à plusieurs endroits qu'ils se désignent comme défenseur de la vie privée/confidentialité en ligne, ce que je salue bien évidemment.

Qu'est-ce que Kagi ?

Kagi est une entreprise fondée en 2018 à Palo Alto en Californie (USA) par Vladimir Prelovac (voir Wikipédia [ fr.wikipedia.org ]).

Kagi a commencé avec Kagi Search une alternative à Google et s'est développée pour aujourd'hui proposer :

• Kagi Assistant : alternative à OpenAI ChatGPT
• Kagi News : alternative à Google News
• Kagi Orion : alternative à Google Chrome mais en payant
• Kagi Search : alternative à Google
• Kagi Translate : alternative à Google Translate

Ne supportant pas les GAFAM [ fr.wikipedia.org ], de prime abord, j'ai été séduit par Kagi, mais voilà, j'ai eu la "mauvaise" idée de contacter leur support pour en savoir plus.

Preuves et échanges avec le support Kagi sur la confidentialité

Je vous met ici la copie intégrale de mes échanges avec le support Kagi traduit en français puis la version originale en anglais.

Mon message - 23/11/2025, 21h30

Bonjour,

Je suis français et très attaché à ma vie privée, tant dans la vie réelle qu’en ligne. Comme mon anglais n’est pas parfait, j’ai utilisé Kagi Translate pour rédiger ce message, afin de limiter les malentendus.

J’utilise vos services depuis quelques semaines maintenant. Certains me marquent particulièrement, d’autres moins — j’ai même créé un thème CSS via l’extension Stylus pour optimiser l’affichage sur les écrans 4K.

En tant que personne hostile aux GAFAM et aux entreprises qui monétisent nos données personnelles, je considère Kagi comme une alternative sérieuse et bienvenue. Par ailleurs, je suis client Proton [ proton.me ] et membre des traducteurs officiels de leur communauté, ce qui renforce mon intérêt pour des services éthiques et transparents.

Cependant, un point me préoccupe sérieusement : bien que Kagi proclame haut et fort son engagement en faveur de la vie privée — ce que j’applaudis pleinement —, l’entreprise est basée aux États-Unis, un pays membre des «5 yeux » et soumis à des lois permettant aux autorités d’accéder aux données des utilisateurs sans mandat public ou contrôle judiciaire rigoureux.

Cela me conduit à deux questions essentielles :

1. Les données des utilisateurs sont-elles chiffrées de bout en bout sur l’ensemble de vos services (recherches, historique, paramètres, etc.) ? Autrement dit, même pour votre équipe interne, les données sont-elles illisibles sans une clé détenue uniquement par l’utilisateur — comme c’est le cas avec Proton ?
2. Pourquoi avez-vous choisi de baser Kagi aux États-Unis, un pays connu pour ses pratiques de surveillance de masse et ses cadres juridiques offrant peu de protection à la vie privée ? Ne pensez-vous pas que ce choix géographique contredit, au moins en partie, votre mission de protéger la vie privée ? La direction et/ou l’équipe peuvent être basées aux États-Unis, mais l’entreprise pourrait être créée/enregistrée en Suisse, par exemple, pour éviter les lois américaines destructrices de libertés et renforcer la confiance des utilisateurs.

Enfin, Kagi fait-il l’objet d’audits de sécurité indépendants et réguliers ? S’il existe un rapport public ou un document de transparence attestant de vos bonnes pratiques en matière de protection de la vie privée (comme c’est le cas chez d’autres entreprises), pourriez-vous le partager ?

Je vous remercie par avance pour vos éclaircissements. Votre transparence sur ces points serait, à mon avis, un atout majeur pour rassurer des utilisateurs exigeants comme moi.

Cordialement,

Réponse de Kagi - 24/11/2025, 11h26

Bonjour,

Merci de nous avoir contactés et d’avoir partagé vos préoccupations. Nous respectons la vie privée de nos clients et stockons donc une quantité très limitée de données, sans associer les requêtes de recherche à des comptes.

Nous n’offrons pas actuellement de chiffrement de bout en bout, principalement parce que la quantité limitée d’informations que nous stockons, comme vos préférences de classement, devrait être déchiffrée pour que nous puissions fournir le service. Toutefois, nous proposons Privacy Pass et une adresse Tor onion aux utilisateurs soucieux de leur anonymat.

