Une entreprise française ne suffit pas à rendre un usage conforme. Entraînement activé par défaut sur l'API, conversations conservées jusqu'à suppression, 30 jours de rétention : ce que dit vraiment le contrat de sous-traitance de Mistral AI, offre par offre, et les cinq réglages à contrôler.
Peut-on utiliser Mistral AI en mairie dans le respect du RGPD ? Oui, à condition de choisir la bonne offre et de vérifier ses réglages. Mistral AI est une société française, soumise au seul droit européen, et elle signe un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD. Mais plusieurs paramètres sont défavorables par défaut : sur l'API, la réutilisation des données pour améliorer les modèles est active tant qu'on ne la désactive pas, les conversations sont conservées jusqu'à leur suppression, et les échanges ordinaires restent trente jours chez Mistral pour la détection des abus.
La nationalité du fournisseur règle la question du droit applicable. Elle ne règle pas celle des réglages, et c'est celle-là que votre délégué à la protection des données vous posera.
Ce que règle, et ne règle pas, le fait que Mistral soit français
Mistral AI est une société anonyme de droit français, immatriculée à Paris. Ce point a une portée réelle : contrairement à un fournisseur dont la maison mère est américaine, elle n'est pas soumise au CLOUD Act, cette loi qui permet aux autorités des États-Unis d'exiger des données où qu'elles soient stockées. Nous avons détaillé ce mécanisme dans ChatGPT transmet-il vos données aux autorités françaises ?.
En revanche, la nationalité ne dit rien de trois questions décisives pour une collectivité :
- vos données servent-elles à entraîner les modèles ?
- combien de temps sont-elles conservées, et où ?
- qui, en dehors de Mistral, peut les traiter ?
Les réponses dépendent de l'offre souscrite et de quelques réglages. Les voici.
Le contrat de sous-traitance, en clair
Mistral publie un Data Processing Addendum dont la version en vigueur date du 27 juillet 2026. Il s'applique aux produits payants souscrits dans le cadre d'un contrat. Sept points méritent l'attention de votre DPO.
| Point du contrat | Ce que prévoit le DPA de Mistral |
|---|---|
| Rôle de Mistral | Sous-traitant : il traite les données pour le compte du client |
| Entraînement | Mistral se réserve, comme responsable de traitement, l'usage des données pour entraîner ses modèles, sauf si le client s'y oppose |
| Retours d'utilisateurs | Un retour donné dans l'interface (pouce, commentaire) peut servir à l'entraînement, avec la question et la réponse associées |
| Sous-traitants ultérieurs | Liste publiée sur le centre de confiance de Mistral, et non annexée au contrat |
| Transferts hors UE | Encadrés par les clauses contractuelles types de la Commission européenne |
| Violation de données | Notification « sans retard injustifié », sans délai chiffré |
| Audit | Un audit sur place par an au plus, avec 90 jours de préavis, à la charge du client |
Deux lignes de ce tableau appellent une décision de votre part. L'entraînement d'abord : le contrat le permet par défaut, il faut donc s'y opposer explicitement. La notification de violation ensuite : l'article 33 du RGPD vous laisse 72 heures pour notifier la CNIL, et un contrat sans délai chiffré ne vous garantit pas d'être prévenu à temps. Demandez un engagement écrit, par exemple 24 ou 48 heures.
Entraînement des modèles : tout dépend de l'offre
C'est le point qui surprend le plus, et il a évolué. En mai 2026, Mistral a renommé son assistant grand public, Le Chat, qui s'appelle désormais Vibe. Selon le centre d'aide de Mistral, mis à jour le 3 septembre 2026 :
| Offre | Données utilisées pour l'entraînement par défaut ? | Comment s'y opposer |
|---|---|---|
| Vibe, offre individuelle | Oui | Panneau d'administration, rubrique confidentialité de Vibe |
| Vibe, offre équipe | Réglable par l'administrateur | Désactivation au niveau de l'organisation |
| Vibe, offre entreprise | Non, exclusion par défaut | Activation éventuelle par l'administrateur seulement |
| API (Mistral Studio) | Oui, réglage « Anonymous improvement data » | Panneau d'administration, rubrique confidentialité |
Un détail fait commettre l'erreur : les deux réglages sont indépendants. Désactiver l'entraînement dans Vibe ne le désactive pas pour l'API, et inversement. Une commune qui utilise l'assistant et qui a fait développer un outil sur l'API doit vérifier les deux.
L'offre gratuite a fait l'objet d'une plainte auprès de la CNIL en février 2025, au motif que ses utilisateurs ne disposaient pas d'un moyen simple de s'opposer à l'entraînement. Pour une collectivité, la conclusion est simple : pas d'offre gratuite ni individuelle pour un usage de service.
Combien de temps les données restent chez Mistral
Trois durées coexistent, et elles ne se règlent pas au même endroit.
