編按：本文綜合整理自 Mistral 官方說明文件、AI Governance Institute 政策分析、Meetily 第三方資料保留調查，以及 VerifyWise AI Trust Index 評等，並加入 Siami 編輯部觀點與分析。
法國 AI 獨角獸 Mistral 在 9 月 1 日悄悄更新其說明文件，正式確認旗下消費級助理「Vibe」（前身 Le Chat）與一般 API 用戶的「輸入與輸出資料」會預設被用於模型訓練，僅 Enterprise 客戶預設關閉。此一調整登上 Hacker News 熱榜（152↑、72 則討論），並被 AI 治理研究機構指為歐盟企業「未爆彈」等級的 GDPR 暴露面。
這次政策改動了什麼
根據 Mistral 官方 Help Center 條目 與 隱私政策 9 月 1 日版本，新規則的核心可歸納為三點：
- Vibe 消費版預設開啟訓練：免費與一般訂閱用戶的所有對話、上傳文件，預設都會進入 Mistral 的訓練資料池。用戶需自行在設定中關閉「Allow your interactions to be used to train our models」。
- Vibe Enterprise 預設關閉訓練：企業方案反向操作，預設 opt-out；只有管理員從 Admin Panel 主動開啟，才會把員工對話納入訓練。
- API 與 Vibe 的 opt-out 是分離的：在 Vibe 介面關閉訓練，不會連帶關閉 API 端的訓練；同樣地，API 端的「Anonymous improvement data」開關也只管 API。要兩邊都關，必須各自進後台調整。
對 API 用戶來說，Mistral 也提供 Zero Data Retention（ZDR）選項，企業客戶可要求對話完全不落地。
為什麼這件事重要
Mistral 是歐洲對 OpenAI 與 Anthropic 的關鍵本土代表，也是目前少數仍以「歐盟資料主權」與「透明隱私」作為品牌定位的主力模型商。這次的政策等於把這張牌自己撕掉一角。
從企業採購端來看，過去不少歐洲 CIO 願意付費使用 Mistral，正因為相信它「不像美國廠商那樣把對話當訓練燃料」。現在文件白紙黑字寫「default opt-in」，等於逼這些企業重新跑一次 vendor due diligence。
從使用者端來看，「Vibe 與 API opt-out 不互通」這件事尤其值得注意——多數人根本不會意識到自己關了其中一邊，另一邊仍持續貢獻資料。這是一個 UX 設計刻意讓用戶不易察覺的 friction point。
從監管端來看，這次變更時間點也踩在歐盟 AI Act 全面適用前的敏感階段。雖然 AI Act 的訓練資料透明化要求尚未對消費級模型開罰，但法國 CNIL（國家資訊自由委員會）已經對類似默示同意機制表達過保留態度。
數據解讀與質疑
先把數字攤開來看：HN 152 推、72 則留言，雖然沒有衝上前十大，但點開留言區可以看到「早就知道了」「這就是歐洲版的 ChatGPT 嘛」「CNIL 沒動作就代表沒事嗎？」等高度警覺的討論。換言之，社群並不意外，但失望感正在累積。
幾個值得質疑的點：
- 「Opt-out」的法律基礎站不站得住？ 歐盟 GDPR 第 6 條要求處理個資需有合法依據，預設 opt-in 的訓練資料蒐集，若依「同意」作為法律依據，須符合「明確、可個別撤回」的高標準。AI Governance Institute 直接點名這是「企業可能在稽核前都不知道」的隱藏曝險面。
- Enterprise 的預設 opt-out 是真的保護嗎？ 文件說「customers are opted out by default」，但實務上 Vibe Enterprise 是新方案、滲透率仍低。VerifyWise 給 Le Chat 74 分（A 級），主要依據仍是 API 端的 ZDR 機制與 EU data residency，並非 Vibe 端的訓練開關。
- 2026-03-12 的商業條款擴張沒人記得：Platform Governance Archive 紀錄 Mistral 早在 3 月就把「搜尋結果」納入可用訓練素材。這次 9 月更新是補上「消費級對話」的拼圖——長期方向是逐步把所有可訓練資料都打開。
對比同類廠商：Anthropic 預設不訓練、需明確 opt-in；OpenAI 消費端預設 opt-out、API 預設不訓練；Google Gemini 免費版預設 opt-in、但介面開關相對直覺。Mistral 這次的位置，等於把「法國最透明」的品牌資產賭在了營收壓力上。
開發者與企業現在該做什麼
對於正在使用 Mistral 的工程團隊與企業，整理出三條馬上可採取的動作：
- 立即進 Admin Panel 雙重檢查：登入 Mistral 後台，把 Vibe 與 API 兩個 opt-out 開關都關掉。文件寫得清楚，分開設定是設計而不是 bug。
- 評估是否升級 Enterprise 或啟用 ZDR：如果團隊有商業機密或個資合約要求，直接談 Enterprise 方案並要求合約內明寫 ZDR，避免日後稽核爭議。
- 建立「AI 工具訓練設定」清單：把這次經驗寫進 vendor onboarding SOP，未來導入任何 LLM（不只 Mistral）都要逐項驗證「預設是訓練還是不訓練」「opt-out 在哪幾個入口」。
對個人用戶來說，建議至少到 Vibe 設定 → Data & Account Controls → 把「Enable data sharing」取消勾選；iOS / Android App 也有同名開關。
編按：本文綜合整理自 Mistral 官方說明文件、AI Governance Institute 政策分析、Meetily 第三方資料保留調查，以及 VerifyWise AI Trust Index 評等，並加入 Siami 編輯部觀點與分析。