Mistral AI (La Plateforme)

Öffentliches Data Processing Addendum („Effective: July 27, 2026“, am 05.10.2026 unverändert), inkl. SCC-Regelung für Drittlandtransfers. Abschnitt 2.3: Mistral verarbeitet als eigener Verantwortlicher u. a. für Modelltraining („unless Customer is or has opted-out of training“) und für die Missbrauchsüberwachung der APIs (außer bei aktivierter Zero Data Retention).

URL im DPA (Abschnitt 7.1) und Help Center (Artikel vom 12.08.2026, am 05.10.2026 unverändert) offiziell benannt, mit Benachrichtigungs-Abo; Trust-Center-Seite ist JS-gerendert, Einträge nicht maschinell auslesbar. Belegt ist damit, dass es die Liste gibt und wo; die Einträge selbst haben wir nicht gelesen (auch am 05.10.2026 nicht). Laut Hilfe-Artikel „Where do you store my data…“ stehen dort auch Orte außerhalb der EU.

Opt-out für Studio und API im Admin-Panel (Privacy → 'Anonymous improvement data'), getrennt vom Vibe-Schalter. Stand Help Center 03.09.2026: Free-Modus wird standardmäßig zum Training genutzt; für Pay-as-you-go nennt Mistral nur das Opt-out-Recht, keinen Standard mehr — die frühere Doku-Aussage 'API-Daten werden nicht zum Training genutzt' ist mit der alten Seite (404 seit spätestens 03.10.2026) entfallen. Vibe Enterprise ist standardmäßig ausgeschlossen. Nachgeprüft 05.10.2026: beide Hilfeseiten unverändert (Nr. 455207 vom 03.09.2026; 347617 vom 31.08.2026: Free mode „we may use your data (input and output) to train our artificial intelligence models“, Pay-as-you-go „Customers retain full control over this processing and have the right to opt out at any time“). Vertragstext dazu: Commercial Terms of Service („Effective: September 25, 2026“) Ziffer 4.2: kein Training, außer wenn der Kunde bei einem Produkt mit Voreinstellung „an“ nicht widersprochen hat, bei Feedback (Daumen hoch/runter) und bei Labs- oder Preview-Modellen; Ziffer 4.3: bei Labs- und Preview-Modellen gelten weder das Opt-out noch Zero Data Retention. Das betrifft seit 06.10.2026 auch Mistral Large 4, das als „Public Preview“ angeboten wird (eigener Eintrag oben). Hilfeseiten Nr. 455207 und 347617 am 08.10.2026 unverändert (Stand 03.09. bzw. 31.08.2026). Welche Voreinstellung für Pay-as-you-go gilt, steht in keiner der gelesenen Quellen (ungeklärt).

ZDR auf bezahlten Plänen, nur auf Antrag mit Begründung (Mistral prüft und kann ablehnen), nur für zustandslose API-Aufrufe (Chat, FIM, Embeddings, Moderation, Klassifikation, OCR, Audio), nicht für Labs-Modelle, Agents, Batch, Conversations, Libraries, Files, Vibe Work und Chat. Wortlaut am 05.10.2026, Doku: „Include enough detail about your legitimate reason for requesting ZDR. We review each request and may approve or deny it.“; Hilfeseite Nr. 347612 (12.08.2026): „available only with pay-as-you-go and only for stateless API calls“ und „We will review your request and, at our discretion, approve or deny it.“ Eine Bewilligung erscheint laut Doku im Admin-Panel des Kunden (am 05.10.2026 „Admin Panel › API › Privacy“, am 08.10.2026 „Admin Panel › Vibe › Privacy“; sonst ist die Doku am 08.10. satzgleich zur Archivkopie web.archive.org/web/20261005091937); eine öffentliche Liste bewilligter Konten haben wir nicht gefunden, von außen ist es also für kein Konto nachprüfbar. Ohne ZDR laut Datenschutzerklärung (legal.mistral.ai/terms/privacy-policy, gültig ab 03.09.2026, geprüft 04.10.2026): Input und Output 30 Tage zur Missbrauchsüberwachung, technische Verbindungsdaten 1 Jahr.

Zertifikat im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit dem Abruf vom 08.10.2026): 'The Certification Body of Prescient Security LLC hereby certifies that the following organization operates an Information Security Management System that conforms to the requirements of ISO/IEC 27001:2022. Mistral AI SAS'; 'CERTIFICATE NUMBER: 122598 (Issue 2)', 'This certificate is valid until September 11, 2027', 'Issue Date : November 05, 2025 Certified Since : September 12, 2024'. Zertifizierer Prescient Security LLC (USA), akkreditiert durch IAS (USA, MSCB-267), nicht DAkkS; Einzelheiten in den Unterfeldern. Der Hilfe-Artikel (help.mistral.ai, Stand 12.08.2026) sagt weiterhin nur „Yes, Mistral complies with both SOC 2 Type II and ISO 27001/27701 frameworks.“

Letter of Attestation im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026), datiert 18.12.2025, 'Unqualified Opinion': 'Prescient Assurance LLC confirms SOC 2 Type 2 compliance by Mistral AI in accordance with the AICPA's Trust Service Criteria for Security.' Prüfzeitraum 'August 15, 2025 to November 15, 2025'. Belegt ist nur das Kriterium Security (nicht Availability, Confidentiality o. a.); der vollständige Bericht mit Systembeschreibung ist nicht öffentlich.

Datenschutz-Erweiterung zu ISO 27001. Zertifikat im Trust Center trust.mistral.ai ohne Anmeldung herunterladbar (am 09.10.2026 per direktem Abruf geladen, inhaltsgleich mit 08.10.2026): 'Privacy Information Management System that conforms to the requirements of ISO/IEC 27701:2019 and ISO/IEC 27001:2022 Mistral AI SAS'; 'CERTIFICATE NUMBER: 122598 - 2', 'This certificate is valid until September 11, 2027'. Zertifizierer Prescient Security LLC (USA), akkreditiert durch IAS (USA, MSCB-267), nicht DAkkS.

Mistral AI ist auf der offiziellen Signatoren-Liste der EU-Kommission namentlich aufgeführt (am 05.10.2026 unverändert).

Als CoP-Signatar verpflichtet, ein konkretes veröffentlichtes Dokument wurde aber nicht gefunden.