Mistral sur WordPress : l’essai sur l’offre gratuite, et où vont vos données

Cherchez "Mistral WordPress" et vous tomberez vite sur les mêmes mots : IA française, souveraine, hébergée en Europe. Ils décrivent une entreprise. Aucun ne dit où vos textes sont traités quand votre site les envoie.

La documentation de Mistral, elle, le dit. L’adresse que l’extension WordPress appelle n’engage l’éditeur sur aucun lieu de calcul : c’est écrit en toutes lettres. Une adresse européenne existe pourtant. L’extension ne la connaît pas…

Mistral m’intéresse parce que c’est une solution française ou européenne (à vérifier, justement), et c’est toujours bien. Je travaille 70 à 80 % du temps avec Claude Code, avec lequel je gère les articles de ce site, et aussi avec Codex, d’OpenAI. Un troisième modèle m’intéresse.

Mistral ne m’est pas tout à fait inconnu : ORIA, l’extension d’orientation pédagogique que j’ai développée, se connecte déjà à son API, comme à celles de Claude et de ChatGPT. Je la présente dans mon retour d’expérience sur l’IA en formation.

D’où cet essai. Il a été mené pour moi le 30 septembre 2026, sur un WordPress local, avec l’offre gratuite et rien d’autre : ni abonnement, ni carte bancaire. Voici ce qu’il montre, échecs compris.

Mistral WordPress : est-ce que ça fonctionne ?

Oui. Au 30 septembre 2026, Mistral fonctionne dans WordPress 7.1.2 grâce à l’extension AI Provider for Mistral, qui l’ajoute à l’écran Réglages > Connecteurs. L’offre gratuite de Mistral a suffi, sans carte bancaire. À un réglage près : dans l’essai, il a fallu imposer un modèle de la famille Ministral, sans quoi l’appel était refusé avec une erreur 429.

Je voulais voir deux choses : que ça fonctionne, et que ce qui revient soit correct. Aucun comparatif, aucun autre modèle en face, et rien sur les grands modèles de Mistral, que ma clé gratuite n’a pas obtenus.

Tout s’est joué en une journée, sur un WordPress local que j’ai mis à disposition (version 7.1.2, PHP 8.4). Le matin, 74 appels directs à Mistral, dont 64 réussis : 42 sorties retenues, et 22 appels passés deux fois. Puis 25 appels lancés depuis WordPress. Les textes envoyés venaient tous d’articles déjà publiés ici.

WordPress 7 et l’écran Connecteurs : comment Mistral s’ajoute

Depuis la version 7.0, WordPress embarque un client d’IA et un écran Réglages > Connecteurs, où l’on range ses clés d’API une fois pour toutes. Le cœur ne contient aucun fournisseur d’IA. La note officielle du 24 mars 2026 l’écrit sans détour : ils sont développés et maintenus sous forme d’extensions.

Trois fournisseurs sont mis en avant d’office : Anthropic, Google et OpenAI. Mistral n’en fait pas partie. Dans mon tour complet de WordPress 7, j’avais relevé l’absence d’un acteur européen dans cette première fournée, en renvoyant la balle à Mistral.

Le connecteur existe désormais. Il ne vient pas de Mistral… C’est une extension tierce, signée Lauri Saarni, dont la fiche précise qu’elle n’est ni affiliée à Mistral AI, ni soutenue, ni parrainée par lui.

Sa version 1.2.0 date du 21 avril 2026. Elle est déclarée testée jusqu’à WordPress 7.0.6. L’essai l’a fait tourner sur la 7.1.2, sans l’extension compagnon que sa fiche réclame encore. Le client d’IA est dans le cœur depuis la 7.0.

Rien à déclarer à la main. D’après la note du 18 mars 2026 sur les connecteurs, un fournisseur qui s’enregistre auprès du client d’IA reçoit son connecteur tout seul.

