Mistral i Aleph Alpha: zalety europejskich dostawców LLM w świetle RODO

Europejscy dostawcy LLM to dostawcy modeli językowych z siedzibą w Unii Europejskiej, na czele z francuskim Mistral AI i niemieckim Aleph Alpha. Ich główną przewagą w kontekście RODO jest przetwarzanie danych w UE, a tym samym możliwość rezygnacji z przekazywania danych do państwa trzeciego w rozumieniu rozdziału V RODO przy samej inferencji. To znacznie ułatwia zapewnienie zgodności z przepisami, ale go nie zastępuje.

• Brak przekazywania danych do państwa trzeciego: jeśli przetwarzanie pozostaje w UE, na tym etapie odpadają standardowe klauzule umowne, oparcie się na ramach ochrony danych UE-USA i związana z tym ocena skutków transferu.
• Brak amerykańskiej spółki matki: ryzyko związane z CLOUD Act, FISA 702 i EO 12333, które u dostawców z USA może się utrzymywać, wyraźnie spada w przypadku dostawcy z UE bez amerykańskiej spółki matki, o ile również jego podprocesorami nie są firmy amerykańskie i żadna spółka z amerykańskiej grupy nie ma dostępu do danych.
• Suwerenność aż po on-premise: Aleph Alpha (Pharia) oferuje wdrożenia on-premise i suwerenne wdrożenia w UE z umową DPA podlegającą prawu niemieckiemu i wzorami zgodnymi z wymogami BfDI. Mistral udostępnia modele z otwartymi wagami do samodzielnego hostowania.

Stan na październik 2026 r.: kanadyjski dostawca Cohere ogłosił 24 kwietnia 2026 r., że przejmie Aleph Alpha. 16 września 2026 r. obie firmy podpisały umowę o fuzji. Połączona firma ma działać pod marką Cohere, z siedzibami głównymi w Berlinie i Toronto; sfinalizowanie transakcji wciąż wymaga zgód organów regulacyjnych. Jeśli korzystasz z Pharii albo planujesz jej wdrożenie, po sfinalizowaniu transakcji ponownie sprawdź umowę powierzenia, listę podprocesorów, strukturę grupy i możliwy dostęp z państw trzecich. Wprawdzie dla Kanady istnieje decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony w odniesieniu do organizacji komercyjnych, ale Cohere ma też biura w Nowym Jorku i San Francisco.

Dlaczego lokalizacja dostawcy ma znaczenie dla ochrony danych

Każde przetwarzanie danych osobowych w agencie LLM, czy to w prompcie, w odpowiedzi modelu, w pamięci agenta, w payloadzie wywołań narzędzi, w bazie wektorowej, czy w logach, jest przetwarzaniem w rozumieniu art. 4 RODO. Jeśli dane te opuszczają EOG, zastosowanie ma rozdział V RODO. Od wyroku TSUE w sprawie Schrems II (C-311/18, 16 lipca 2020 r.) obowiązuje następująca miara: standardowe klauzule umowne są ważne tylko wtedy, gdy ocena skutków transferu (TIA) przeprowadzona dla konkretnego przypadku potwierdzi równoważny stopień ochrony, a w razie potrzeby zostaną wdrożone środki uzupełniające.

W przypadku dostawców z USA kluczową rolę odgrywają ramy ochrony danych UE-USA (DPF), przyjęte przez Komisję Europejską 10 lipca 2023 r. Ich status w 2026 r. wciąż nie jest ostatecznie przesądzony: Sąd Unii Europejskiej potwierdził 3 września 2025 r. w pierwszej instancji ważność DPF w sprawie Latombe v Commission (T-553/23), przy czym chodziło o jego ważność w chwili przyjęcia; odwołanie do TSUE jest w toku od 31 października 2025 r. (stan na 2026 r., z zastrzeżeniem zmian). NOYB/Max Schrems zapowiedział szerszą, odrębną skargę. Dlatego praktyczna rekomendacja z naszej analizy brzmi: DPF jest obecnie ważną podstawą przekazywania danych, ale firmy powinny mieć w zanadrzu SCC jako rozwiązanie awaryjne i przeprowadzać TIA także w przypadku odbiorców certyfikowanych w ramach DPF, ponieważ Garante i CNIL zalecają w 2025 r. takie podwójne zabezpieczenie.

