En bref
- Sur Vibe (anciennement Le Chat), les échanges servent par défaut à l’entraînement, sauf refus ; les clients Enterprise en sont exclus par défaut.
- Sur l’API, les clients disposent d’un réglage pour refuser l’entraînement, dans le panneau d’administration.
- La Zero Data Retention couvre les appels sans état (chat completions, OCR…) et exclut notamment Agents, Conversations, Files, le traitement par lots et Chat.
- Conservation nulle et refus de l’entraînement sont deux réglages distincts : l’un n’implique pas l’autre.
- Les données sont hébergées dans l’UE par défaut, avec des transferts temporaires possibles selon la fonctionnalité.
Vibe ou API : deux régimes différents
Mistral AI propose des produits prêts à l'emploi (Vibe, qui a pris la suite de Le Chat) et une plateforme pour développeurs (Mistral Studio et son API). Les règles d'utilisation des données pour l'entraînement ne sont pas les mêmes, et c'est la première source de confusion : ce qui est vrai pour l'un ne l'est pas pour l'autre.
| Offre | Entraînement sur vos données | Source |
|---|---|---|
| Vibe | Utilisées par défaut, sauf refus dans les réglages | Centre d’aide Mistral |
| Vibe (Teams) | Les administrateurs peuvent désactiver l’entraînement pour toute l’organisation | Centre d’aide Mistral |
| Vibe (Enterprise) | Exclu par défaut ; l’activation est gérée par l’administrateur | Centre d’aide Mistral |
| Mistral Studio, mode gratuit | Mistral peut utiliser les entrées et les sorties, avec un droit de refus | Centre d’aide Mistral |
| Mistral Studio, paiement à l’usage | Le client garde le contrôle et peut refuser à tout moment | Centre d’aide Mistral |
Les conditions commerciales de Mistral posent la règle générale dans leur article 4.2 : pas d'entraînement sur les données du client, sauf dans quatre cas.
« Mistral AI will not use Customer Data or Outputs to train its artificial intelligence models except (a) when you (i) opted-in to training on a Mistral AI Product set to opt-out by default or (ii) have not opted-out of training on a Mistral AI Product set to opt-in by default, (b) when Customer or an End User provides Feedback to Mistral AI, (c) as otherwise may be provided in an Order Form or (d) when Customer uses Labs or Preview Models. »
En pratique : sur un produit réglé pour entraîner par défaut, rien ne change tant que vous n'avez pas refusé. Et deux exceptions demeurent même une fois le refus activé : les retours envoyés volontairement (évaluation d'une réponse, par exemple), et l'usage des modèles Labs ou en préversion.
Zero Data Retention : ce qui est couvert, ce qui ne l’est pas
La conservation nulle est proposée sur les offres payantes, pour les appels d'API dits sans état : ceux qui n'ont pas besoin de stocker l'entrée ou la sortie une fois la requête terminée. Elle s'applique aux modèles pris en charge, à l'exception des modèles Labs. Les services qui doivent stocker des données pour fonctionner, pour afficher un historique ou traiter des fichiers, en sont exclus.
| Couvert par la ZDR | Non couvert |
|---|---|
| Chat completions | Agents |
| Fill-in-the-middle et embeddings | Traitement par lots (batch) |
| Modération et classification | Conversations et Libraries |
| OCR | API Files |
| Synthèse et transcription vocales | Vibe Work et Chat |
« ZDR and training opt-out are separate controls. »
C'est le point qui échappe le plus souvent. Activer la conservation nulle ne désactive pas l'entraînement, et refuser l'entraînement ne supprime pas la conservation. Un cabinet qui veut les deux garanties doit régler les deux, puis s'assurer que ses usages restent dans le périmètre couvert.
Attention aux fichiers et au traitement par lots
Téléverser un document via l'API Files, ou passer par le traitement par lots, sort du périmètre de la conservation nulle : ces services stockent des données pour fonctionner. Pour analyser un document, un appel OCR ou chat completions direct reste dans le périmètre.
Où sont hébergées les données
« By default, your data is hosted in the European Union. »
Deux nuances figurent sur la même page. Un client peut utiliser explicitement le point d'accès américain de l'API, et ses données sont alors hébergées aux États-Unis. Et selon la fonctionnalité, les données peuvent être transférées temporairement hors de l'Union, vers les sous-traitants listés dans le Trust Center de Mistral ; l'éditeur indique encadrer ces transferts par les garanties de l'article 46 du RGPD, notamment les clauses contractuelles types de la Commission européenne.
Pour un cabinet, la question utile n'est donc pas « Mistral est-il français ? » mais « quel point d'accès, quelles fonctionnalités et quels sous-traitants pour mon usage ? ». La nationalité de l'éditeur ne répond à aucune des trois.
