gik|iewicz

Mistral AI po cichu zmienił zasady korzystania ze swoich darmowych usług: konwersacje użytkowników są teraz domyślnie wykorzystywane do trenowania modeli. Jedyny sposób, by się z tego wyłączyć, to ręczna zmiana ustawień w koncie albo przejście na płatny plan dla firm. Zmiana zbiegła się w czasie z przesunięciem strategicznym firmy, która z konkurenta OpenAI przekształca się w gracza europejskiej suwerenności cyfrowej – i szuka przychodów.

TL;DR: Mistral AI domyślnie trenuje swoje modele na danych wprowadzanych przez użytkowników w usługach konsumenckich, z wyjątkiem planu Enterprise. Wyłączenie trenowania wymaga ręcznej zmiany ustawień konta. Krok wpisuje się w szerszy repozycjonening firmy opisany przez developpez.com, od konkurenta OpenAI do podmiotu wspieranego przez państwa europejskie.

Co dokładnie zmienił Mistral AI w polityce danych?

Odpowiedź jest krótka: dane wejściowe użytkowników – prompty, konwersacje, pliki – zasilają teraz domyślnie zbiory treningowe Mistral. Dotyczy to usług konsumenckich, a więc m.in. chatbota Le Chat oraz interfejsów API objętych nowym reżimem. Wyjątkiem jest plan Enterprise, dedykowany firmom, gdzie przetwarzanie odbywa się bez wykorzystywania danych do trenowania. Takie podejście odpowiada praktyce znanej z innych dostawców modeli językowych – darmowa usługa opłaca się dostawcy danymi, płatna – abonamentem.

Zmiana ma też kontekst finansowy. Francuski serwis developpez.com opisuje Mistral jako spółkę stojącą przed poważnymi wyzwaniami technicznymi i finansowymi. Monetyzacja danych użytkowników to zatem jeden ze sposobów na zamknięcie luki przychodowej.

Dlatego warto traktować tę zmianę jako element większej układanki, a nie samotny epizod. Podobne repositioningi opisywałem przy okazji notatek ze szczytu Mistral AI Now w Paryżu.

Kogo dotyczy domyślne trenowanie na danych użytkowników?

Wprost – wszystkich użytkowników planów konsumenckich i darmowych. Zanim jednak ktoś wpadnie w panikę, kluczowe jest rozróżnienie planów:

• Plan darmowy i indywidualny – dane domyślnie trafiają do treningu, wyłączenie wymaga ręcznej akcji w ustawieniach konta.
• Plan Enterprise – wyłączenie trenowania jest wbudowane w strukturę oferty, bez dodatkowych kroków.
• API – warunki zależą od konkretnego planu rozliczeniowego, dlatego deweloperzy powinni zweryfikować dokumentację przed wdrożeniem produkcyjnym.
• Klienci sektorowi i rządowi – zgodnie z raportowaniem developpez.com, Mistral podpisał umowy z podmiotami publicznymi, dla których przetwarzanie danych wygląda inaczej.
• Użytkownicy z Unii Europejskiej – ochronę dodatkowo zapewnia RODO, które wymaga prawnej podstawy do takiego przetwarzania.
• Firmy z Polski – warte przypomnienia są luki w RODO dla małych i średnich przedsiębiorstw, bo nie każdy ma budżet na plan Enterprise.

Co więcej, skala ryzyka zależy od tego, co faktycznie wpisujemy do chatbota. Wklejanie kodu źródłowego, danych klientów albo dokumentacji wewnętrznej do darmowego planu staje się po tej zmianie po prostu nierozsądne.

Jak wyłączyć trenowanie Mistral na swoich danych?

Procedura jest ręczna i wymaga świadomej decyzji użytkownika – domyślne ustawienie działa na korzyść Mistral, nie na korzyść prywatności. Kroki wyglądają następująco:

• zalogowanie do konta Mistral (Le Chat lub konsola API),
• przejście do ustawień konta i sekcji prywatności,
• odnalezienie opcji związanej z udostępnianiem danych do trenowania,
• ręczne wyłączenie zgody i zapisanie zmiany,
• weryfikacja ustawienia po ewentualnym logowaniu na nowych urządzeniach.

