Mistral a Aleph Alpha: výhody európskych poskytovateľov LLM v oblasti GDPR

Poskytovatelia LLM z EÚ sú poskytovatelia jazykových modelov so sídlom v Európskej únii, predovšetkým Mistral AI z Francúzska a Aleph Alpha z Nemecka. Ich hlavnou výhodou z hľadiska GDPR je spracúvanie údajov v EÚ, a tým možnosť vyhnúť sa pri samotnej inferencii prenosu do tretej krajiny podľa kapitoly V GDPR. To výrazne zjednodušuje súlad, no nenahrádza ho.

• Žiadny prenos do tretej krajiny: Ak spracúvanie zostáva v EÚ, pre tento krok odpadajú štandardné zmluvné doložky, opieranie sa o EU-US Data Privacy Framework aj príslušné posúdenie vplyvu prenosu.
• Žiadna americká materská spoločnosť: Riziko vyplývajúce z CLOUD Act, FISA 702 a EO 12333, ktoré u amerických poskytovateľov môže pretrvávať, je u poskytovateľa z EÚ bez americkej materskej spoločnosti výrazne nižšie, pokiaľ ani jeho ďalší sprostredkovatelia nie sú americké firmy a žiadna americká spoločnosť zo skupiny nemá prístup k údajom.
• Suverenita až po on-prem: Aleph Alpha (Pharia) ponúka on-prem nasadenie aj suverénne nasadenie v EÚ s DPA podľa nemeckého práva a so šablónami kompatibilnými s BfDI. Mistral poskytuje modely s otvorenými váhami (open-weight) na vlastný hosting.

Stav k októbru 2026: Kanadský poskytovateľ Cohere 24. apríla 2026 oznámil, že prevezme Aleph Alpha. 16. septembra 2026 obe spoločnosti podpísali zmluvu o fúzii. Spojená spoločnosť má vystupovať pod značkou Cohere so sídlami v Berlíne a Toronte, dokončenie transakcie však ešte podlieha schváleniu regulačných orgánov. Ak Phariu používaš alebo jej nasadenie plánuješ, po dokončení transakcie znova skontroluj zmluvu so sprostredkovateľom, ďalších sprostredkovateľov, štruktúru skupiny a možné prístupy z tretích krajín. Pre Kanadu síce existuje rozhodnutie Európskej komisie o primeranosti pre komerčné organizácie, Cohere má však aj kancelárie v New Yorku a San Franciscu.

Prečo na sídle poskytovateľa z hľadiska ochrany údajov záleží

Každé spracúvanie osobných údajov v LLM agentovi, napríklad prompt, výstup, pamäť agenta, payload volania nástroja, vektorové úložisko alebo logy, je spracúvaním v zmysle čl. 4 GDPR. Ak tieto údaje opustia EHP, uplatní sa kapitola V GDPR. Meradlom je od rozsudku SDEÚ Schrems II (C-311/18, 16. júla 2020): štandardné zmluvné doložky sú platné len vtedy, ak posúdenie vplyvu prenosu (TIA) pre konkrétny prípad potvrdí rovnocennú úroveň ochrany a v prípade potreby sa prijmú doplnkové opatrenia.

Pre amerických poskytovateľov je pritom v centre EU-US Data Privacy Framework (DPF), ktorý Európska komisia prijala 10. júla 2023. Jeho status nie je ani v roku 2026 definitívne vyjasnený: Všeobecný súd EÚ potvrdil DPF 3. septembra 2025 vo veci Latombe v Commission (T-553/23) v prvom stupni, a to z hľadiska jeho platnosti v čase prijatia; konanie o odvolaní na SDEÚ prebieha od 31. októbra 2025 (stav 2026, s výhradou zmeny). NOYB/Max Schrems naznačil širšie, samostatné napadnutie. Praktické odporúčanie našej rešerše preto znie: DPF je v súčasnosti platným základom pre prenos, podniky by však mali mať pripravené SCC ako záložné riešenie a aj pri príjemcoch certifikovaných podľa DPF vykonať TIA, pretože Garante a CNIL v roku 2025 toto dvojité zabezpečenie odporúčajú.