Mistral, sous-traitant de votre cabinet
Quand vous faites analyser des documents de clients par l'API, vous restez responsable du traitement : c'est vous qui en fixez la finalité et les moyens. Mistral agit comme sous-traitant, et l'article 28 du RGPD impose alors un contrat qui encadre ses obligations : traitement sur instruction documentée, confidentialité, sécurité, recours à d'autres sous-traitants, aide au respect des droits des personnes, sort des données en fin de prestation.
Mistral publie un accord de traitement des données (Data Processing Addendum) aux côtés de ses conditions. Lisez-le avec vos réglages en tête : il décrit un cadre, et ce sont les options activées dans votre console qui décident de ce qui s'applique réellement à vos données.
Si vous passez par un outil tiers qui appelle lui-même Mistral, la chaîne s'allonge : l'outil est votre sous-traitant, Mistral devient un sous-traitant ultérieur, et c'est à l'outil de vous dire quels réglages il a activés et pour quels appels.
Le règlement européen sur l'intelligence artificielle ne change rien à cette analyse : son article 2, paragraphe 7 précise qu'il « n'a pas d'incidence sur le règlement (UE) 2016/679 ». Pour des données de clients envoyées à un modèle, c'est le RGPD qui s'applique.
Le choix du notariat
Le Conseil supérieur du notariat a annoncé en juillet 2026 qu'il choisissait Mistral AI et Scaleway pour permettre aux offices d'accéder à l'IA « dans un environnement cloud européen sécurisé, maîtrisé et garantissant le respect du secret professionnel du notaire ». Il s'agit d'un « partenariat d'une durée de 18 mois entre le CSN et Mistral ».
Le signal est utile : une profession dont le secret est « général et absolu » (code de déontologie des notaires, article 8) a jugé ce cadre compatible avec ses exigences. Mais ce n'est pas un blanc-seing pour tous les usages : le dispositif du CSN repose sur un contrat et une infrastructure négociés pour la profession, pas sur les réglages par défaut d'un compte ouvert en ligne.
Ce qu’un cabinet doit vérifier
- Quelle offre ? Vibe, Vibe Teams, Vibe Enterprise ou l’API : le régime d’entraînement par défaut n’est pas le même.
- Entraînement refusé ? Pour l’API, dans le menu Privacy du panneau d’administration ; pour Vibe Teams, au niveau de l’organisation.
- Conservation nulle activée, et pour quels appels ? Vérifiez que vos usages restent dans le périmètre : pas d’API Files, pas de traitement par lots, pas d’Agents.
- Quel point d’accès ? Européen par défaut ; assurez-vous que personne n’utilise le point d’accès américain.
- Modèles Labs ou en préversion ? Leur usage fait partie des exceptions prévues par les conditions commerciales.
- Retours et évaluations ? Ils sont une autre exception : désactivez-les ou formez vos équipes.
- Contrat de sous-traitance archivé, et registre des traitements à jour.
- Minimisation : même bien réglé, un modèle n’a pas besoin du nom de votre client pour analyser un contrat. Retirez les identifiants avant l’envoi.
Comment BlinDoc utilise Mistral
BlinDoc appelle l'API de Mistral AI pour deux tâches : la détection des données personnelles avec le modèle mistral-large-latest, et la lecture des scans et des photos avec mistral-ocr-latest. Ce sont des appels sans état, envoyés directement : BlinDoc n'utilise ni l'API Files, ni le traitement par lots de Mistral, ni les Agents.
La conservation nulle (Zero Data Retention) est activée sur l'organisation Mistral de BlinDoc. De notre côté, le document n'est jamais écrit sur disque et quitte la mémoire du serveur au plus tard une heure après le dépôt. Le détail figure sur la page sécurité.
Et parce que la donnée la mieux protégée est celle qui n'est pas envoyée, BlinDoc sert d'abord à retirer les identifiants avant qu'un document ne parte vers une IA, quelle qu'elle soit : Vibe, ChatGPT, Claude ou un outil interne. Voir la page anonymiser un PDF.
Sources
- Mistral AI, Commercial Terms of Service, article 4.2
- Mistral AI, documentation « Zero Data Retention »
- Mistral AI, centre d’aide, utilisation des données pour l’entraînement
- Mistral AI, centre d’aide, refuser l’entraînement
- Mistral AI, centre d’aide, lieu d’hébergement des données
- Règlement (UE) 2016/679 (RGPD), articles 28 et 46 · EUR-Lex
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 2 · EUR-Lex
- Conseil supérieur du notariat, partenariat avec Mistral AI et Scaleway
- Décret n° 2023-1297 du 28 décembre 2023, code de déontologie des notaires, article 8 · Légifrance