Właśnie tu widać przewagę europejskich dostawców: kto utrzymuje inferencję, indeks RAG i logi w całości w UE, nie musi na tych etapach sięgać po DPF, SCC ani TIA. Ryzyko związane z dostępem na podstawie CLOUD Act, FISA 702 i EO 12333 oraz z wymuszonym ujawnieniem danych amerykańskim organom niezależnie od miejsca przechowywania wyraźnie spada w przypadku dostawcy z UE bez powiązań z amerykańską grupą kapitałową. To, jak bardzo spada, zależy od tego, czy podprocesorzy podlegają prawu USA, nawet jeśli przetwarzają dane w centrach danych w UE, oraz czy dostęp ma spółka z amerykańskiej grupy. To, że wszystko zostaje w UE, nie jest oczywiste także u dostawców europejskich: umowa powierzenia przetwarzania danych Mistrala dopuszcza przekazywanie danych poza EOG na podstawie odpowiednich zabezpieczeń. Według notatki Open Terms Archive z lutego 2025 r. Mistral dodał dla swojej infrastruktury Google Cloud, oprócz Irlandii, także USA jako miejsce przetwarzania. Google Cloud sam jest dostawcą z USA, więc ryzyko pozostaje tam również przy lokalizacji w Irlandii. Dlatego sprawdź aktualną listę podprocesorów w Trust Center dostawcy.

Mistral AI i Aleph Alpha: profil pod kątem RODO

W naszej analizie obaj dostawcy figurują w konfiguracji administrator → podmiot przetwarzający ze zobowiązaniem „No-Training”, czyli jako podmioty przetwarzające, które umownie zobowiązały się nie wykorzystywać danych klientów do trenowania modeli. Są to zobowiązania umowne, a nie standard ustawowy, dlatego trzeba je zweryfikować przy zawieraniu umowy.

Mistral AI (Francja): siedziba główna w UE, z naciskiem na przetwarzanie danych w UE. Obowiązuje zobowiązanie do nietrenowania modeli na danych z produktów komercyjnych. Lista podprocesorów jest publikowana, z dziesięciodniowym terminem na sprzeciw wobec nowych podprocesorów (DPA Mistrala, pkt 7.2). Okres przechowywania danych można konfigurować. Mistral jest też dostępny przez AWS Bedrock i Google Vertex AI w regionach UE, co daje elastyczność w routingu. Dla pełnej kontroli nad danymi modele Mistrala można uruchamiać na własnej infrastrukturze, a Le Chat Enterprise jest dostępny również w wersji hostowanej samodzielnie.

Aleph Alpha (Pharia, Niemcy): umowa DPA podlegająca prawu niemieckiemu ze wzorami zgodnymi z wymogami BfDI, zobowiązanie do nietrenowania modeli na danych klientów oraz wyraźnie suwerenne opcje wdrożenia. Dostępne są warianty działania on-premise oraz suwerenne warianty w UE, lista podprocesorów jest udostępniana w ramach każdej umowy, a okres przechowywania kontroluje klient. Ma to znaczenie dla branż regulowanych: nasza analiza wskazuje Aleph Alpha Pharia w wersji on-premise jako suwerenną opcję dla szwajcarskich instytucji nadzorowanych przez FINMA, obok Swisscom Sovereign AI.

Poza samymi dostawcami modeli w regionie DACH (Niemcy, Austria, Szwajcaria) istnieje ekosystem suwerennego hostingu: według naszej analizy IONOS AI Model Hub, STACKIT (Grupa Schwarz) i T-Systems Open Telekom Cloud pracują na wzorach umów powierzenia podlegających prawu niemieckiemu, zgodnych z wytycznymi BfDI/DSK, z przetwarzaniem wyłącznie w kraju, w DE/UE. Swisscom Sovereign AI obejmuje Szwajcarię dzięki umowie DPA zgodnej z revDSG i rezydencji danych w CH.

Tabela porównawcza: dostawcy z UE a routing przez amerykańskich hiperskalerów

Kompromisy bez owijania w bawełnę

Dostawca z UE nie jest rozwiązaniem, które działa samo. Regularnie trzeba rozważyć trzy kwestie:

• Jakość modeli: amerykańskie modele frontier wciąż prowadzą w wielu benchmarkach. Kto potrzebuje maksymalnej wydajności w rozumowaniu lub multimodalności, przy dostawcy z UE musi się czasem liczyć z ustępstwami.
• Ekosystem i narzędzia: dojrzałość SDK, integracji, serwerów MCP i połączeń z narzędziami observability jest u dużych dostawców z USA często większa. Dostawcy z UE nadrabiają zaległości, ale standard rynkowy zwykle wyznaczany jest gdzie indziej.
• Koszty: opcje suwerenne i on-premise generują koszty eksploatacji i licencji; regionalne endpointy mogą być droższe. Po drugiej stronie wagi jest zaoszczędzony nakład pracy na compliance.