Avec Privacy Pass, vous pouvez effectuer des recherches de manière anonyme en utilisant des jetons cryptographiques stockés localement dans votre navigateur, sans vous connecter à votre compte. En combinant cela avec Tor, nous ne pouvons même pas connaître votre adresse IP.

Il est important de noter que, même sans ces mesures, nous ne lions pas les requêtes de recherche aux comptes.

Quelle que soit la juridiction, une entreprise peut choisir de collecter ou non vos données. Même des entreprises basées ailleurs, comme en Suisse, pourraient les collecter, et les lois ne font que rendre plus difficile pour les gouvernements d’y accéder. Notre modèle économique repose sur un principe fondamental : vous êtes notre client, pas un produit.

Nous choisissons de collecter le moins de données possible, quelle que soit la localisation de l’entreprise, afin que même si nous étions soumis à un mandat de perquisition, nous n’aurions pas grand-chose à remettre. Nous sommes transparents quant à ce que nous collectons, pourquoi nous le collectons et combien de temps nous le conservons, comme indiqué dans notre politique de confidentialité : https://kagi.com/privacy.

Nous avons effectué un audit de sécurité en 2022, vous pouvez en lire davantage dans notre article de blog : https://blog.kagi.com/security-audit.

Des audits de sécurité futurs et réguliers figurent parmi nos priorités, car nous comprenons leur importance pour maintenir la confiance et la sécurité de notre infrastructure.

Si vous avez d’autres questions, n’hésitez pas à nous contacter.

Ma réponse - 24/11/2025, 23h59

Bonjour, et merci pour votre réponse rapide.

Vous avez raison : quelle que soit la juridiction, une entreprise peut choisir ou non de collecter les données de ses utilisateurs. Toutefois, certains pays — notamment ceux de l’alliance des14 Yeux — sont connus pour faciliter l’accès des gouvernements aux données, contrairement à des juridictions comme la Suisse, qui offrent une protection plus robuste.

À l’heure actuelle, Kagi stocke uniquement une quantité limitée d’informations, ce que je salue. Mais si votre service prospère et s’étend, l’ajout de nouvelles fonctionnalités impliquera nécessairement davantage de données. C’est pourquoi la question du chiffrement de bout en bout reste centrale.

Sans chiffrement côté client, plusieurs scénarios posent problème :

• Un changement de stratégie interne : Kagi pourrait accéder aux données, même anonymisées.
• Une demande officielle des autorités : vous seriez techniquement en mesure de fournir des informations, et donc contraints de le faire.
• Un rachat par une entreprise moins scrupuleuse (ex. : une GAFAM) : les données deviendraient immédiatement exploitables.
• Une intrusion ou un piratage : les attaquants auraient accès aux données stockées.

À l’inverse, avec un chiffrement de bout en bout comme celui mis en œuvre par Proton, ces risques sont neutralisés : ni l’entreprise, ni un tiers, ni un gouvernement ne peuvent accéder aux données.

Merci pour le lien vers l’audit de2022. Trois ans, c’est long dans le domaine de la sécurité : pour renforcer la confiance et la transparence, un audit indépendant annuel enverrait un signal fort aux utilisateurs exigeants.

Bien sûr, entre confier un document médical à Kagi ou à Google/Microsoft, le choix est évident. Mais il s’agit encore d’un « moindre mal », pas encore d’une garantie solide de confidentialité. Seul le chiffrement de bout en bout et des audits réguliers transformeraient cette promesse en protection réelle et durable.

En outre, votre diversification (traduction, IA, agrégation d’actualités, etc.) implique des données potentiellement très sensibles. Un texte traduit peut contenir des informations personnelles ou professionnelles confidentielles, et une requête IA peut révéler des projets internes ou des données stratégiques. Dans ces cas, la minimisation ne suffit plus : seul le chiffrement de bout en bout garantit que ni vous, ni un tiers, ni un gouvernement ne peuvent accéder à ce contenu.