Ce que l’écran affiche, avant et après la clé

Une fois l’extension activée, Mistral apparaît dans l’écran Connecteurs, entre Google et OpenAI, avec un bouton "Configurer". La clé saisie, la carte affiche "Connecté".

Sa description, restée en anglais, promet aussi des images. Le seul modèle d’image que le code connaît figure au tableau des modèles retirés de Mistral depuis le 31 août 2026. L’essai n’a pas porté sur les images.

D’autres extensions savent parler à Mistral par leurs propres moyens, avec leurs propres réglages. J’en présente plusieurs dans ma sélection des meilleurs plugins IA pour WordPress. Je m’en tiens ici à la voie du cœur.

Pourquoi le premier appel a-t-il échoué avec ma clé gratuite ?

Extension activée, clé en place. Le premier appel lancé depuis WordPress, sans préciser de modèle, a pourtant rendu ceci :

prompt_client_error : Too Many Requests (429) - Rate limit exceeded

La clé était-elle invalide ? Non. Dans la même série d’appels, elle a obtenu douze réponses sur douze. Une seule chose avait changé : le modèle demandé.

L’explication se lit dans le code. Quand personne ne précise de modèle, le client d’IA de WordPress prend le premier modèle convenable, dans l’ordre où le fournisseur range les siens. La note officielle le dit : c’est à chaque extension de trier ses modèles.

AI Provider for Mistral trie par familles. Large en tête, puis Medium, Magistral, Codestral et Devstral, Pixtral, Small… et Ministral au septième rang. Son journal des modifications l’assume depuis la 1.2.0 : les modèles phares remontent en premier.

Ce que ma clé a obtenu, modèle par modèle

Or ma clé gratuite n’a obtenu aucun des trois modèles contrôlés le même jour. Mistral Large répond 403 : "This model is not available in your subscription tier". Un refus d’offre, écrit noir sur blanc. Mistral Small et Mistral Medium répondent 429, "Rate limit exceeded".

L’en-tête x-ratelimit-limit-req-minute de ces deux réponses donne la limite appliquée à ma clé : zéro requête par minute. Pour Ministral 8B, le même en-tête affiche 188. Magistral, Codestral et Pixtral n’ont pas été appelés.

Ce constat vaut pour cette clé, le 30 septembre 2026. Je n’en fais pas une règle de l’offre gratuite. Le guide de démarrage de Mistral prend lui-même mistral-small-latest comme appel de contrôle d’une clé gratuite.

La page d’aide de Mistral sur les limites écrit qu’un 429 signale une limite dépassée, et que les limites se comptent modèle par modèle. Je vous invite à ouvrir la page "Limits" de votre console avant de bâtir quoi que ce soit. Les vôtres y sont affichées.

Large est d’ailleurs absent de la liste des 46 modèles servis à cette clé. Les trois Ministral répondent. L’extension a donc proposé en premier ce que ma clé n’obtenait pas, et en dernier ce qu’elle obtenait.

L’extension officielle AI bute sur le même mur

Les fonctions que vous voyez dans l’éditeur (extrait, méta description, texte alternatif, résumé, traduction) viennent d’une autre extension, officielle celle-là.

Elle ne contient aucun fournisseur : sa fiche renvoie aux connecteurs. Avec Mistral pour seul connecteur configuré, ses quatre exécutions d’origine (un extrait et une méta description, sur deux articles) ont toutes échoué. Même erreur 429.

Là encore, le code répond. Sa liste de modèles préférés compte cinq entrées, réparties entre Anthropic, Google et OpenAI. Aucun Mistral. Quand aucun modèle préféré n’est disponible, le client d’IA se rabat sur un modèle compatible… et retombe sur le classement de tout à l’heure.

