Mistral AI - GDPR & Gegevensprivacy Overzicht (EU)

Versie: juni 2026 - opgesteld door WAIMAKERS B.V.

Samenvatting

Mistral AI is een Frans AI-bedrijf (gevestigd in Parijs, waarde ~€11,7 miljard post-money na de Series C van september 2025 onder leiding van ASML, ten opzichte van ~€6 miljard in juni 2024) dat frontier large language models aanbiedt via La Plateforme (API) en een gehost chatproduct dat Mistral nu presenteert als Vibe (voorheen Le Chat); sommige juridische/help-materialen gebruiken mogelijk nog Le Chat, dus koppel beide namen aan de exacte route.

Belangrijkste GDPR-overwegingen voor Europese klanten:

• ✅ EU-bedrijf: Frans bedrijf, hoofdkantoor in Parijs; gegevens standaard gehost in de EU (Zweden)
• ⚠️ VS-endpoint is opt-in: Gegevens worden standaard in de EU gehost; VS-hosting geldt alleen als u expliciet Mistral's VS-API-endpoint gebruikt. Afhankelijk van de functie kunnen gegevens daarnaast tijdelijk buiten de EU worden doorgegeven aan subverwerkers onder GDPR art. 46 SCC's
• ✅ API (La Plateforme): Gegevens NIET gebruikt voor training; 30 dagen bewaartermijn auditlogboeken
• ⚠️ Vibe / Le Chat: Actuele Mistral-documentatie stelt dat Vibe Free-gesprekken kunnen worden gebruikt om modellen te verbeteren tenzij gebruikers zich afmelden, terwijl Vibe Pro-, Team- en Enterprise-gesprekken standaard niet voor modeltraining worden gebruikt. Mistral presenteert Vibe inmiddels als voorheen Le Chat, terwijl sommige juridische/help-materialen nog Le Chat-terminologie gebruiken; verifieer daarom het gekozen abonnement en contract. GEEN Zero Data Retention (ZDR) beschikbaar op de gehoste chatroute.
• ⚠️ Recente GDPR-compliance: Klacht ingediend bij de Franse CNIL in feb. 2025 met de stelling dat de Le Chat-opt-out voor gratis gebruikers lastiger was dan voor Pro-abonnees; CNIL heeft nog geen beslissing gepubliceerd. Mistral voegde na de klacht een e-mailopt-out voor gratis gebruikers toe.
• ✅ SOC 2 / ISO 27001/27701-frameworks: Mistral stelt dat het voldoet aan SOC 2 Type II en ISO 27001/27701-frameworks; compliance-rapporten zijn op aanvraag beschikbaar via het Trust Center
• ✅ Optie voor zelfimplementatie: Volledige controle via open-weight modellen (Mistral 7B, Mixtral, Mistral Large) op uw eigen infrastructuur
• ⚠️ CLOUD Act / doorgifterisico: Mistral is een Frans bedrijf, maar door Google Cloud en VS-verwerking moeten CLOUD Act- en subverwerkerstoegangsrisico's nog steeds per gekozen route worden beoordeeld.
• ✅ Le Chat / Vibe privacy-erkenning (onafhankelijke ranglijst in feb. 2026, onder de oudere Le Chat-naam)
• ✅ Mistral Compute gelanceerd (juni 2025): 18.000 NVIDIA-chips in Frankrijk - eigen EU-infrastructuur uitgebreid
• ✅ Koyeb overgenomen (feb. 2026): Eerste overname voor cloudimplementatiemogelijkheden
• ✅ €1,2 miljard toegezegd voor Zweedse AI-datacenters
• ✅ 1,4 GW Parijs AI-campus gepland (met MGX/Bpifrance/NVIDIA)

Aanbeveling: Voor GDPR-gevoelige werklasten: gebruik La Plateforme API of overweeg zelfimplementatie voor maximale controle. Behandel de gehoste chatroute (Vibe / Le Chat) als abonnements- en contractafhankelijk, omdat er geen ZDR is en publieke documentatie van terminologie en plandefaults is gewijzigd.