Enfin, au-delà de la sécurité technique, il serait rassurant d’avoir des détails sur :

• la durée exacte de conservation des données,
• la capacité de l’utilisateur à effacer complètement ses données,
• la mise en œuvre d’audits réguliers non seulement pour la sécurité mais aussi pour la vie privée,
• et pourquoi pas, l’ouverture partielle du code lié à la gestion de la confidentialité, afin que la communauté puisse vérifier vos engagements.

Je suis convaincu que des engagements clairs sur ces points renforceraient considérablement la confiance des utilisateurs les plus attentifs à la protection de leur vie privée, et aideraient à faire de Kagi une véritable référence en matière d’éthique numérique, aux côtés de Proton, La Quadrature du Net, e-foundation, etc.

Cordialement,

Réponse de Kagi - 25/11/2025, 20h42

Bonjour,

Nous stockons actuellement la quantité minimale d'informations nécessaire pour fournir le service, et toutes les données sont définitivement supprimées de nos systèmes dès que l'utilisateur supprime son compte. Vous pouvez utiliser Tor, les paiements cryptographiques et Privacy Pass ensemble pour un niveau élevé de confidentialité.

Le chiffrement de bout en bout n'est pas réalisable pour la Recherche, l'Assistant et la Traduction, car nous utilisons des fournisseurs tiers qui n'acceptent que des requêtes non chiffrées. Il s'agit d'un problème complexe, et nous recherchons constamment des solutions offrant la meilleure confidentialité, qualité et ergonomie à nos utilisateurs.

Notre Politique de confidentialité inclut un Canari de mandat : https://kagi.com/privacy#warrant-canary.

Nous avons également ouvert le code source de certains composants, notamment l'extension Privacy Pass et le code front-end de Kagi News : https://github.com/kagisearch.

N'hésitez pas à nous contacter si vous avez besoin d'autre chose.

Ma réponse - 26/11/2025, 1h29

Bonjour,

Merci pour vos clarifications. Après nos échanges, je comprends mieux votre position, mais je reste convaincu que votre approche actuelle ne garantit pas une véritable confidentialité. Je ne peux donc pas soutenir financièrement Kagi par un abonnement, comme je le fais avec Proton. Telles que les choses se présentent, votre modèle ressemble à celui des GAFAM : ils affirment protéger les données, mais en pratique, la confidentialité n’est pas assurée.

Vous me dites que vous hébergez vos services auprès d’un prestataire. Très bien, Kagi stocke des informations minimales, mais qu’en est-il du prestataire et de son identité ? Amazon AWS, Google Cloud, Microsoft Azure ? Si tel est le cas, sans chiffrement de bout en bout côté utilisateur, la confidentialité chez Kagi n’existe pas.

Kagi reste donc, à mon avis, un moindre mal comparé aux géants du numérique, mais certainement pas un protecteur de la vie privée et de la confidentialité, contrairement à ce que vous annoncez sur votre site web, précisément en raison de votre conception technique.

C’est dommage, car vos services, bien qu’encore jeunes, sont pratiques, avec une interface relativement bien exécutée, et votre marketing semblait prometteur.

Cordialement,

Pourquoi Kagi ne respecte pas ses engagements de confidentialité et de vie privée ?

En résumé, Kagi ne respecte pas ses engagements de confidentialité car :

• Basé aux USA : Absence de RGPD, National Security Letters, Patriot Act, Membre des 5 yeux
• Pas de chiffrement de bout en bout côté utilisateur : comme expliqué dans les échanges avec le support, sans cette technologie, leur promesse repose uniquement sur la confiance des utilisateurs
• Hébergeurs obscurs : ils m'ont clairement indiqué qu'ils utilisent des hébergeurs tiers sans dire lesquels et de surcroît que ces hébergeurs ne supportaient pas le chiffrement
• Réponses évasives : ils répondent en tournant autour de mes questions sans jamais vraiment y répondre.
• Silence comme aveu : Dès qu'ils voient être bloqués (plus d'arguments, tort) il arrêtent de répondre.

Conclusion

Pour résumer et comme mentionné durant l'échange, Kagi est aujourd’hui (29/11/2025) moins pire que les GAFAM, mais reste loin d’être un acteur crédible en matière de confidentialité et de vie privée, malgré leur marketing.