Le réglage qui débloque tout : imposer un modèle Ministral

Dans votre propre code, la méthode using_model_preference() du client d’IA désigne le modèle voulu. La chaîne des douze appels de l’essai, mise à plat, est celle-ci, avec le plafond de jetons d’une méta description :

$resultat = wp_ai_client_prompt( $consigne )
	->using_provider( 'mistral' )
	->using_system_instruction( $systeme )
	->using_temperature( 0.2 )
	->using_max_tokens( 120 )
	->using_model_preference( array( 'mistral', 'ministral-8b-latest' ) )
	->generate_text_result();

Avec cette méthode, douze appels sur douze ont abouti, répartis sur les trois Ministral, en 0,7 à 3,35 secondes.

Pour l’extension AI, huit exécutions sur huit ont abouti, en 0,8 à 2,75 secondes. Un filtre remplace sa liste de modèles préférés. Ou bien, fonction par fonction, on alimente l’option où elle lit un fournisseur et un modèle imposés. L’une ou l’autre suffit.

$modele = 'ministral-8b-latest';

// Voie 1 : la liste des modèles préférés de l'extension AI, remplacée par un modèle Mistral.
$filtre = static fn() => array( array( 'mistral', $modele ) );
add_filter( 'wpai_preferred_text_models', $filtre );

// Voie 2 : fournisseur et modèle imposés, fonction par fonction.
foreach ( array( 'excerpt-generation', 'meta-description' ) as $id ) {
	add_filter(
		"pre_option_wpai_feature_{$id}_field_developer",
		static fn() => array( 'provider' => 'mistral', 'model' => $modele )
	);
}

Où poser ces lignes ? Dans une petite extension à vous, ou dans un mu-plugin, ces fichiers que WordPress charge d’office. L’essai ne les a pas chargées depuis un mu-plugin. Il les a exécutées avec WP-CLI, la ligne de commande de WordPress, sans écrire ces réglages en base.

Les deux fonctions de l’extension AI avaient été activées le temps de l’essai, par ses options.

Que valent les trois petits modèles sur des tâches WordPress ?

Sur trois tâches de rédaction WordPress, les modèles Ministral 3B, 8B et 14B répondent vite. Comptez entre 0,9 et 2,3 secondes selon la tâche (durées médianes). Ils ne tiennent pas les longueurs demandées, puisqu’une méta description sur quinze entre dans la cible. Le texte alternatif est la tâche la mieux tenue. Aucune sortie ne se publie sans relecture.

Ce qui leur a été demandé

Cinq articles déjà publiés sur ce site ont servi de matière : sécurité, sauvegarde, vitesse, contrat de maintenance, WP-CLI. De chacun, les 1 200 premiers mots. Et pour chacun, une seule sortie retenue par modèle et par tâche, à température 0,2.

Une méta description de 120 à 141 caractères avec la requête exacte, un résumé de 80 mots au plus, un texte alternatif de 125 caractères au plus, image jointe. Soit 42 sorties, l’un des articles n’ayant pas d’image.

Pour 22 d’entre elles, celles de Ministral 8B et 14B sur quatre articles, l’appel est passé deux fois. Seule la seconde réponse a été gardée.

Mesure	Ministral 3B	Ministral 8B	Ministral 14B
Méta descriptions dans la cible (120 à 141 caractères)	0 sur 5	1 sur 5	0 sur 5
Méta descriptions avec astérisques de mise en gras	2 sur 5	5 sur 5	5 sur 5
Méta descriptions avec une formule de réclame	4 sur 5	4 sur 5	5 sur 5
Résumés dans la cible (80 mots au plus)	2 sur 5	3 sur 5	2 sur 5
Textes alternatifs dans la cible (125 caractères au plus)	1 sur 4	3 sur 4	4 sur 4
Durée médiane d’une méta description	1,08 s	1,01 s	1,01 s
Durée médiane d’un résumé	1,67 s	2,30 s	2,29 s
Durée médiane d’un texte alternatif	0,95 s	0,94 s	1,24 s

Ne classez pas ces trois modèles sur ce tableau. Cinq articles et une seule sortie par tâche n’y suffisent pas. Il montre autre chose. La consigne de longueur, pourtant explicite, n’est presque jamais tenue.