---

Vergelijking van Mistral AI-aanbiedingen (EU-focus)

Aandachtspunten voor Europa

⚠️ Kritieke wijzigingen per februari 2025:

• VS-endpoint is opt-in: Gegevens worden standaard in de EU gehost; VS-hosting geldt alleen als u expliciet Mistral's VS-API-endpoint gebruikt. Afhankelijk van de functie kunnen gegevens tijdelijk buiten de EU worden doorgegeven aan subverwerkers onder SCC's (GDPR art. 46).[1]
• GDPR-klacht (CNIL, hangende): Klacht ingediend bij de Franse CNIL over het feit dat Le Chat geen eenvoudige opt-out bood aan gratis gebruikers; privacybeleid bijgewerkt op 6 feb 2025 om niet-Enterprise gebruikers een trainingsopt-out te bieden. CNIL heeft nog geen beslissing gepubliceerd.[2][3][4]
• Wijziging meldingsbeleid: Mistral stelt klanten niet langer in kennis van wijzigingen van subverwerkers (alleen van toevoegingen/vervangingen), waardoor de VS-uitbreiding zonder kennisgeving kon plaatsvinden.[1]

Infrastructuur: Google Cloud Platform (Zweden primair, Ierland back-up; VS-endpoint beschikbaar op opt-in-basis). Mistral Compute gelanceerd juni 2025 (18.000 NVIDIA-chips in Frankrijk). Koyeb overgenomen in februari 2026 voor cloudimplementatie. €1,2 miljard toegezegd voor Zweedse AI-datacenters. 1,4 GW AI-campus in Parijs gepland (met MGX/Bpifrance/NVIDIA).[5][6]

Gegevensbewaring:

• API: 30 dagen auditlogboeken voor operationele monitoring/misbruikdetectie (niet gebruikt voor training)[7]
• Vibe / Le Chat: Geen ZDR beschikbaar op de gehoste chatroute (architecturele vereiste voor gespreksgeschiedenis); gegevens worden alleen verwijderd bij handmatige actie van de gebruiker[8]

Prijsstelling: Alle prijzen in EUR. Gratis niveau beschikbaar; Pro €14,99/maand; Team €24,99/gebruiker/maand; Enterprise maatwerk.[9]

Training controls: Actuele Mistral-documentatie stelt dat Vibe Free-gesprekken kunnen worden gebruikt voor modelverbetering tenzij gebruikers opt-out inschakelen, terwijl Vibe Pro-, Team- en Enterprise-gesprekken standaard niet voor modeltraining worden gebruikt; API-data wordt niet gebruikt voor modeltraining. Omdat oudere help-/juridische pagina's nog Le Chat-terminologie gebruiken en andere plandefaults hebben beschreven, bevestig het gekozen abonnement en contract voordat u op een no-training-positie vertrouwt. Feedback via duimpjes/commentaar blijft een aparte categorie en kan worden gebruikt als deze wordt ingediend.[10]

---

Is Mistral AI GDPR-Compliant?

Kort antwoord: Mogelijk, maar alleen per route en met gedocumenteerde controls. Vibe / Le Chat wordt NIET aanbevolen voor gevoelige gegevens vanwege (1) geen ZDR-optie, (2) abonnementsafhankelijke training controls die in actuele beheerinstellingen en contract moeten worden bevestigd, en (3) VS-verwerking. La Plateforme API of zelfimplementatie zijn veiligere opties voor GDPR-gevoelige werklasten.

