Ist Mistral AI (Le Chat) sicher mit Ihren Daten?

Die Antwort besteht aus zwei Teilen. Ja, Mistrals Le Chat startet mit einem echten Vorteil. Mistral AI ist ein französisches Unternehmen mit Sitz in Paris. Sein Assistent für die breite Öffentlichkeit wird in der Europäischen Union betrieben. Die Verarbeitung Ihrer Daten unterliegt somit dem EU-Recht und der DSGVO (Datenschutz-Grundverordnung). Sie vermeiden die transatlantische Übermittlung, die ein US-Anbieter standardmäßig auslöst. Aber "europäisch" heißt nicht "sieht nichts". Le Chat empfängt und verarbeitet Ihren Prompt sehr wohl. Für Ihre wirklich sensiblen Daten ist nur eine Lösung zuverlässig: vor dem Senden anonymisieren.

Der europäische Vorteil ist real, aber nur teilweise

Beginnen wir mit dem Verdienst, der Mistral zusteht. Das Unternehmen ist französisch. Sein Assistent wird in der Europäischen Union betrieben. Das verändert die Rechtsgrundlage. Ihre Daten unterliegen dem EU-Recht und der DSGVO. Das ist ein solider Punkt zugunsten des Dienstes.

Nun ist das Wort "europäisch" zu relativieren. In seiner Datenschutzrichtlinie erklärt Mistral, Dienstleister mit Sitz in der Europäischen Union und DSGVO-konform zu "bevorzugen". Das Schlüsselwort ist "bevorzugen". Dieselbe Richtlinie behält sich die Möglichkeit von Übermittlungen außerhalb der EU vor, abgesichert durch Garantien. "Europäisch" bedeutet also nicht "garantiertes 100 %-EU-Hosting". Es ist eine von Mistral erklärte Priorität, keine absolute Garantie.

Der Unterschied ist wichtig für Ihre Einschätzung des Risikos. Ein in der EU ansässiger Anbieter reduziert die Übermittlungen in die Vereinigten Staaten. Er beseitigt sie nicht automatisch. Lesen Sie es also als "EU-Priorität" und nicht als "Ihre Daten verlassen Europa nie".

Training und Speicherung: was Mistral erklärt

Der Punkt, der die Menschen am meisten beunruhigt, ist das Training. Auch hier muss alles Mistral zugeschrieben werden. Laut seiner Dokumentation kann der kostenlose Tarif für die breite Öffentlichkeit Ihre Unterhaltungen nutzen, um seine Modelle zu verbessern. Mistral erklärt, sich dabei auf das berechtigte Interesse als Rechtsgrundlage zu stützen. In den Kontoeinstellungen wird eine Opt-out-Möglichkeit angeboten. Sie können diese Nutzung also deaktivieren.

Die kostenpflichtigen Angebote folgen einer anderen Regel. Mistral erklärt, dass die Tarife Pro, Team und Enterprise standardmäßig nicht für das Training verwendet werden. Dasselbe gilt für die über die API übermittelten Daten. Der Kontrast zwischen kostenlos und kostenpflichtig ist deutlich.

Die Speicherung folgt eigenen Fristen. Laut den Seiten von Mistral werden die Unterhaltungen des Assistenten aufbewahrt, bis Sie das Konto oder die Unterhaltung löschen. Automatische Löschungen werden angeboten: 30, 60, 90, 180 Tage oder ein Jahr. Auf der API-Seite gibt Mistral eine Speicherung von etwa 30 gleitenden Tagen an, zur Missbrauchsbekämpfung. Eine Nullspeicherung (Zero Data Retention) gibt es bei der API, aber nicht beim Konversationsprodukt für die breite Öffentlichkeit.

Worauf die CNIL und die DSGVO hinweisen

Der französische Rahmen fügt einen nützlichen Kompass hinzu. Die CNIL (die französische Datenschutzbehörde) hat Empfehlungen zur Anwendung der DSGVO auf die Entwicklung von KI-Systemen veröffentlicht. Sie macht eine Botschaft deutlich. Die DSGVO ermöglicht eine innovative und verantwortungsvolle KI in Europa. Sie ist keine Bremse.

Die CNIL setzt auch eine Grenze. Die verwendeten personenbezogenen Daten bergen Risiken für die Menschen. Das gilt auch für Trainingsdatensätze. Diese Verwendungen müssen daher eingerahmt und kontrolliert werden. Seit dem Sommer 2024 gilt die europäische Verordnung über KI (der AI Act) ergänzend zur DSGVO.

Für Sie ist die Übersetzung einfach. Dass ein Dienst europäisch ist, setzt Ihre Wachsamkeit nicht außer Kraft. Die DSGVO rahmt die Verarbeitung ein, sie hebt sie nicht auf. Was Sie einfügen, wird weiterhin von einem Dritten verarbeitet.

Die universelle Regel: vor dem Prompt anonymisieren

Hier ist das Prinzip, das bei jedem Anbieter gilt. Selbst eine französische oder europäische KI empfängt und verarbeitet, was Sie einfügen. Der rechtliche Vorteil von Mistral ändert nichts an dieser technischen Tatsache. Bei manchen Daten reicht das allein aus, um Vorsicht geboten sein zu lassen.

• Gesundheitsdaten und medizinische Informationen.
• Technische Geheimnisse: API-Schlüssel, Zugangsdaten, Zugriffstoken.
• Kundendateien und personenbezogene Daten Dritter.
• Die französische Sozialversicherungsnummer (NIR), deren Verwendung streng geregelt ist.

Bei diesen Daten hängt der zuverlässigste Schutz von keiner Richtlinie ab. Die sichersten Daten sind die Daten, die das Modell nie sieht. Anonymisieren Sie vor dem Senden und stellen Sie die echten Werte anschließend lokal wieder her. Die Methode besteht aus vier Schritten.

1. 1Erkennen Sie die sensiblen Daten in Ihrem Text, vor dem Senden.
2. 2Ersetzen Sie sie durch umkehrbare Token, im Browser.
3. 3Senden Sie nur den anonymisierten Text an die KI.
4. 4Stellen Sie die echten Werte in der Antwort lokal wieder her.

Genau dafür ist ONYRI Sanitize da. Die Engine erkennt sensible Daten und ersetzt sie vor dem Senden durch umkehrbare Token. Die Erkennung und das Mapping bleiben in Ihrem Browser. Nur ein anonymisierter Text erreicht das Modell, ob es sich um Mistral oder ein anderes handelt. Sie behalten den europäischen Vorteil von Mistral, wenn Sie es wählen. Und Sie fügen eine Schicht hinzu, die Ihre sensibelsten Daten schützt, bei allen Anbietern.