Ce qui se relit, à chaque fois

Prenez les quinze méta descriptions. Une seule tient entre 120 et 141 caractères, et encore… elle arrive entourée d’astérisques. La plus longue en fait 247. Douze portent ce balisage de mise en gras, quand la consigne demandait de répondre "uniquement par le texte demandé". Treize contiennent le mot "Découvrez".

**Sécuriser WordPress** en 5 étapes clés : mots de passe ultra-solides, URL de connexion cachée, 2FA obligatoire et sauvegardes testées. Découvrez la checklist complète pour protéger votre site contre les attaques automatisées.

227 caractères pour 141 demandés ! Deux paires d’astérisques, un "Découvrez". Voilà la sortie de Ministral 8B pour mon article sur la sécurité, recopiée telle quelle.

Une autre, par exemple, tutoie le lecteur ("Protège ton site WordPress…") dans un article qui vouvoie, puis repasse au "découvrez" dans la même phrase. Et Google réécrit déjà la méta description plus souvent qu’on ne le croit : inutile de lui en donner l’occasion.

Plus gênant, ces modèles annoncent des longueurs fausses. Après un texte alternatif de 66 caractères, l’un d’eux a ajouté "(124 caractères)". Sic !

Et quand la consigne décrit une image sans l’envoyer, ils comblent. "125 plugins installés" pour l’un, "42 actives, 15 mises à jour disponibles" pour un autre. Des chiffres sortis de nulle part, comme dans l’anatomie d’un faux audit WordPress que j’ai déjà racontée.

Depuis WordPress, même tableau. Les quatre méta descriptions produites par l’extension AI avec Ministral 8B font 201 à 238 caractères.

Le texte alternatif, la tâche la mieux tenue

Huit sorties sur douze tiennent en 125 caractères, sans astérisque, et Ministral 14B respecte la limite quatre fois sur quatre. La longueur est tenue. L’exactitude, non contrôlée contre les images, reste à relire.

Tout ce qui sort se relit. C’est la règle que je décris dans comment j’utilise l’IA pour WordPress sans lui faire confiance. Et une limite de longueur se contrôle par le code, pas par la consigne.

Que donne l’offre gratuite de Mistral, et que garde-t-elle de vos textes ?

L’offre gratuite de Mistral s’appelle "Free mode". Elle ouvre l’API sans carte bancaire : on crée une clé dans la console, et on appelle. Mistral la destine à l’évaluation et au prototypage. En échange, vos textes peuvent servir à entraîner ses modèles, tant que vous ne vous y opposez pas.

Vos textes peuvent servir à l’entraînement, sauf refus de votre part

La contrepartie est écrite dans le centre d’aide de Mistral. En offre gratuite, l’éditeur peut utiliser vos données, entrées comme sorties, pour entraîner ses modèles. Vous avez le droit de vous y opposer à tout moment.

Les robots de Mistral qui explorent le Web sont un autre sujet. Je les passe en revue dans mon guide des robots d’IA sur WordPress.

La non-conservation ("Zero Data Retention") est un autre réglage, à ne pas confondre avec le précédent. Elle n’existe qu’avec le paiement à l’usage, pour les appels sans état, et sur demande motivée. Mistral l’accorde ou la refuse à sa discrétion. Vous n’en avez pas besoin, en revanche, pour refuser l’entraînement.

Et en payant ?

Le paiement à l’usage n’est pas une formule à part : il prolonge l’offre gratuite au-delà de ce qu’elle inclut. Je ne l’ai pas activé. Voici ce que coûteraient les mêmes tâches, d’après les jetons réellement consommés et la grille en euros de Mistral. Elle nomme ces modèles Ministral 3 (3B), (8B) et (14B).

Modèle	Prix par million de jetons (entrée comme sortie)	1 000 méta descriptions	Par l’adresse européenne (+10 %)
Ministral 3 (3B)	0,088 €	0,18 €	0,20 €
Ministral 3 (8B)	0,13 €	0,27 €	0,29 €
Ministral 3 (14B)	0,18 €	0,37 €	0,41 €

Le calcul est simple. Une méta description tirée de 1 200 mots d’article consomme environ 2 000 jetons en entrée et 50 en sortie. Mille méta descriptions reviennent donc à 18 centimes avec le plus petit modèle, 37 avec le plus gros des trois. Avec l’offre gratuite : rien.

