Compliance und DSGVO

Update vom 2. November 2026 — Le Chat ist nun Vibe. Ab dem 28. Mai 2026 wurde Le Chat in Vibe umbenannt (nach wie vor unter chat.mistral.ai): eine einzelne Agentur für Arbeit und Code, die Ihre Gespräche, Einstellungen und Abonnements übernimmt. Die klassische Le Chat-Erfahrung bleibt im Chat-Modus zugänglich; im Work-Modus sind Agenten nun Fähigkeiten (aufgerufen mit @), Memories dienen als Wissensbasis und Deep Search ist die Fähigkeit Deep Research. Die Pläne heißen nun Mistral Free, Pro, Team und Enterprise. Diese Lektion verwendet den Namen Vibe; beachten Sie, dass einige hier beschriebene Menüs möglicherweise andere Namen oder Standorte haben.

Compliance by Design

Compliance ist für Mistral Enterprise kein nachträglicher Gedanke: Jedes Feature und jeder Datenfluss ist so architektonisch gestaltet, dass er die DSGVO, den europäischen AI Act und branchenspezifische Vorschriften erfüllt. Diese Lektion richtet sich an Datenschutzbeauftragte (DPO), Compliance-Beauftragte und das executive leadership. Hier sind die Garantien, die Sie einem Prüfer vorlegen können, und die Aufgaben, die Sie selbst noch erfüllen müssen.

Die DSGVO-Verpflichtungen von Mistral AI

Mistral AI handelt im Sinne der DSGVO als Datenverarbeiter, während Ihre Organisation der Datenverantwortliche bleibt. Mistral verarbeitet Daten ausschließlich gemäß Ihren Anweisungen. Ein Data Processing Agreement (DPA) formalisiert die gegenseitigen Verpflichtungen. Sie behalten die volle Kontrolle über die verarbeiteten Daten, und Mistral darf diese nicht zum Training seiner Modelle verwenden. Wenn ein Mitarbeiter einen Kundenbericht an Vibe übermittelt, ist Ihre Organisation für diese Verarbeitungsentscheidung verantwortlich, während Mistral für die konforme Ausführung haftet.

Die Rechtsgrundlage beruht auf dem berechtigten Interesse Ihrer Organisation: Produktivität und Mitarbeiterunterstützung. Wenn personenbezogene Daten Dritter verarbeitet werden, muss Ihr DPO die Rechtsgrundlage im Einzelfall bewerten. Eine Kundenservice-Mitarbeiterin, die benannte Gesprächsaustausche in Vibe einfügt, befindet sich in einer anderen Situation als ein Team, das einen internen Memo neu formuliert.

Mistral stellt Werkzeuge bereit, um die Rechte der betroffenen Personen auszuüben: Das Recht auf Auskunft über Exporte von Benutzerkonversationen, das Recht auf Löschung über Löschung auf Anforderung (sofort im Rahmen der Zero-Retention, da nichts über die Sitzung hinaus existiert), das Recht auf Datenübertragbarkeit über Exporte im Standardformat und das Recht auf Widerspruch durch individuelle Deaktivierung des Zugriffs. Bezeichnen Sie intern ab Tag 1, wer diese Anfragen bearbeiten wird.

Datenhosting und Lokalisierung

Daten werden ausschließlich in Rechenzentren der Europäischen Union verarbeitet und gespeichert. Die Primärsysteme befinden sich in Frankreich bei Scaleway und OVHcloud, mit Redundanz in den Niederlanden und Deutschland. Es erfolgen keine Übermittlungen außerhalb der EU: Weder Privacy Shield noch Standardvertragsklauseln werden für Produktionsdaten herangezogen. Dies entfernt den Abschnitt, der in der Regel den längsten Teil der Prüfung in Ihrer Akte darstellt.

Diese Rechenzentren verfügen über die ISO 27001-Zertifizierung für Informationssicherheit und SOC 2 Type II für Sicherheits-, Verfügbarkeits- und Vertraulichkeitskontrollen. Implementierungen im Gesundheitssektor erhalten die HDS-Zertifizierung, während die sensibelsten Implementierungen die ANSSI SecNumCloud-Qualifizierung anstreben (die französische Nationale Agentur für Cybersicherheit). Beantragen Sie diese Atteste frühzeitig: Die Prüfung davon beansprucht einen erheblichen Teil der Arbeitslast Ihres CISO.