Práve tu sa prejavuje výhoda európskych poskytovateľov: kto drží inferenciu, RAG index a logy úplne v EÚ, nemusí pre tieto kroky riešiť DPF, SCC ani TIA. Riziko prístupu podľa CLOUD Act, FISA 702 a EO 12333 a vynúteného sprístupnenia údajov americkým orgánom bez ohľadu na miesto uloženia je u poskytovateľa z EÚ bez väzby na americký koncern výrazne nižšie. O koľko je nižšie, závisí od toho, či ďalší sprostredkovatelia podliehajú americkému právu, aj keď spracúvajú údaje v dátových centrách v EÚ, a či má prístup americká spoločnosť zo skupiny. Ani pri poskytovateľoch z EÚ nie je samozrejmé, že všetko zostane v EÚ: zmluva Mistralu o spracúvaní údajov povoľuje prenosy mimo EHP na základe primeraných záruk. Podľa memoranda projektu Open Terms Archive z februára 2025 Mistral pre svoju infraštruktúru v Google Cloud uviedol ako miesto spracúvania okrem Írska aj USA. Google Cloud je sám americký poskytovateľ, takže riziko tam pretrváva aj pri lokalite Írsko. Preto skontroluj aktuálny zoznam ďalších sprostredkovateľov v Trust Centre poskytovateľa.

Mistral AI a Aleph Alpha v profile GDPR

Obaja poskytovatelia sú v našej rešerši vedení v konštelácii prevádzkovateľ → sprostredkovateľ s prísľubom „No-Training“, teda ako sprostredkovatelia so zmluvným prísľubom nepoužívať zákaznícke údaje na trénovanie modelov. Tieto prísľuby majú zmluvnú povahu, nie sú zákonným štandardom, a preto ich treba pri uzatváraní zmluvy overiť.

Mistral AI (Francúzsko): Sídlo v EÚ, s dôrazom na spracúvanie údajov v EÚ. Platí prísľub netrénovania pre komerčné produkty. Zoznam ďalších sprostredkovateľov je zverejnený, s desaťdňovou lehotou na námietku pri nových ďalších sprostredkovateľoch (DPA Mistralu, bod 7.2). Dobu uchovávania údajov si možno nastaviť. Mistral je navyše dostupný cez AWS Bedrock a Google Vertex AI v regiónoch EÚ, čo dáva flexibilitu pri smerovaní. Ak chceš plnú kontrolu nad údajmi, môžeš modely Mistral prevádzkovať na vlastnej infraštruktúre a Le Chat Enterprise je dostupný aj vo verzii, ktorú si hostuješ sám.

Aleph Alpha (Pharia, Nemecko): DPA podľa nemeckého práva so šablónami kompatibilnými s BfDI, prísľub netrénovania a výslovne suverénne možnosti nasadenia. K dispozícii je prevádzka on-prem aj suverénna prevádzka v EÚ, zoznam ďalších sprostredkovateľov sa poskytuje pre každú zmluvu, dobu uchovávania riadi zákazník. Pre regulované odvetvia je to dôležité: naša rešerš uvádza on-prem Aleph Alpha Pharia ako suverénnu možnosť pre švajčiarske inštitúcie regulované úradom FINMA, popri Swisscom Sovereign AI.

Nad rámec samotných poskytovateľov modelov existuje v regióne DACH suverénny hostingový ekosystém: IONOS AI Model Hub, STACKIT (skupina Schwarz) a T-Systems Open Telekom Cloud podľa našej rešerše pracujú so šablónami zmlúv o spracúvaní podľa nemeckého práva, orientovanými na usmernenia BfDI/DSK, so spracúvaním výlučne v DE/EÚ. Swisscom Sovereign AI pokrýva Švajčiarsko s DPA v súlade s revDSG a rezidenciou údajov v CH.

Porovnávacia tabuľka: poskytovatelia z EÚ vs. trasy cez amerických hyperscalerov

Kompromisy treba pomenovať otvorene

Poskytovateľ z EÚ nie je automatické riešenie. Pravidelne treba zvážiť tri veci:

• Kvalita modelu: Najvýkonnejšie americké modely (frontier) v mnohých benchmarkoch naďalej vedú. Kto potrebuje maximálny výkon v uvažovaní (reasoning) alebo multimodalite, musí sa u poskytovateľa z EÚ za určitých okolností uspokojiť s nižším výkonom.
• Ekosystém a nástroje: Vyspelosť SDK, integrácií, MCP serverov a napojenia na observabilitu je u veľkých amerických poskytovateľov často širšia. Poskytovatelia z EÚ zmenšujú náskok, trhový štandard sa však často určuje inde.
• Náklady: Suverénne a on-prem možnosti prinášajú prevádzkové a licenčné náklady; regionálne koncové body môžu byť drahšie. Proti tomu stojí ušetrená práca na zabezpečení súladu.