Na przykład deweloper korzystający z API w projekcie klienta powinien zrobić tę weryfikację jeszcze przed pierwszym zapytaniem produkcyjnym. Rekomenduję też audyt tego, jakie dane trafiają do modelu w ogóle – zasada minimalizacji danych działa tu lepiej niż jakiekolwiek ustawienia.

Dlaczego Mistral podejmuje takie kroki właśnie teraz?

Firma przeszła istotną transformację biznesową. Z kontraktu opisuje to serwis developpez.com: Mistral z bezpośredniego konkurenta OpenAI stał się podmiotem kojarzonym z europejską suwerennością cyfrową, co wiąże się zarówno z nowymi możliwościami, jak i z presją finansową. Umowy z sektorem publicznym i inwestorami państwowymi zmieniają profil spółki.

Jednakże ten kierunek ma swoją cenę. Frandroid opisywał reakcje społeczności na decyzję Mistral o hostowaniu modelu GLM od chińskiego Z.ai w swojej ofercie – część użytkowników uznała to za sprzeczne z europejską narracją. Domyślne trenowanie na danych użytkowników wpisuje się w ten sam mechanizm: kompromis między misją a rentownością.

Mimo to pozycja cenowa firmy pozostaje konkurencyjna – model Mistral Large 3 wciąż mieści się w segmencie Premium API, choć konkurencja cenowa z modelami open-source z Azji jest coraz mocniejsza. Pytanie brzmi: czy użytkownicy zaakceptują tę nową wymianę – dane za dostęp?

Jak zmiana polityki Mistral wpisuje się w szerszy kontekst wycieków danych w Polsce?

Kwestia prywatności danych zyskała w Polsce wyjątkową ostrość po incydencie z platformą MyDr. Ze zbioru tej firmy wyciekły wrażliwe dane nawet 19 mln Polaków – numery PESEL, dokumentacja medyczna oraz historie recept, jak relacjonuje WP Finanse. W takim klimacie każda decyzja o domyślnym zbieraniu danych przez dostawcę AI odbiera się znacznie gorzej niż rok temu.

Co więcej, sprawa MyDr pokazuje skalę konsekwencji. Hakerzy przejęli dane i zapowiadają dalsze kroki, o czym pisze android.com.pl. Zatem pytanie o to, czy nasze prompty i pliki trafiają do zbiorów treningowych, przestaje być abstrakcją prawną – staje się elementem realnego ryzyka operacyjnego.

Dlatego polityka Mistral wymaga spojrzenia przez ten pryzmat. Dane firmowe wklejone do darmowego chatbota mogą stać się elementem modelu. To nie wyciek sensu stricto, jednak dla organizacji efekt bywa podobny: utrata kontroli nad informacją.

Czy RODO chroni użytkowników przed trenowaniem na ich danych?

Formalnie tak – RODO wymaga od administratora danych prawnej podstawy przetwarzania oraz poinformowania o jego celu. Jednakże praktyka pokazuje, że przepisy nie zawsze nadążają za rzeczywistością technologiczną, a egzekwowanie praw przez indywidualnych użytkowników bywa iluzoryczne.

Warto przy tym pamiętać, że po wycieku z MyDr rząd zapowiada uszczelnienie systemu ochrony danych – resort cyfryzacji przygotowuje pakiet legislacyjny obejmujący nowe obowiązki dla firm, w tym koniec zrzucania odpowiedzialności na małe podmioty. Szczegóły pakietu omawiam w tekście Cyberpiątka Gawkowskiego – wiemy, jak rząd chce chronić dane Polaków.

Dla użytkowników Mistral oznacza to jedną praktyczną rzecz: zgoda na trenowanie wyrażana domyślnie, przez brak reakcji, może zostać poddana testowi zgodności z unijnymi wymogami. Do czasu rozstrzygnięć najbezpieczniejsza pozostaje ręczna rezygnacja w ustawieniach konta.

Czym grozi wklejanie danych firmowych do darmowego planu?

Przede wszystkim utratą kontroli nad informacją. W momencie, gdy prompt, fragment kodu czy dokument trafia do usługi z włączonym trenowaniem, nie da się już tego cofnąć. Lista obszarów szczególnego ryzyka obejmuje:

• kod źródłowy i klucze API wklejane do konsoli,
• dane osobowe klientów i kontrahentów,
• dokumentację wewnętrzną i know-how firmy,
• treści objęte umowami o poufności (NDA),
• dane medyczne i inne kategorie szczególne,
• niezabezpieczone wyniki prac badawczych,
• arkusze z danymi finansowymi,
• hasła i tokeny dostępowe.

