Mistral · Studio / Vibe Enterprise (vormals La Plateforme / Le Chat)

Anbieter: Mistral AImistral.ai

Führender EU-LLM-Anbieter, EU-Datenhaltung, nicht Cloud-Act-unterworfen. Viele Modelle Apache 2.0 (self-hostbar), Flaggschiffe teils proprietär; Le Chat Enterprise als Workspace.

EU · Open-Weight · self-hostbar · Anwender-Plattform

Souveränitäts-Profil

Erreicht Stufe 2 · Jurisdiktions-souveränEchter Schutz vor fremdstaatlichem Zugriff: EU-Anbieter ohne US-Mutter.

0Offen

1Compliance

2Jurisdiktion

3Abfluss

Recht (r)

Technik (t)

Autonomie (a)

Warum nicht höher als Stufe 2: Der Anbieter verarbeitet Daten technisch im Klartext · kein Schutz gegen technischen Abfluss. Für Stufe 3 wäre On-Prem / Confidential Computing nötig.

Datenblatt

Jurisdiktion: EU
Betriebsmodell: EU-Cloud als Voreinstellung, US-Region wählbar (Regional Endpoints); self-host/Dedicated
AVV verfügbar: ja
Training auf Kundendaten: nein
Offene Gewichte: ja
Selbst betreibbar: ja
Zertifikate: ISO 27001 · ISO 27701 · SOC 2
Zuletzt geprüft: 2026-09-14

Wofür sie taugt

Der französische Anbieter mit eigener Modellfamilie, als Plattform und als Arbeitsoberfläche. Für Häuser, die europäische Modelle ohne Eigenbetrieb nutzen wollen.

Grenzen

Die Produkte heißen seit 2026 anders. La Plateforme ist Studio, Le Chat ist Vibe; dazu kommt Admin als Steuerungsebene. Die alten Namen kommen in der Dokumentation nicht mehr vor.

Beim Training auf Kundendaten lohnt der genaue Blick, und er fällt uneinheitlich aus. Ausdrücklich belegt ist der Default gegen Training nur für Vibe Enterprise: „customers are opted out of training by default". Für Vibe Free und Pro gilt das Gegenteil, Daten werden „used by default to train our artificial intelligence models, unless you opt out". Und der Auftragsverarbeitungsvertrag vom 27.07.2026 formuliert für die Verarbeitung allgemein „unless Customer is or has opted-out of training", also eine Abwahl, keine Vorauswahl. Für Studio und die API gibt es einen eigenen Schalter („Anonymous improvement data"), getrennt vom Vibe-Schalter.

Dem steht die Marketing-Aussage gegenüber, API-Daten würden nicht zum Training genutzt. Wir konnten sie in den abrufbaren Anbieterseiten nicht wiederfinden. Solange das so ist: prüfen Sie den Schalter im Admin-Panel, statt sich auf die Voreinstellung zu verlassen.

Zur Datenresidenz: Seit dem 11.08.2026 sind Regional Endpoints allgemein verfügbar. Die EU ist Voreinstellung („By default, your data is hosted in the European Union"), die US-Region ist aber regulär wählbar. „EU-Cloud (FR)" als Pauschalaussage trifft es damit nicht mehr.

Zum Training widersprechen sich Vertragswerk und Produktdokumentation dem ersten Anschein nach, und die Auflösung liegt im Zuschnitt. Der Auftragsverarbeitungs-Zusatz erlaubt Mistral, personenbezogene Daten als Verantwortlicher zu verarbeiten, unter anderem zum Zweck „Training its artificial intelligence models in accordance with its Privacy Policy, unless Customer is or has opted-out of training". Das klingt nach einem Widerspruchsrecht statt eines Ausschlusses ab Werk. Die Produktdokumentation ist jedoch enger und deutlicher: für die Schnittstelle heißt es „data sent through the API isn't used for model training", für die kostenpflichtigen Stufen der Arbeitsoberfläche „conversations aren't used for model training by default", und nur für den freien Modus „conversations can be used to improve our models. You can opt out at any time from the Admin Panel."

Dieser Eintrag beschreibt die Plattform und die kostenpflichtige Unternehmens-Oberfläche. Für diesen Zuschnitt trifft unser Datenblatt-Wert „Training auf Kundendaten: nein" zu. Der Zusatz im Vertragswerk ist die weiter gefasste Klammer, die auch den freien Modus abdeckt.

Was Sie trotzdem prüfen sollten: die Rückmeldungs-Funktion. Mistral behält sich vor, über Daumen hoch und runter übermittelte Rückmeldungen samt der zugehörigen Ein- und Ausgaben als Verantwortlicher für Training, Forschung und Produktverbesserung zu nutzen. Wer die Funktion freigibt, gibt damit mehr frei als die Bewertung selbst.