Dôležité: poskytovateľ z EÚ rieši iba otázku prenosu a suverenity. Všetky ostatné povinnosti zostávajú: zmluva o spracúvaní podľa čl. 28 ods. 3 písm. a) až h), takmer vždy potrebné posúdenie vplyvu na ochranu údajov podľa čl. 35, spoľahlivý právny základ podľa čl. 6 (väčšinou čl. 6 ods. 1 písm. f) so zdokumentovaným vyvážením záujmov), zaobchádzanie s osobitnými kategóriami údajov podľa čl. 9, architektúra pre automatizované individuálne rozhodovanie podľa čl. 22 a práva dotknutých osôb. Neodpadá ani náležitá starostlivosť (due diligence) nasadzujúceho subjektu pri overovaní zákonnosti tréningových údajov podľa stanoviska EDPB 28/2024 (17. decembra 2024).

Kedy je poskytovateľ z EÚ správnou voľbou

Európsky poskytovateľ sa odporúča najmä vtedy, keď:

• sa spracúvajú osobitné kategórie údajov (čl. 9), teda zdravotné, biometrické alebo porovnateľne citlivé údaje;
• je odvetvie sektorovo regulované: naša rešerš uvádza pri nasadeniach v úverovom a poisťovacom sektore, ako aj pri inštitúciách regulovaných úradom FINMA výslovnú preferenciu suverénneho cloudu;
• sa vyžaduje on-prem alebo plná kontrola nad údajmi, napríklad s Aleph Alpha Pharia alebo s modelmi Mistral na vlastnom hostingu;
• podnik nechce do svojej architektúry zabudovať právnu neistotu okolo DPF.

Príklad s číslami: tri skoky cez ďalších sprostredkovateľov

Stredne veľký podnik prevádzkuje interného RAG agenta nad personálnymi dokumentmi. S americkým poskytovateľom prechádza každý prompt tromi skokmi citlivými z hľadiska tretích krajín: API modelu, cloudový hosting, observabilita. Pre každý skok treba zdokumentovať jednu TIA a priradenie modulu SCC, pri troch skokoch teda tri TIA plus priebežné sledovanie DPF. Ak podnik nasadí Aleph Alpha Pharia on-prem s vektorovým úložiskom v EÚ a observabilitou v EÚ, počet prenosov podliehajúcich kapitole V klesne na nulu. Namiesto troch TIA zostáva bežná práca na DPA a DPIA. Pri ročnej revalidácii každej TIA a konzervatívnom odhade približne jedného človekodňa na TIA to zodpovedá úspore asi troch človekodní ročne a odpadá aj zvyškové riziko možného zániku DPF.

Pre agentúry a B2B manažérov

Pre marketingové agentúry je výber poskytovateľa predajným argumentom: kto obsluhuje klientov z regiónu DACH v regulovaných odvetviach, môže s LLM stackom z EÚ (Mistral alebo Aleph Alpha plus suverénny hosting v EÚ) ponúknuť štíhlejšiu a ľahšie auditovateľnú argumentáciu k súladu ako s riešením postaveným len na USA. Pre B2B manažérov platí: poskytovateľa vyber vedome po zvážení rizík a prínosov, poskytovateľov z EÚ tam, kde dominujú osobitné kategórie údajov, sektorová regulácia alebo požiadavky na on-prem, a americké modely tam, kde rozhoduje špičková kvalita modelu a riziko tretej krajiny zostáva zvládnuteľné cez regióny EÚ a záložné SCC. Rozhodnutie zdokumentuj v DPIA a v zázname o spracovateľských činnostiach.

Agentúra Blck Alpaca z Viedne pomáha s neutrálnym hodnotením poskytovateľov, zostavením mapy ďalších sprostredkovateľov a integráciou DPIA pre architektúry agentov postavené na riešeniach z EÚ aj USA.

Poznámka: Tento príspevok slúži na odbornú orientáciu a nie je právnym poradenstvom. Podmienky poskytovateľov sa často menia a pri uzatváraní zmluvy ich treba overiť; pri konkrétnom nastavení sa, prosím, obráť na kvalifikovaného právneho poradcu. Rešerš, z ktorej príspevok vychádza, zodpovedá stavu k 14. máju 2026. Údaje o fúzii Aleph Alpha s Cohere, ako aj o vlastnom hostingu a ďalších sprostredkovateľoch pri Mistrale sme doplnili 13. októbra 2026.