Ważne: dostawca z UE rozwiązuje tylko kwestię przekazywania danych i suwerenności. Wszystkie inne obowiązki zostają w mocy: umowa powierzenia przetwarzania zgodnie z art. 28 ust. 3 lit. a–h, ocena skutków dla ochrony danych zgodnie z art. 35, wymagana niemal zawsze, solidna podstawa prawna zgodnie z art. 6 (najczęściej art. 6 ust. 1 lit. f z udokumentowanym testem równowagi interesów), postępowanie ze szczególnymi kategoriami danych zgodnie z art. 9, architektura dla zautomatyzowanego podejmowania decyzji w indywidualnych przypadkach zgodnie z art. 22 oraz prawa osób, których dane dotyczą. Nie znika też należyta staranność po stronie podmiotu stosującego w zakresie legalności danych treningowych wynikająca z opinii EROD 28/2024 (17 grudnia 2024 r.).

Kiedy dostawca z UE jest właściwym wyborem

Europejski dostawca sprawdza się szczególnie wtedy, gdy:

• przetwarzane są szczególne kategorie danych (art. 9), czyli dane dotyczące zdrowia, dane biometryczne lub dane o porównywalnej wrażliwości;
• branża podlega regulacjom sektorowym: nasza analiza wskazuje na wyraźną preferencję dla chmury suwerennej we wdrożeniach kredytowych i ubezpieczeniowych oraz w instytucjach nadzorowanych przez FINMA;
• wymagane jest on-premise lub pełna kontrola nad danymi, np. z Aleph Alpha Pharia albo samodzielnie hostowanymi modelami Mistrala;
• firma nie chce wbudowywać w swoją architekturę niepewności prawnej wokół DPF.

Przykład liczbowy: trzy przeskoki między podprocesorami

Firma z sektora MŚP prowadzi wewnętrznego agenta RAG opartego na dokumentach kadrowych. Przy dostawcy z USA każdy prompt przechodzi przez trzy przeskoki wrażliwe pod kątem państw trzecich: API modelu, hosting w chmurze, observability. Dla każdego przeskoku trzeba udokumentować TIA i przypisanie modułu SCC, przy trzech przeskokach są to więc trzy TIA plus bieżący monitoring DPF. Jeśli firma wdroży Aleph Alpha Pharia on-premise z bazą wektorową i observability w UE, liczba transferów objętych rozdziałem V spada do zera. Zamiast trzech TIA pozostaje standardowy nakład pracy związany z umową powierzenia i DPIA. Przy corocznej ponownej walidacji każdej TIA i ostrożnym założeniu około jednego osobodnia na TIA daje to oszczędność około trzech osobodni rocznie, a do tego znika ryzyko rezydualne związane z ewentualnym upadkiem DPF.

Dla agencji i decydentów B2B

Dla agencji marketingowych wybór dostawcy jest argumentem sprzedażowym: kto obsługuje klientów w Europie w branżach regulowanych, może dzięki europejskiemu stackowi LLM (Mistral lub Aleph Alpha plus suwerenny hosting w UE) zaoferować prostszą i łatwiejszą do audytu narrację o zgodności niż przy konfiguracji opartej wyłącznie na USA. Dla decydentów B2B zasada jest taka: traktuj wybór dostawcy jako świadome wyważenie ryzyka i korzyści, z dostawcami z UE tam, gdzie dominują szczególne kategorie danych, regulacje sektorowe lub wymagania on-premise, i modelami z USA tam, gdzie decyduje najwyższa jakość modelu, a ryzyko związane z państwem trzecim da się opanować dzięki regionom UE i SCC jako rozwiązaniu awaryjnemu. Udokumentuj decyzję w DPIA i w rejestrze czynności przetwarzania.

Agencja Blck Alpaca z Wiednia pomaga w neutralnej wobec dostawców ocenie, w budowie mapy podprocesorów i w integracji z DPIA w architekturach agentów opartych na dostawcach z UE lub z USA.

Uwaga: ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Warunki dostawców często się zmieniają i trzeba je zweryfikować przy zawieraniu umowy; w sprawie konkretnych rozwiązań skonsultuj się z wykwalifikowanym prawnikiem. Stan analizy, na której opiera się tekst: 14 maja 2026 r. Informacje o fuzji Aleph Alpha z Cohere oraz o samodzielnym hostingu i podprocesorach Mistrala uzupełniono 13 października 2026 r.