Van toepassing op alle abonnementen

• EU-bedrijf - Frans bedrijf (Parijs) onderworpen aan de GDPR en toezicht van de Franse gegevensbeschermingsautoriteit (CNIL)[11]
• EU-datahosting - EU standaard (Zweden primair, Ierland back-up); VS alleen als u expliciet Mistral's VS-API-endpoint gebruikt[6][1]
• DPA beschikbaar - Standaard verwerkersovereenkomst; lijst van subverwerkers op trust.mistral.ai[12]
• Training per route - Actuele Mistral-documentatie stelt dat Vibe Free kan worden gebruikt voor modelverbetering tenzij opt-out is ingeschakeld, dat Vibe Pro/Team/Enterprise standaard niet voor modeltraining wordt gebruikt, en dat API-data niet voor modeltraining wordt gebruikt.[10]
• Versleuteling - Gegevens versleuteld in transit en in rust, gerepliceerd over meerdere EU-zones[13]
• SOC 2 - Op aanvraag beschikbaar voor klanten[13]

Afhankelijk van het abonnement

Free, Pro, Team:

• Gehoste chatroute (Vibe / Le Chat; geen API-toegang op Free/Pro; Team omvat beperkte API)
• Free vereist opt-out om modelverbeteringsgebruik te voorkomen; Pro/Team no-training-default moet alsnog in beheerinstellingen en contract worden bevestigd
• Geen ZDR (gegevens bewaard tot handmatige verwijdering)
• Gegevens kunnen in de VS worden verwerkt

Enterprise:

• API-toegang met contractuele no-training-garantie
• Hosted chat Enterprise standaard no-training volgens actuele docs; bevestig in contract
• Implementatieopties: on-premises, private cloud of serverless hybrid
• Studio/API ZDR kan worden aangevraagd, maar scope, goedkeuring en prijsstelling moeten contractueel worden bevestigd
• Toegang tot SOC 2-rapport
• Maatwerk bewaarbeleid onderhandelbaar
• Mistral stelt dat het voldoet aan SOC 2 Type II en ISO 27001/27701-frameworks; vraag actuele scope en datums van rapporten op via het Trust Center[14]

---

Vibe / Le Chat (Gehoste Chatinterface)

Wat het is: ChatGPT-achtige conversatie-interface via Mistral's gehoste chatproduct. Actuele Mistral product- en privacydocumentatie presenteert deze route als Vibe en beschrijft Le Chat als de vroegere naam; sommige juridische/help-pagina's gebruiken mogelijk nog Le Chat.

Trainingsbeleid: Actuele Mistral-documentatie stelt dat Vibe Free-gesprekken kunnen worden gebruikt voor modelverbetering tenzij gebruikers zich afmelden. Vibe Pro-, Team- en Enterprise-gesprekken worden standaard niet gebruikt voor modeltraining. Feedback die met ratings/commentaar wordt ingediend kan nog steeds worden gebruikt voor modelverbetering; verifieer de gekozen route en het contract voordat u hierop vertrouwt.[10]

⚠️ Belangrijke beperking: Zero Data Retention (ZDR) is NIET beschikbaar in Vibe / Le Chat voor enig abonnement. Dit is een architecturele vereiste - Mistral moet gespreksgegevens opslaan om de functionaliteit voor gespreksgeschiedenis te bieden.[8]

Verwijdering van gegevens: Gesprekken worden bewaard totdat:

• De gebruiker het gesprek handmatig verwijdert, OF
• De gebruiker het volledige account verwijdert

Opt-out- / verificatieproces: Controleer in het Admin Panel de data-sharing/training-instellingen voor de gekozen organisatie. Free-gebruikers moeten data sharing uitschakelen als zij de gehoste chatroute gebruiken; Pro-, Team- en Enterprise-gebruikers moeten de no-training-default alsnog in beheerinstellingen en het ondertekende contract bevestigen.[10]

Prijsstelling:

• Free: €0/maand
• Pro: €14,99/maand
• Team: €24,99/gebruiker/maand
• Enterprise: Maatwerk

Wanneer te gebruiken: Persoonlijk experimenteren, niet-vertrouwelijk brainstormen, onderzoek met publieke informatie.

Wanneer NIET te gebruiken: Klantgegevens, persoonsgegevens onder de GDPR, bedrijfsgeheimen, gereguleerde informatie, gegevens die ZDR vereisen.

---

La Plateforme (API)

Wat het is: API-toegang tot Mistral's modellen (Mistral Large 2, Mixtral 8x22B, Mistral Small, etc.) voor ontwikkelaars en applicaties.