Trente jours pour les échanges ordinaires. Les questions et réponses envoyées à l'API sont conservées trente jours glissants, pour détecter les usages abusifs, puis supprimées.
Zéro jour, sur demande et sous conditions. Mistral propose une option de non-conservation (« Zero Data Retention »). Elle n'est ni automatique ni universelle : elle se demande au support, avec un motif légitime, Mistral l'accorde ou la refuse, et elle ne concerne que l'offre à l'usage et les appels sans mémoire (génération de texte, transcription audio, reconnaissance de texte, embeddings).
Sans limite pour les conversations et les agents. Les fonctions qui gardent un historique, comme l'API Conversations ou les agents, conservent les échanges jusqu'à leur suppression ou la clôture du compte. Elles sont exclues de la non-conservation. Un développeur peut désactiver le stockage d'un historique (paramètre store), encore faut-il qu'il le fasse.
Ce troisième cas est le plus sous-estimé. Un outil qui utilise les agents de Mistral, par exemple pour la recherche sur le web, accumule par défaut l'historique de toutes les questions posées. Demandez à votre prestataire comment il les supprime.
Où sont hébergées les données
Mistral annonce un hébergement dans l'Union européenne par défaut. Deux réserves :
- la région dépend du point d'accès utilisé : un point d'accès américain implique un traitement aux États-Unis ;
- les sous-traitants ultérieurs (hébergeurs, outils de support) figurent sur le centre de confiance de Mistral. Cette liste peut évoluer, et c'est elle qui fait foi, pas la nationalité de Mistral.
Pour une collectivité, la vérification tient en une question écrite au prestataire : quelle région de traitement est configurée, et pouvez-vous nous transmettre la liste des sous-traitants ultérieurs à jour ?
Les cinq réglages à vérifier
Si votre commune utilise Mistral directement, ou par l'intermédiaire d'un prestataire, voici la liste à transmettre.
- L'offre souscrite. Une offre entreprise ou un accès API sous contrat, jamais un compte gratuit ou individuel pour traiter des données de service.
- L'entraînement désactivé, dans Vibe et dans l'API, avec une capture du réglage à conserver au dossier.
- Le DPA signé, avec un délai de notification des violations compatible avec vos 72 heures.
- La conservation : suppression des conversations et des agents après usage, et demande de non-conservation si l'usage le justifie.
- La région de traitement et la liste des sous-traitants, versées à votre registre des traitements.
Si l'outil traite des données sensibles ou à grande échelle, ces éléments alimentent directement votre analyse d'impact (AIPD). Pour la clause d'usage interne qui interdit les données nominatives dans les assistants grand public, voir notre modèle de charte IA.
Ce que nous avons réglé chez Rostra
Rostra utilise les modèles de Mistral par défaut. Voici ce que nous avons fait sur chacun des points ci-dessus, y compris ce qui reste ouvert.
- Accès par l'API, sous contrat, jamais par un compte individuel.
- Entraînement désactivé dans la console Mistral, vérifié en septembre 2026 et revérifié à chaque revue annuelle, puisqu'il s'agit d'un réglage de compte.
- Conversations supprimées chez Mistral à la fin de chaque échange, et une purge horaire efface celles qui auraient échappé à la suppression. Nous avons constaté en septembre 2026 que l'historique des recherches s'accumulait par défaut : c'est ce qui nous a conduits à écrire ce paragraphe.
- Non-conservation demandée, pas encore obtenue. Les échanges ordinaires restent donc soumis aux trente jours de détection des abus. Pour en limiter la portée, le texte est anonymisé avant l'envoi : les noms et identifiants sont remplacés avant de quitter nos serveurs.
Le reste de l'architecture, hébergement et chiffrement, est détaillé sur notre page Souveraineté.
En résumé
- Mistral AI est française, donc hors du CLOUD Act, et signe un contrat de sous-traitance conforme au RGPD.
- Sur l'API et l'offre individuelle de Vibe, la réutilisation pour l'entraînement est active par défaut : il faut la désactiver, et les deux réglages sont indépendants.
- Les échanges ordinaires sont conservés 30 jours ; la non-conservation se demande et ne couvre pas les conversations ni les agents, conservés jusqu'à suppression.
- Le contrat ne fixe pas de délai chiffré de notification des violations : à négocier.
- Une entreprise française est un bon point de départ. Ce sont les réglages qui font la conformité.
Vous voulez la liste des réglages appliqués à votre commune ? Demandez une démonstration.
Sources : Mistral AI, Data Processing Addendum, version du 27 juillet 2026 ; Mistral AI, s'opposer à l'utilisation des données pour l'entraînement ; Mistral AI, activer la non-conservation des données ; Mistral AI, documentation de l'API Agents et Conversations ; Clubic, plainte auprès de la CNIL, février 2025 ; article 33 du RGPD.