Der Europäische AI Act

Der AI Act, der seit 2024 schrittweise in Kraft tritt, klassifiziert KI-Systeme nach Risikostufen. Als allgemeines Hilfsmittel fällt Mistral Enterprise im Allgemeinen unter „begrenztes Risiko”: Transparenzpflichten (Benutzer müssen wissen, dass sie mit einer KI interagieren), keine zwingende vorherige Konformitätsbewertung (im Gegensatz zu Hochrisikosystemen) und Bereitstellung technischer Dokumentation.

Diese Klassifizierung hängt von der Nutzung ab, nicht vom Produkt selbst. Wenn es in regulierten Kontexten wie Personalbeschaffung, Bonitätsprüfung oder gerichtlichen Entscheidungen eingesetzt wird, werden zusätzliche Verpflichtungen ausgelöst. Mistral stellt die technische Dokumentation bereit, die für diese Bewertungen erforderlich ist. Ein HR-Team, das überlegte, automatisierte Lebenslauf-Screening einzusetzen, muss dies vor der Experimentiierung klären, nicht nachdem das Werkzeug zur Gewohnheit geworden ist.

Was Mistral mit Ihren Daten tut und was nicht

Ihre Prompts werden in Echtzeit an das Modell gesendet, um eine Antwort zu generieren. Diese Daten werden niemals zur Verbesserung von Modellen verwendet. Kein Dritter hat Zugriff darauf, einschließlich Partner von Mistral. Im Rahmen der Zero-Retention werden Daten am Ende jeder Sitzung gelöscht. Dies ist das Gegenteil eines Verbraucherdienstes, weshalb Sie Verbrauchertools intern verbieten sollten, sobald Mistral Enterprise live ist.

Bestimmte Metadaten werden auch im Rahmen der Zero-Retention beibehalten, da der Dienst ohne sie nicht funktionieren kann: Token-Volumen zur Abrechnung, Sitzungstimestamps für Audit-Logs und Benutzer-IDs für Zugriffskontrolle. Der Inhalt der Konversationen ist in diesen Metadaten niemals enthalten. Dies ist die Unterscheidung, die Sie intern am häufigsten erklären müssen.

Branchenspezifische Anforderungen

Im Finanzsektor stimmt die Implementierung mit der MiFID II-Konformität für die Entscheidungsdokumentation überein, erfordert die Archivierung von Interaktionen, falls von Regulatoren vorgeschrieben, und setzt die Trennung zwischen Produktions- und Testumgebungen voraus. Im Gesundheitswesen ist HDS-Hosting verfügbar, die Einhaltung des Public Health Code gilt, und keine Gesundheitsdatenverarbeitung findet auf geteilter Infrastruktur statt. Im öffentlichen Sektor ist die Einhaltung des General Security Referential (RGS) erforderlich, die SecNumCloud-Hosting-Qualifizierung läuft, und die Einrichtung ist mit der „Cloud First”-Doktrin des Staates kompatibel.

Die Roadmap Ihres DPO

Erfüllen Sie diese sechs Aktionen, bevor Sie den Service starten:

1. Aktualisieren Sie das Verzeichnis der Verarbeitungstätigkeiten
2. Führen Sie eine Datenschutz-Folgenabschätzung (DPIA) durch, wenn sensible Daten verarbeitet werden
3. Unterschreiben Sie den DPA mit Mistral AI
4. Informieren Sie die Mitarbeiter über eine Informationsmitteilung
5. Definieren Sie eine Aufbewahrungsrichtlinie, die an Ihre Branche angepasst ist
6. Schulen Sie die Benutzer zu Best Practices, beginnend damit, keine unnötigen personenbezogenen Daten einzugeben

Dieser letzte Punkt ist der schwierigste durchzusetzen, da keine Einstellung dies löst. Er erfordert klare, wiederholte Anweisungen, illustriert mit Beispielen aus Ihren eigenen Geschäftsbereichen.

Kernaussagen

• Mistral handelt als DSGVO-Verarbeiter mit einem formalisierten DPA und einer vertraglichen Verpflichtung, Daten nicht zum Training zu verwenden
• 100% EU-Hosting mit ISO 27001-, SOC 2- und HDS-Zertifizierungen; SecNumCloud-Qualifizierung läuft
• Der AI Act klassifiziert Mistral Enterprise als begrenztes Risiko für den allgemeinen Gebrauch; zusätzliche Verpflichtungen gelten für Hochrisikusanwendungen
• Ihr DPO muss eine DPIA durchführen und das Verzeichnis der Verarbeitungstätigkeiten aktualisieren, bevor jede Implementierung erfolgt