Trainingsbeleid: Via de API ingediende gegevens worden NIET gebruikt voor modeltraining (contractuele garantie).[15]

Bewaring: API-logboeken bewaard gedurende 30 dagen voor auditing en misbruikmonitoring, daarna automatisch verwijderd.[7]

⚠️ Enterprise zero-retention-check: Publieke documentatie ondersteunt 30 dagen standaardbewaring voor API-logboeken, en Zero Data Retention is gedocumenteerd als beschikbaar op het Scale-plan voor stateless API-aanroepen (aan te vragen via het Help Center/support). Bevestig de gedekte endpoints en eventuele prijsstelling voor uw plan.

Gegevensverwerking: EU standaard (Google Cloud, Zweden primair, Ierland back-up); VS alleen als u expliciet Mistral's VS-API-endpoint gebruikt. Overige niet-EU-doorgiftes zijn tijdelijk en onder SCC's.[6][1]

Compliance: Mistral stelt dat het voldoet aan SOC 2 Type II en ISO 27001/27701-frameworks, met compliance-rapporten op aanvraag; uiteindelijke GDPR-compliance hangt af van route, contract, use case, transfer assessment en configuratie.[13][14]

Prijsstelling: Pay-as-you-go of abonnement; zie mistral.ai/pricing voor actuele tarieven.

Wanneer te gebruiken: Productieapplicaties, API-integraties, geautomatiseerde workflows waarvoor een contractuele no-training-garantie vereist is.

Wanneer NIET te gebruiken: Als VS-verwerking onaanvaardbaar is (overweeg dan zelfimplementatie).

---

Zelfimplementatie (Volledige Controle)

Wat het is: Implementeer Mistral's open-weight modellen (Mistral 7B, Mixtral 8x7B, Mixtral 8x22B, Mistral Large) op uw eigen infrastructuur via vLLM, TensorRT-LLM of TGI.[16]

Training: Uw keuze - geen betrokkenheid van Mistral-cloud.

Bewaring: Uw keuze.

Dataresidentie: Uw infrastructuur (EU, on-premises, etc.).

Compliance: Uw verantwoordelijkheid.

Prijsstelling: Geen Mistral-kosten; uitsluitend uw hosting-/rekenkosten.

Aanbevolen engines:

• vLLM (alleen Python, OpenAI-compatibele API)[17]
• TensorRT-LLM (NVIDIA-geoptimaliseerd)[18]
• TGI (Hugging Face)[19]

Infrastructuurbeheertools: SkyPilot, Cerebrium[16]

Wanneer te gebruiken: Sterk gereguleerde sectoren, air-gapped omgevingen, volledige datasouvereiniteit vereist, VS-verwerking onaanvaardbaar.

Wanneer NIET te gebruiken: Gebrek aan ML/DevOps-expertise, kleinschalige gebruiksscenario's waarbij de API kosteneffectiever is.

---

Gegevensverwerkingsstroom

Vibe / Le Chat (gehoste chatinterface)

Gebruiker dient prompt in
  ↓
Mistral-servers (EU standaard; VS alleen via expliciet VS-endpoint) via Google Cloud Platform
  ├─ Verwerkt door geselecteerd model
  ├─ Antwoord gegenereerd
  └─ Gesprek opgeslagen (geen ZDR-optie)
      ├─ Free: KAN worden gebruikt voor modelverbetering tenzij opt-out actief is
      ├─ Pro/Team/Enterprise: NIET gebruikt voor modeltraining volgens actuele docs
      └─ Feedback met ratings/commentaar: kan nog steeds worden gebruikt voor verbetering

Gegevens blijven bewaard totdat:
  - Gebruiker het gesprek handmatig verwijdert, OF
  - Gebruiker account verwijdert

Noot: GDPR-klacht van februari 2025 leidde tot updates rond opt-out voor gratis gebruikers. Actuele Mistral-documentatie en productpagina's gebruiken Vibe/voorheen Le Chat-terminologie, dus verifieer de actuele productinstelling en het uitgevoerde contract voorafgaand aan uitrol.[2][4]