Paralela z MyDr jest tu pouczająca: szkody ponoszą zwykle nie firmy technologiczne, lecz osoby, których dane wyciekły. Podobnie tutaj – konsekwencje udostępnienia danych ponosi użytkownik, nie dostawca modelu. Z tego powodu minimalizacja danych wejściowych powinna być standardem higieny cyfrowej, niezależnie od ustawień konta. Prowadziłem już podobny wątek w tekście Cyberbezpieczeństwo wygląda teraz jak proof of work.

Jak presja finansowa Mistral wpływa na nową politykę danych?

Ceny pozostały konkurencyjne, jednak presja finansowa jest realna – developpez.com wskazuje na wyzwania finansowe jako jeden z głównych problemów spółki po transformacji w stronę suwerenności cyfrowej. Konkurowanie samą ceną staje się trudne, bo na rynku pojawiają się tańsze modele z Azji, w tym hostowany przez samego Mistrala GLM od Z.ai.

Wobec tego monetyzacja danych wygląda na logiczny krok biznesowy: darmowi użytkownicy płacą danymi, a Enterprise – abonamentem. Problem polega na tym, że ten mechanizm bywa komunikowany po cichu, poprzez zmiany w ustawieniach domyślnych. Użytkownik, który nie śledzi polityk prywatności, może nie wiedzieć, że jego rozmowy zasiliły zbiory treningowe.

Na przykład połączenie tego modelu biznesowego z presją inwestorów państwowych tworzy silną motywację do dalszej monetyzacji każdego źródła przychodu. Dane użytkowników są jednym z nich.

Często zadawane pytania

Czy plan darmowy Mistral trenuje na moich danych bez mojej wiedzy?

Tak, domyślnie dane z planów konsumenckich trafiają do treningu – wyłączenie wymaga ręcznej zmiany ustawień konta, a jedynym planem z wbudowanym wyłączeniem jest Enterprise. Rekomendacja: sprawdź ustawienia prywatności zaraz po zalogowaniu.

Czy plan Enterprise firmy Mistral obejmuje trenowanie na danych klienta?

Nie, plan Enterprise jest jedyną opcją, w której dane nie są domyślnie wykorzystywane do trenowania. Dla firm przetwarzających dane wrażliwe to jedyna ścieżka bez ręcznych konfiguracji.

Czy dane firmowe w darmowym planie mogą naruszać RODO?

Mogą – wyciek z MyDr objął dane nawet 19 mln Polaków (WP Finanse), a po nim rząd zapowiada nowe obowiązki dla firm. Wklejanie danych osobowych do usługi z domyślnym trenowaniem powinno być blokowane polityką wewnętrzną.

Czy Mistral jest nadal opłacalny mimo tych zmian?

Mistral Large 3 pozostaje w segmencie Premium API, choć firma mierzy się z wyzwaniami finansowymi opisywanymi przez developpez.com. Taniej nie znaczy jednak bezpieczniej – hostowany przez Mistral GLM od Z.ai wywołał kontrowersje w społeczności (Frandroid).

Podsumowanie

Wnioski z tej zmiany są jednoznaczne:

• Mistral domyślnie trenuje na danych z planów konsumenckich – wyłączenie wymaga ręcznej akcji w ustawieniach konta.
• Plan Enterprise pozostaje jedyną opcją z wbudowaną ochroną przed trenowaniem.
• Zmiana wpisuje się w repozycjonowanie firmy opisane przez developpez.com – od konkurenta OpenAI do podmiotu suwerenności cyfrowej z presją finansową.
• Kontekst po wycieku z MyDr (19 mln Polaków) sprawia, że higiena danych wejściowych staje się obowiązkiem, nie wyborem.

Jeśli korzystasz z darmowego planu Mistral, wejdź dziś w ustawienia konta i wyłącz zgodę na trenowanie. Następnie przeprowadź audyt tego, co Twoje zespoły wklejają do chatbotów – zasada minimalizacji danych chroni lepiej niż jakiekolwiek checkboxy. Podobne tematy prywatności poruszam regularnie na blogu, więc obserwuj kolejne wpisy o politykach dostawców AI.