Mistral Large 4 et RGPD : ce que Mistral documente

La réponse courte : savoir si vos données sont bien protégées avec Mistral Large 4 dépend moins du modèle que de l’accès et de l’offre. Mistral a présenté le modèle le 6 octobre 2026, d’abord en préversion publique sur Studio et l’API. Selon l’article d’aide de Mistral, l’usage de vos saisies pour l’entraînement varie selon l’offre.

Cet article a été écrit le jour du lancement : il décrit une préversion, pas un produit fini. Quand les documents ne disent rien, il le dit aussi. Ce n’est pas un avis juridique.

Ce que Mistral a annoncé

D’après l’annonce, Mistral Large 4 est un modèle à poids ouverts, multimodal, de type mélange d’experts, avec environ mille milliards de paramètres au total dont 49 milliards actifs. La documentation du modèle indique une fenêtre de contexte d’un million de jetons et le présente comme une préversion publique, accessible par Studio et l’API de Mistral.

Deux précisions comptent pour la sécurité. Les poids complets doivent suivre d’ici fin octobre 2026 : on ne peut donc pas encore les télécharger. Et Mistral écrit que le modèle est encore en tests d’intrusion (red teaming) avec des responsables de la cybersécurité et des autorités publiques. Le travail sur la sécurité n’est donc pas terminé.

L’annonce dit aussi que le modèle a été entraîné dans les centres de données européens de Mistral et que son déploiement européen relève du droit européen. Cela concerne l’entraînement et l’infrastructure de Mistral. L’annonce ne dit pas où votre requête précise est traitée.

Mistral entraîne-t-il sur vos saisies ?

Cela dépend de l’offre. L’article d’aide de Mistral sur l’usage des données utilisateur pour l’entraînement contient trois points à connaître :

• —Dans l’offre gratuite de l’API, Mistral indique pouvoir utiliser les entrées et les sorties pour entraîner ses modèles.
• —En paiement à l’usage, le client garde le contrôle et peut s’y opposer.
• —Utiliser les boutons pouce en haut ou en bas autorise Mistral à employer ce retour, avec l’entrée et la sortie, pour améliorer ses modèles, quelle que soit l’offre.

Le même article précise que le produit Vibe entraîne par défaut sur l’offre standard sauf opposition, et que les comptes entreprise en sont exclus par défaut. Rien n’y est dit de différent pour Large 4. Rien n’indique non plus que la préversion suit d’autres règles. Il est donc raisonnable de penser que les règles de l’offre s’appliquent, mais c’est une déduction, pas une affirmation confirmée.

Où se règlent la durée de conservation et l’hébergement

La durée de conservation et le lieu de traitement ne figurent pas dans une annonce. Ils se trouvent dans la politique de confidentialité de Mistral, son accord de traitement des données et son Trust Center. Cet article n’en reprend aucun chiffre : ils peuvent changer, et un résumé du jour du lancement vieillit vite. Pour une entreprise, l’accord de traitement est le document que votre délégué à la protection des données voudra lire.

Mistral est une société française : le RGPD s’applique donc directement au fournisseur. Cela aide pour le cadre juridique, mais ne dit pas ce qu’une fonction précise fait d’une saisie précise. Et votre propre responsabilité d’expéditeur de données personnelles reste entière. Les questions-réponses de la CNIL sur les systèmes d’IA générative sont un bon point de départ.

Ce que changent les poids ouverts, et ce qu’ils ne changent pas

Une fois les poids publiés, une équipe pourrait en principe faire tourner le modèle sur son propre matériel, et les saisies n’atteindraient jamais Mistral. C’est une conséquence du principe des poids ouverts, pas une promesse de Mistral pour Large 4, et cela ne vaut qu’une fois les poids disponibles. Un modèle de cette taille demande en outre beaucoup de matériel : pour la plupart des gens, l’API hébergée reste la voie réaliste. Pour le contexte, IA open source explique ce que ce terme recouvre.

Les poids ouverts ont aussi un revers : n’importe qui peut exécuter le modèle sans les garde-fous de Mistral, d’où l’importance des tests d’intrusion évoqués dans l’annonce. Qu’un modèle soit ouvert ne dit rien de la sécurité de vos données chez un hébergeur donné.

Une courte liste avant de coller quoi que ce soit

1. 01Vérifiez votre offre. Les offres gratuite et payante n’ont pas les mêmes règles d’entraînement.
2. 02Si vous pouvez vous opposer à l’entraînement, faites-le avant d’envoyer ce que vous ne voulez pas voir dans un jeu d’entraînement.
3. 03Évitez les boutons de retour sur toute saisie contenant des éléments privés.
4. 04Gardez noms de clients, données de santé et textes de contrats hors d’une préversion tant que vous n’avez pas lu l’accord de traitement.
5. 05Traitez les réponses comme toute sortie d’IA : même un modèle de mille milliards de paramètres peut se tromper avec aplomb. Formation prompt IA aide à poser des demandes plus précises, donc plus faciles à vérifier.

La comparaison avec d’autres modèles

Le schéma est connu des derniers lancements : le modèle est nouveau, les règles sur les données appartiennent au compte. C’est le cas pour GPT-6 Sol et le RGPD comme pour Claude Sonnet 5.5 et le RGPD. Pour Mistral, la question porte surtout sur l’offre et l’opposition.

Pour un comparatif d’usage avec un modèle américain, voir GPT-6 Sol contre Mistral. Et si vous voulez construire quelque chose sur un tel modèle, lisez d’abord créer un agent IA.

En bref

Nouveau modèle, vieille question : dans quelle offre êtes-vous, et que dit-elle sur l’entraînement ?

Mistral Large 4 est une préversion, les tests de sécurité se poursuivent, et la durée de conservation comme le lieu de traitement sont dans les documents juridiques plutôt que dans l’annonce. Commencez par des tâches sans enjeu et lisez les conditions de l’offre avant d’y mettre quoi que ce soit de privé. Coursium est une application qui apprend à utiliser l’IA au travail, y compris à décider ce qui a sa place dans un prompt. Vous pouvez voir comment Coursium fonctionne si cela vous est utile.