La Plateforme (API)

API-verzoek
  ↓
Mistral-servers (EU standaard; VS alleen via expliciet VS-endpoint) via Google Cloud Platform
  ├─ Verwerkt door geselecteerd model
  ├─ Antwoord teruggegeven aan client
  └─ Logboeken 30 dagen bewaard (audit/misbruikmonitoring)
      ├─ NIET gebruikt voor training (contractueel)
      └─ Na 30 dagen automatisch verwijderd

Enterprise:
  - Tokens standaard 30 dagen opgeslagen
  - Bevestig eventuele zero-retention-optie contractueel

Zelfimplementatie

API-verzoek
  ↓
Uw infrastructuur (uw keuze)
  ├─ Verwerkt door zelfgehost model
  ├─ Antwoord teruggegeven
  └─ Geen betrokkenheid van Mistral-cloud

Gegevensverwerking: Uw verantwoordelijkheid

---

Aanbevelingen (GDPR-first)

✅ Veilig voor productie (met voorbehouden)

• La Plateforme API voor applicaties waarbij 30 dagen auditbewaring aanvaardbaar is en VS-verwerking is toegestaan
• Zelfimplementatie voor air-gapped, sterk gereguleerde of EU-souvereiniteits-vereiste omgevingen

⚠️ Gebruik met voorzichtigheid

• Vibe / Le Chat Team/Enterprise uitsluitend voor interne samenwerking aan niet-gevoelige gegevens (geen ZDR beschikbaar)
• API zonder maatwerk-contract als VS-verwerking een aandachtspunt is (vraag EU-exclusieve verwerking aan indien beschikbaar)

❌ Niet gebruiken

• Vibe / Le Chat (enig niveau) voor persoonsgegevens van klanten, bedrijfsgeheimen, gereguleerde gegevens of alles waarvoor ZDR vereist is
• Enig Mistral-aanbod als VS-verwerking onaanvaardbaar is en zelfimplementatie niet haalbaar is

DPIA vereist voor

• Verwerking van persoonsgegevens via Vibe / Le Chat (enig niveau)
• Hoog-risicoverwerking via API zonder maatwerk-DPA
• Elk gebruiksscenario met bijzondere categorieën persoonsgegevens

---

EU-implementatie Checklist (Praktisch)

1. Kies het juiste product

• ✅ API (La Plateforme) voor productie-apps met no-training-vereiste
• ✅ Zelfimplementatie voor volledige souvereiniteit en EU-exclusieve verwerking
• ❌ Vibe / Le Chat voor gevoelige/vertrouwelijke gegevens (geen ZDR; verifieer abonnementspecifieke training-instellingen en contract)

2. Beoordeel DPA en subverwerkers

• Vraag DPA aan bij Mistral (standaard beschikbaar)
• Beoordeel lijst van subverwerkers op trust.mistral.ai[12]
• Let op: Google Cloud Platform is de primaire subverwerker (EU + VS per feb 2025)[1]

3. Opt-out voor training configureren

• Vibe / Le Chat Free: data sharing uitschakelen in beheer-/gebruikersinstellingen indien gebruikt. Pro/Team/Enterprise: bevestig de no-training-default in beheerinstellingen en het uitgevoerde contract.[10]
• API: No-training-garantie is contractueel (verifieer in overeenkomst)[15]

4. Gegevensstromen documenteren

• Waar gegevens worden verwerkt: EU (Zweden/Ierland) + VS
• Bewaringstermijnen: API 30 dagen, gehoste chat tot handmatige verwijdering
• Trainingsbeleid: API geen training; gehoste chatroute afhankelijk van abonnement en geverifieerde instellingen

5. Compliancedocumentatie opvragen

• SOC 2-rapport (op aanvraag beschikbaar voor klanten)[13]
• Scope en datums van SOC 2 Type II- en ISO 27001/27701-rapporten[14]
• DPA en Standard Contractual Clauses (bij VS-overdrachtsbezwaren)