Ces centimes ne font pas un budget. Pour les replacer dans un compte complet, voyez le vrai coût de l’IA sur WordPress.

Deux garde-fous : la version du modèle et le plafond de dépense

Un piège, les alias. Un nom en "-latest" bascule de lui-même vers un modèle plus récent, et la documentation de Mistral prévient que cela peut changer le comportement et le prix sans bruit. Sa recommandation : épingler un identifiant de version précis ("major.minor", dans le texte), plutôt qu’un alias.

À noter : l’essai n’a utilisé que des alias, et aucun appel n’a porté sur l’identifiant de version ministral-8b-2512.

La console propose aussi un plafond de dépense mensuel par organisation. Une fois atteint, il peut suspendre l’accès à l’API jusqu’au mois suivant.

Où vont vos textes quand WordPress appelle Mistral ?

Par défaut, WordPress envoie vos textes à l’adresse mondiale de Mistral, pour laquelle l’éditeur ne s’engage sur aucun lieu de calcul. Le stockage est annoncé dans l’Union européenne. Pour demander un traitement en Europe, il faut appeler une autre adresse, qui couvre l’Union et les pays de l’AELE, moyennant 10 % de plus.

Ce que Mistral écrit sur le stockage et sur le calcul

Mistral écrit une chose dans son centre d’aide, une autre dans sa documentation, et elles ne se contredisent pas. Son centre d’aide annonce que, par défaut, vos données sont hébergées dans l’Union européenne. Sa documentation, à propos de l’adresse mondiale, dit ceci :

Mistral ne s’engage sur aucun lieu d’inférence précis pour les requêtes envoyées à cette adresse.

Documentation de Mistral, page "Regional inference" (traduction de cet article)

L’une parle d’hébergement, l’autre de calcul. Vos textes peuvent donc être stockés dans l’Union et traités ailleurs. Le centre d’aide ajoute que, selon la fonction utilisée, vos données peuvent être transférées temporairement hors de l’Union, vers les lieux que liste l’onglet des sous-traitants de son centre de confiance.

J’ai fait relever cette liste des sous-traitants le 30 septembre 2026 : elle compte 25 lignes. J’en retiens cinq, celles qui portent l’infrastructure, l’inférence et le routage de l’API.

On y lit Microsoft (infrastructure, Suède et Norvège), Mistral Compute (France), CoreWeave (fournisseur d’inférence, Espace économique européen) et Cloudflare (sécurité et routage, monde entier). Google y figure aussi, pour les Pays-Bas, la Belgique et, côté point d’accès américain, les États-Unis.

L’API de cette entreprise française s’appuie donc en partie sur des sociétés américaines. Et la Norvège n’est pas dans l’Union.

Côté durée, la politique de confidentialité prévoit de garder entrées et sorties le temps de produire la réponse, puis trente jours glissants, pour surveiller les abus.

L’adresse européenne existe, l’extension ne la connaît pas

Mistral distingue plusieurs adresses d’appel. Sa page "Regional inference" les décrit ainsi.

Adresse	Zone	Lieu du calcul, d’après Mistral	Supplément
api.mistral.ai	Mondiale	Aucun engagement de lieu	Non
api.eu.mistral.ai	Europe	Plusieurs centres de données dans l’Union et l’AELE	10 %
api.us.mistral.ai	États-Unis	Plusieurs centres de données aux États-Unis	10 %

L’extension n’en connaît qu’une. Son adresse d’appel est en effet écrite en dur dans le code, https://api.mistral.ai/v1, sans réglage ni filtre pour en changer.

