Mistral AI commercialise Le Chat sous trois offres distinctes (Free, Pro, Enterprise) dont les engagements RGPD divergent sur un point structurant pour un dirigeant : la réutilisation des prompts pour l’entraînement des modèles. L’hébergement européen ne couvre qu’une partie des exigences RGPD, et la gestion des données d’entraînement en constitue l’autre versant. Nous détaillons ici les points techniques qu’un décideur doit maîtriser avant tout déploiement.
Entraînement des modèles Mistral : le piège des offres Free et Pro
Les versions Le Chat Free et Le Chat Pro conservent et analysent les interactions des utilisateurs pour améliorer les modèles généraux de Mistral. La politique de confidentialité de Mistral, mise à jour au 7 avril 2026, confirme la collecte des données fournies par l’utilisateur, générées lors de l’utilisation et issues de tiers pour l’entraînement.
A voir aussi : Changements au 1er juillet 2025: ce qu'il faut savoir et anticiper
Un dirigeant qui laisse ses équipes utiliser Le Chat Free avec des données clients ou des informations salariales expose l’entreprise à un traitement au sens du RGPD, avec réutilisation potentielle des données pour l’entraînement. La base légale de ce traitement doit être identifiée. L’intérêt légitime ne suffit pas quand les données concernées sont sensibles ou identifiantes.
Seule l’offre Enterprise garantit contractuellement la non-réutilisation des données pour l’entraînement. Nous recommandons de considérer les versions Free et Pro comme des outils grand public, inadaptés à tout usage impliquant des données personnelles ou confidentielles de l’entreprise.
A découvrir également : Impact de la LACC sur les employés en entreprise : ce qu'il faut savoir
RGPD et Mistral Enterprise : clauses du DPA à vérifier avant signature
L’offre Enterprise de Mistral propose un Data Processing Agreement conforme au RGPD. Le DPA seul ne suffit pas. Trois points méritent une lecture attentive avant signature.
Localisation effective du traitement
Mistral héberge ses services en Europe, mais la chaîne de sous-traitants peut inclure des prestataires soumis au Cloud Act américain. Le DPA doit lister explicitement les sous-traitants ultérieurs et leur juridiction. Si un sous-traitant opère depuis les États-Unis, les clauses contractuelles types (SCC) ou un mécanisme équivalent doivent être documentés.
Durée de conservation et suppression
Le RGPD impose une durée de conservation proportionnée à la finalité. Nous observons que certains DPA de fournisseurs IA restent flous sur le délai effectif de purge après résiliation du contrat. Vérifiez que le DPA Mistral Enterprise précise un délai de suppression chiffré, et non une simple mention « dans un délai raisonnable ».
Droit d’opposition à l’entraînement
Même sur l’offre Enterprise, la CNIL a rappelé que les personnes concernées conservent leur droit d’opposition au traitement de leurs données pour l’entraînement de modèles. Si Mistral modifie ses conditions et réintègre un mécanisme d’apprentissage, le dirigeant doit disposer d’un levier contractuel pour s’y opposer. Cette clause doit figurer dans le DPA, pas dans les CGU générales.
Obligations CNIL et AI Act : ce qui s’applique dès maintenant au déploiement en entreprise
La CNIL et le CEPD (Comité européen de la protection des données) ont chacun publié des textes encadrant l’usage des modèles d’IA au regard du RGPD. Ces textes ne sont pas de simples guides : ils orientent les contrôles à venir.
- L’analyse d’impact (AIPD) est requise dès que le déploiement d’un outil comme Le Chat implique un traitement systématique de données personnelles à grande échelle, par exemple un service client automatisé ou une analyse RH.
- L’obligation d’information des personnes concernées s’applique : salariés, clients ou candidats dont les données transitent par Le Chat doivent être informés de manière claire, conformément aux articles 13 et 14 du RGPD. La CNIL a publié des lignes directrices dédiées à cette obligation dans le contexte IA.
- Le registre des traitements doit intégrer chaque usage de Le Chat comme un traitement distinct, avec sa finalité, sa base légale et ses mesures de sécurité propres.
L’AI Act européen ajoute une couche supplémentaire. Si l’usage de Le Chat entre dans la catégorie des systèmes à haut risque (scoring RH, décision de crédit, analyse juridique), des obligations de transparence et de supervision humaine s’appliquent en complément du RGPD.
Shadow AI et politique d’usage : le risque opérationnel le plus sous-estimé
La majorité des salariés qui utilisent un LLM en entreprise le font sans validation de la DSI. Ce phénomène de shadow AI transforme chaque collaborateur en point d’entrée potentiel pour une fuite de données. Un salarié qui colle un contrat client dans Le Chat Free alimente directement le corpus d’entraînement de Mistral.
Une charte d’usage IA interne est le minimum non négociable. Cette charte doit préciser :
- Les outils IA autorisés par catégorie de données (publiques, internes, confidentielles, personnelles), en distinguant explicitement Le Chat Free/Pro de l’offre Enterprise.
- L’interdiction de saisir des données personnelles identifiantes (noms, numéros de sécurité sociale, coordonnées clients) dans tout outil IA non contractualisé avec un DPA.
- Les modalités de formation des équipes aux risques RGPD liés à l’IA, avec une mise à jour au moins annuelle pour suivre les évolutions réglementaires.
- Le circuit de validation pour tout nouveau cas d’usage IA, impliquant le DPO ou le référent conformité avant déploiement.
Nous recommandons d’intégrer cette charte au règlement intérieur pour lui donner une portée disciplinaire. Un simple document sur l’intranet ne suffit pas à démontrer la conformité en cas de contrôle CNIL.
Mistral Le Chat versus ChatGPT et Claude : comparatif RGPD pour PME
Sur le plan de la souveraineté, Mistral et Claude (via Anthropic Europe) sont les deux seuls fournisseurs à proposer un hébergement européen contractualisable pour les données sensibles. ChatGPT Enterprise d’OpenAI héberge également en Europe sur demande, mais reste soumis au Cloud Act en tant qu’entité américaine.
Le coût pèse dans la décision. Mistral Le Chat Pro est facturé à un tarif nettement inférieur aux offres Enterprise de ChatGPT ou Claude, mais cette économie s’accompagne du risque de réutilisation des données pour l’entraînement. Le prix le plus bas n’est pas le plus conforme.
Pour une PME qui traite des données personnelles, le choix se résume à deux options viables sur le plan RGPD : Mistral Enterprise ou Claude Enterprise, avec un DPA vérifié par le DPO. Les offres à tarif réduit sans DPA adapté laissent subsister un risque de non-conformité que l’économie réalisée ne couvre pas.