6. Beoordeel impact van VS-overdracht

• Wijziging van februari 2025 staat VS-verwerking toe zonder kennisgeving
• Indien onaanvaardbaar: onderhandel over EU-exclusieve verwerking of gebruik zelfimplementatie

7. Dataminimalisatie implementeren

• Dien alleen noodzakelijke gegevens in via API of gehoste chat
• Verwijder PII voor indiening waar mogelijk
• Gebruik pseudonimisering voor identificatoren

8. Beheer van rechten van betrokkenen

• Gehoste chat: Gebruikers kunnen gesprekken handmatig verwijderen
• API: Vraag verwijderingsprocedures op bij Mistral voor 30-daagse logboeken
• Documenteer hoe GDPR-verzoeken om inzage worden afgehandeld

---

Veelgestelde Vragen bij Inkoop

V: Is Mistral AI een Europees bedrijf?

A: Ja. Mistral AI is een Frans bedrijf gevestigd in Parijs (15 rue des Halles, 75001 Parijs), opgericht in april 2023, gewaardeerd op ~€11,7 miljard post-money na de Series C van september 2025 (onder leiding van ASML), ten opzichte van ~€6 miljard in juni 2024.[11][20]

V: Waar worden gegevens opgeslagen en verwerkt?

A: Primaire hosting in Zweden via Google Cloud Platform, met back-up in Ierland. Gegevens worden standaard in de EU gehost; gegevens worden alleen in de VS gehost als u expliciet Mistral's VS-API-endpoint gebruikt, en overige niet-EU-doorgiftes zijn tijdelijk en onder SCC's.[6][1] Mistral bouwt ook een datacenter nabij Parijs (Bruyères-le-Châtel), gefinancierd met een schuldopname van ~€750 miljoen ($830M), los van de ~€1,2 miljard die is toegezegd voor AI-datacenters in Zweden.[5]

V: Gebruikt Mistral onze gegevens om modellen te trainen?

A: Afhankelijk van het product:

• La Plateforme API: NEE. Contractuele garantie dat API-gegevens niet worden gebruikt voor training.[15]
• Vibe / Le Chat: Actuele Mistral-documentatie stelt dat Free-gesprekken kunnen worden gebruikt voor modelverbetering tenzij opt-out actief is; Pro-, Team- en Enterprise-gesprekken worden standaard niet gebruikt voor modeltraining. Verifieer dit in beheerinstellingen en contract.[10]

V: Is Zero Data Retention (ZDR) beschikbaar?

A: Vibe / Le Chat: GEEN ZDR op enig abonnement (architecturele beperking voor gespreksgeschiedenis).[8]

API: 30 dagen auditlogboekbewaring standaard. Zero Data Retention is gedocumenteerd als beschikbaar op het Scale-plan voor stateless API-aanroepen, aan te vragen via het Help Center/support en goedgekeurd naar inzicht van Mistral; bevestig de gedekte endpoints en eventuele prijsstelling voor uw plan.

Zelfimplementatie: Volledige controle over bewaring.

V: Waar ging de GDPR-klacht van februari 2025 over?

A: Er werd een klacht ingediend bij de Franse CNIL (gegevensbeschermingsautoriteit) met het verwijt dat alleen Le Chat Pro-abonnees een eenvoudige opt-outknop hadden, terwijl gratis gebruikers moesten mailen naar privacy@mistral.ai. Mistral heeft daarna een opt-out voor gratis gebruikers toegevoegd, maar het verschil in gebruiksgemak tussen gratis en betaalde gebruikers blijft een aandachtspunt. Enterprise is standaard no-training.[2][3][21][4]

V: Welke compliancecertificeringen heeft Mistral?

A:

• ✅ SOC 2: Op aanvraag beschikbaar voor klanten[13]
• ✅ SOC 2 / ISO 27001/27701-frameworks: Mistral stelt dat het voldoet aan SOC 2 Type II en ISO 27001/27701-frameworks; vraag actuele compliance-rapporten op via het Trust Center[14]
• ✅ GDPR-kader: Frans bedrijf onderworpen aan de GDPR, met route-specifieke controls die nog steeds beoordeeld moeten worden
• ❌ HIPAA: Niet vermeld in publieke documentatie

V: Kan ik gegevensverwerking beperken tot uitsluitend de EU?

