Mistral tritt als europäische Alternative zu den großen US-amerikanischen KI-Anbietern auf. Das Unternehmen baut eigene Rechenkapazitäten in Europa auf und bietet inzwischen regionale Endpunkte für die KI-Inferenz an. Bis 2030 sollen in Europa Kapazitäten von bis zu einem Gigawatt entstehen.
Für Unternehmen mit hohen Anforderungen an Datenschutz und digitale Souveränität ist das relevant. Die Herkunft des Anbieters beantwortet jedoch noch nicht, wo Daten verarbeitet werden, wer darauf zugreifen kann und welche internationalen Abhängigkeiten bestehen.
Was der europäische Endpunkt abdeckt
Nach der Dokumentation von Mistral verarbeitet der europäische Endpunkt die Ein- und Ausgaben der Inferenz in mehreren Rechenzentren in EU- und EFTA-Staaten. Neben den EU-Staaten umfasst diese Region Island, Liechtenstein, Norwegen und die Schweiz. Ohne ausdrückliche Auswahl einer Region kommt jedoch der globale Endpunkt zum Einsatz, für den Mistral keinen bestimmten Verarbeitungsstandort zusagt.
Die Regionalisierung gilt zudem nicht für sämtliche Bestandteile des Dienstes. Informationen zur Kontoverwaltung, Abrechnung, Zugriffssteuerung und Nutzungsanalyse sowie bestimmte betriebliche Metadaten können außerhalb der gewählten Region verarbeitet werden. Auch begrenzte Zugriffe durch Subprozessoren außerhalb der Region sind nach den Vertragsbedingungen möglich.
Unternehmen sollten deshalb prüfen, welche Datenarten über welchen Dienst verarbeitet werden. Die Zusage für eine regionale Inferenz darf nicht mit einer vollständig europäischen Verarbeitung aller Betriebs- und Vertragsdaten gleichgesetzt werden.
Verarbeitung, Speicherung und Zero Data Retention
Datenstandort, Speicherung und Verwendung für das Modelltraining sind getrennte Fragen. Mistral bietet für bestimmte bezahlte, zustandslose API-Endpunkte eine Zero-Data-Retention-Option an. Sie muss beantragt und von Mistral freigeschaltet werden.
Für Agents, Conversations, Files, Vibe Work und Chat steht diese Option nach der aktuellen Dokumentation nicht zur Verfügung. Auch ein Trainings-Opt-out ersetzt keine Regelung zur Speicherung. Unternehmen müssen daher für jeden eingesetzten Dienst klären:
- Welche Eingaben und Ausgaben werden gespeichert?
- Wie lange bleiben Protokoll- und Metadaten erhalten?
- Werden Inhalte für Training oder Produktverbesserungen verwendet?
- Für welche Endpunkte gilt Zero Data Retention tatsächlich?
- Welche Löschmöglichkeiten bestehen nach Vertragsende?
Wie europäisch ist die Lieferkette?
Mistral hat im August 2026 angekündigt, seine europäischen Rechenkapazitäten bis 2030 auf bis zu ein Gigawatt auszubauen. Mehrjährige Zusagen von Unternehmen sollen diesen Ausbau über sogenannte European Compute Units unterstützen.
Die Infrastruktur beruht jedoch unter anderem auf Hardware von NVIDIA. Weitere internationale Abhängigkeiten können bei Software, Netzwerktechnik, Support und Subprozessoren bestehen. Ein Rechenzentrum in Europa legt den Verarbeitungsort fest, macht aber noch keine vollständig europäische Lieferkette.
Der Cloud Sovereignty Framework der EU-Kommission berücksichtigt deshalb 48 Kriterien. Dazu gehören Jurisdiktion, Datenverarbeitung, betriebliche Kontrolle, Lieferkette, Sicherheit und Portabilität.
Was vor dem Vertragsschluss geprüft werden sollte
Die Anforderungen an Souveränität sollten zunächst für das konkrete Projekt festgelegt werden. Anschließend sind Produktbeschreibung, Bestellformular, Auftragsverarbeitungsvertrag, Subprozessorenliste und technische Dokumentation miteinander abzugleichen.
Wichtige Prüfpunkte sind:
- verbindlich vereinbarte Verarbeitungsregionen,
- Speicherorte für Inhalte und Metadaten,
- Zugriffe durch Support und Subprozessoren,
- mögliche Drittlandtransfers,
- Nutzung der Daten für Training und Produktverbesserung,
- Löschfristen und Nachweismöglichkeiten,
- Exportformate und Rechte bei einem Anbieterwechsel.
Dabei muss auch berücksichtigt werden, welche Verpflichtungen das Unternehmen gegenüber seinen eigenen Kunden übernommen hat. Wer beispielsweise eine Verarbeitung innerhalb der EU oder des EWR, bestimmte Löschfristen oder den Ausschluss einer Trainingsnutzung zugesagt hat, muss diese Anforderungen in der vorgelagerten KI-Lieferkette vertraglich absichern.
Wie ePrivacy unterstützen kann
ePrivacy unterstützt Unternehmen bei der datenschutzrechtlichen Auswahl und Prüfung von KI- und Cloudangeboten. Dabei werden die tatsächlichen Verarbeitungsvorgänge mit den einschlägigen Vertragswerken abgeglichen.
Die Prüfung zeigt, welche Leistungen innerhalb des vereinbarten europäischen Rahmens erbracht werden, wo Ausnahmen bestehen und welche Vertragsklauseln nachverhandelt werden sollten. So lassen sich Widersprüche zu bestehenden Kundenverträgen erkennen, Drittlandrisiken bewerten und Abhängigkeiten beim späteren Anbieterwechsel berücksichtigen.
Bei Mistral kann eine europäische und souveränitätsorientierte Architektur möglich sein. Ihr Umfang ergibt sich jedoch erst aus dem ausgewählten Dienst, der technischen Konfiguration und den verbindlichen Vertragsbedingungen.