Ansonsten die übliche Rechnung: französischer Anbieter, EU-Datenhaltung, nicht dem US Cloud Act unterworfen. Für Stufe 3 fehlt der technische Schutz gegen Abfluss beim Anbieter, deshalb Stufe 2.

Restrisiken

Daten werden beim Anbieter verarbeitet (Klartext) · kein technischer Schutz gegen Abfluss.

Pflichten beim Einsatz

Auftragsverarbeitungsvertrag (Art. 28 DSGVO) abschließen; ggf. Datenschutz-Folgenabschätzung (Art. 35); Verarbeitung in EU-Region.
EU-Eigentum und EU-Betrieb des Anbieters verifizieren (keine Beherrschung durch eine US-Mutter).
Optional self-hostbar: bei Eigenbetrieb tragen Sie die Verantwortung für Updates/Sicherheit; eigenes Finetunen kann die KI-VO-Anbieterrolle auslösen.
KI-VO-Pflichten (Hochrisiko nach Annex III, Transparenz nach Art. 50) hängen vom Anwendungsfall ab · separat prüfen.
Gilt immer: KI-Kompetenz sicherstellen (Art. 4 KI-VO, seit 2.2.2025) · Mitarbeitende schulen, Nutzungsregeln festlegen, beides dokumentieren.

Quellen3

Mistral AI: Data Processing Addendum, Abschnitt 2.3 (Mistral als Verantwortlicher, Trainings-Zweck mit Widerspruchsrecht) vertragstext · abgerufen 2026-08-01
Mistral AI: Datenschutz und Datenkontrollen (kein Training über die API, kostenpflichtige Stufen ab Werk ausgenommen) anbieter-doku · abgerufen 2026-09-14 · belegt: training
Mistral AI: Vertragswerk (Übersicht) vertragstext · abgerufen 2026-09-14

Prüfhistorie

2026-08-01 Kürzel-Beleg mistral.ai durch das Vertragswerk ersetzt. Befund mit Folge: der AV-Zusatz nennt das Modelltraining als Zweck einer Verarbeitung als Verantwortlicher, mit Widerspruchsrecht statt Ausschluss ab Werk. Das Feld „Training auf Kundendaten: nein" bildet den Zustand nach Widerspruch ab; eine Korrektur des Feldes ist zu entscheiden und wurde nicht eigenmächtig vorgenommen. (legal.mistral.ai)
2026-08-01 Eigene Korrektur derselben Woche. Die am 01.08.2026 aus dem Auftragsverarbeitungs-Zusatz gezogene Aussage, „Training auf Kundendaten: nein" gelte erst nach Widerspruch, war für den Zuschnitt dieses Eintrags zu weit gefasst. Die Produktdokumentation sagt für die Schnittstelle und die kostenpflichtigen Stufen ausdrücklich, dass kein Training stattfindet; das Widerspruchsrecht betrifft den freien Modus. Das Feld bleibt deshalb auf nein, es war nie zu korrigieren. Der Text ist neu gefasst, die Produktdokumentation als dritte Quelle ergänzt, und die Rückmeldungs-Funktion als eigener Vorbehalt aufgenommen. (docs.mistral.ai, legal.mistral.ai)
2026-09-14 Produktnamen auf Studio und Vibe gezogen. Trainings-Default differenziert: belegt abgewählt ist nur Vibe Enterprise, Vibe Free/Pro trainieren per Default, das DPA vom 27.07.2026 formuliert durchgehend ein Opt-out. Das strukturierte Feld bleibt vorerst auf „nein", weil die Belege widersprüchlich sind; der Vorbehalt steht im Text. Datenresidenz: EU ist Voreinstellung, US-Region regulär wählbar. Tote Beleg-URL der Doku durch den Help-Center-Artikel ersetzt, Vertragswerk-URL nachgezogen. (help.mistral.ai 455207 und 347617, legal.mistral.ai/terms/data-processing-addendum, mistral.ai/news/regional-inference-open-models-new-compute/)

Nächster Schritt

Ob Stufe 2 für Ihr Vorhaben genügt, hängt von Ihren Daten, der Rechtslage und dem Einsatzzweck ab. Die Peilung ermittelt Ihre Mindeststufe in vier Schritten (KI-VO, Daten, Branche, Unabhängigkeit) und zeigt anschließend alle Lösungen, die sie erfüllen. Im Erstgespräch klären wir, welcher Weg zu Ihrem Anwendungsfall passt.

Peilung starten Kostenloses Erstgespräch Alle Lösungen

Stand September 2026 · Orientierung, keine Rechts- oder Produktempfehlung. Vor Einsatz aktuell prüfen und ggf. juristisch begleiten lassen.