A: EU-hosting is de standaard; gegevens worden alleen in de VS gehost als u expliciet Mistral's VS-API-endpoint gebruikt, en overige niet-EU-doorgiftes zijn tijdelijk en onder SCC's.[1] Opties:

• Gebruik het (standaard) EU-API-endpoint en vermijd het VS-endpoint; neem voor de strengste eisen contact op met Mistral Enterprise Sales
• Gebruik zelfimplementatie voor volledige controle over gegevenslocatie

V: Hoe lang worden gegevens bewaard?

A:

• API: 30 dagen (uitsluitend auditlogboeken, daarna automatisch verwijderd)[7]
• Vibe / Le Chat: Tot de gebruiker het gesprek of het account handmatig verwijdert[8]

V: Welke modellen zijn beschikbaar voor zelfimplementatie?

A: Mistral 7B, Mixtral 8x7B, Mixtral 8x22B, Mistral Large (123B parameters). Allen beschikbaar onder permissieve open-weight licenties.[20][16]

V: Wat is de relatie van Mistral met Microsoft Azure?

A: Strategisch partnerschap gelanceerd in 2024. Mistral-modellen (Large 2, Mixtral, Nemo, etc.) beschikbaar via Azure AI Foundry als Model-as-a-Service (MaaS) of real-time endpoints. Azure-implementatie valt onder het DPA- en compliancekader van Microsoft (los van Mistral's eigen cloud).[20][22]

---

Aandachtspunten & Voorbehouden

⚠️ Subverwerker-/meldingswijziging februari 2025: In feb 2025 paste Mistral zijn subverwerkersvoorwaarden en meldingsbeleid aan (meldt nu alleen toevoegingen/vervangingen van subverwerkers, niet wijzigingen). Volgens Mistral's actuele data-opslagdocumentatie is EU-hosting de standaard en geldt VS-hosting alleen als u expliciet het VS-API-endpoint gebruikt; beoordeel het VS-doorgifterisico voor uw gekozen route.[1]

⚠️ Geen Vibe / Le Chat ZDR: Zero Data Retention is niet beschikbaar op de gehoste chatroute, omdat gespreksgeschiedenis permanente opslag vereist. Dit geldt voor alle abonnementen, inclusief Enterprise.[8]

⚠️ Verifieer scope van compliance-rapporten: Mistral stelt momenteel dat het voldoet aan SOC 2 Type II en ISO 27001/27701-frameworks. Vraag de actuele rapporten op via het Trust Center en verifieer scope, datums en gedekte diensten voordat u erop vertrouwt bij inkoop.[14]

⚠️ Training-instellingen voor gehoste chat vereisen verificatie: Actuele Mistral-documentatie stelt dat Vibe Free kan worden gebruikt voor modelverbetering tenzij opt-out actief is, terwijl Vibe Pro/Team/Enterprise-gesprekken standaard niet voor modeltraining worden gebruikt. Verifieer de actuele beheerinstelling en het contract voordat u hierop vertrouwt.[10]

✅ Voordeel als EU-bedrijf: Als Frans bedrijf is Mistral rechtstreeks onderworpen aan de GDPR en het toezicht van de CNIL, wat mogelijk sterkere handhaving biedt in vergelijking met niet-EU-leveranciers.

✅ Open-weight modellen: Mistral's inzet voor open-weight modellen (Mistral 7B, Mixtral) maakt zelfimplementatie mogelijk, waardoor ondernemingen volledige controle over gegevens hebben en het risico van cloudleveranciers wordt geëlimineerd.

⚠️ Geschiedenis van GDPR-klacht: Klacht ingediend in februari 2025; Mistral paste zijn beleid aan om opt-out voor gratis gebruikers in te schakelen. CNIL publiceerde in juni 2025 richtlijnen over GDPR-grondslagen voor AI-training. Omdat CNIL nog geen beslissing heeft gepubliceerd, blijft dit een aandachtspunt.

⚠️ CLOUD Act / doorgifterisico: Mistral is opgericht onder Frans recht, maar Mistral's Google Cloud-subverwerker omvat VS-verwerking. Beoordeel CLOUD Act-, subverwerkerstoegangs- en doorgifterisico's voor de exacte implementatieroute in plaats van Mistral als EU-only te behandelen.

✅ Mistral Compute (juni 2025): Eigen compute-infrastructuur gelanceerd met 18.000 NVIDIA-chips in Frankrijk, waardoor de afhankelijkheid van Google Cloud Platform afneemt.

✅ Overname Koyeb (feb. 2026): Mistral's eerste overname voegt cloudimplementatiemogelijkheden toe voor Europese klanten.

✅ Le Chat / Vibe privacyranglijst: Het gehoste chatproduct stond in februari 2026 onder de oudere Le Chat-naam bovenaan een onafhankelijke AI-privacyranglijst, vanwege training controls en EU-hosting.

---

Disclaimer

Dit overzicht is uitsluitend bedoeld als informatief hulpmiddel. Wij adviseren klanten dringend om alle verwerkersovereenkomsten (DPA's) en privacydocumentatie grondig te bestuderen alvorens Mistral AI in productieomgevingen in te zetten - met name bij de verwerking van persoonsgegevens, bedrijfsgeheimen of gereguleerde informatie.

WAIMAKERS past dit principe ook intern toe; alle tools die wij gebruiken zijn grondig beoordeeld en opgenomen in onze eigen privacy- en beveiligingsdocumentatie.

Klanten dienen altijd zorgvuldig de officiële documentatie, voorwaarden en DPA's van elke AI-aanbieder die zij gebruiken te evalueren. WAIMAKERS kan niet juridisch aansprakelijk worden gesteld voor fouten, onnauwkeurigheden of voor de juistheid, actualiteit of volledigheid van de informatie in dit document; de uiteindelijke verantwoordelijkheid voor GDPR-compliance berust bij de klant.

Aandachtspunten die rechtstreekse verificatie bij Mistral vereisen:

• Beschikbaarheid en prijsstelling van Enterprise Zero Data Retention
• Opties en kosten voor EU-exclusieve verwerking
• Actuele scope, datums en gedekte diensten van SOC 2 / ISO 27001/27701-rapporten
• Maatwerk DPA-voorwaarden voor sterk gereguleerde sectoren

Opgesteld en uitgegeven door WAIMAKERS B.V. - juni 2026.

---

Referenties

• https://mistral.ai/static/doc/fr-politique-de-confidentialite.pdf - Mistral AI Privacybeleid (6 februari 2025)
• https://www.lefigaro.fr/secteur/high-tech/rgpd-mistral-ai-accuse-d-exploiter-illegalement-les-donnees-personnelles-de-ses-utilisateurs-20250212 - Le Figaro: Mistral AI GDPR-klacht
• https://help.mistral.ai/en/collections/789666-trust-security-compliance - Mistral AI Trust, Beveiliging & Compliance
• https://help.mistral.ai/en/articles/347638-do-you-have-soc-2-or-iso-27001-certification - Mistral AI: SOC 2- en ISO 27001/27701-frameworkverklaring
• https://help.mistral.ai/en/articles/347617-do-you-use-my-user-data-to-train-your-artificial-intelligence-models - Mistral AI: Beleid inzake training op gebruikersgegevens
• https://docs.mistral.ai/admin/security-access/privacy - Mistral docs: Vibe/API-datagebruik en training controls
• https://help.mistral.ai/en/articles/156194-does-mistral-ai-exploit-users-data-to-train-its-models - Mistral AI API Trainingsbeleid
• https://trust.mistral.ai/ - Mistral AI Trust Center en Subverwerkers
• https://docs.mistral.ai/deployment/self-deployment/overview - Mistral AI Documentatie Zelfimplementatie