Restait à savoir si l’adresse européenne acceptait une clé gratuite. Essai direct, le 30 septembre : elle sert 46 modèles, les mêmes que l’adresse mondiale. Trois appels sur trois ont abouti, un par modèle Ministral, en 0,65 à 1,1 seconde. À température 0, les réponses étaient identiques à celles de l’adresse mondiale.

Attention toutefois : seul l’appel de fonctions y est pris en charge comme outil, sans agents, traitement par lots ni API de fichiers. Et le plan de contrôle (compte, clés, facturation) n’est pas régional.

Le filtre qui envoie WordPress vers l’adresse européenne

L’idée tient en une phrase : intercepter toute requête HTTP que WordPress destine à l’adresse mondiale, et la faire repartir vers l’adresse européenne, sans toucher au code de l’extension. Le crochet pre_http_request sert à cela.

Premier essai : trois appels, trois refus. Des erreurs 403, servies par Cloudflare en 0,19 seconde.

Le journal des requêtes a donné la cause. Le client d’IA envoie lui-même un en-tête Host, fixé sur l’adresse mondiale. Recopié tel quel, il accompagnait la requête jusqu’à l’adresse européenne… et la porte restait fermée.

En-tête retiré, trois appels sur trois, en 0,55 à 0,91 seconde, tous journalisés vers api.eu.mistral.ai. Voici le filtre tel qu’il a tourné, débarrassé de l’interrupteur qui servait à rejouer le refus, plus un garde-fou ajouté depuis en tête de fonction :

// Toute requête vers l'adresse mondiale repart vers l'adresse européenne.
$vers_europe = function ( $pre, $args, $url ) {
	// Si un autre filtre a déjà répondu à la requête ou l'a refusée, on n'y touche pas.
	if ( false !== $pre ) {
		return $pre;
	}
	$mondial = 'https://api.mistral.ai/';
	if ( 0 !== strpos( $url, $mondial ) ) {
		return $pre;
	}
	// Le client d'IA fixe lui-même l'en-tête Host sur l'adresse mondiale.
	// Laissé tel quel, il fait refuser la requête par l'adresse européenne
	// (403, constaté au premier essai) : on le retire, WordPress le recalcule.
	if ( is_array( $args['headers'] ?? null ) ) {
		foreach ( array_keys( $args['headers'] ) as $nom ) {
			if ( 'host' === strtolower( $nom ) ) {
				unset( $args['headers'][ $nom ] );
			}
		}
	}
	return wp_remote_request(
		'https://api.eu.mistral.ai/' . substr( $url, strlen( $mondial ) ),
		$args
	);
};
add_filter( 'pre_http_request', $vers_europe, 10, 3 );

Ce garde-fou n’a pas tourné le 30 septembre. Si un autre filtre a déjà répondu à la requête ou l’a refusée, il la laisse telle quelle au lieu de la relancer. Je l’ai fait vérifier à part, sans appel réseau.

Ce filtre agit sur toute requête que WordPress envoie à l’adresse mondiale par sa propre API HTTP. Une extension qui appelle Mistral par ses propres moyens lui échappe. Il n’a été essayé qu’avec AI Provider for Mistral, et par WP-CLI. Dans un mu-plugin, il reste à essayer chez vous.

Et comme tout contournement, il se rejoue après chaque mise à jour de l’extension ou de WordPress.

Mistral conseille de garder une trace de chaque requête régionale, et réserve, même par cette adresse, des transferts limités et encadrés vers des sous-traitants situés hors de la zone.

IA souveraine : ce que le mot garantit, et ce qu’il laisse de côté

Appliquée à un site WordPress, l’expression "IA souveraine" recouvre quatre questions vérifiables : où siège l’éditeur, quel droit régit le contrat, où les textes sont stockés, où ils sont calculés. Le mot, à lui seul, ne répond à aucune des quatre. Chaque réponse se lit dans un document de l’éditeur.

Cette grille n’a rien d’officiel : elle reprend les quatre points que l’on peut contrôler dans les documents de Mistral.

Mistral, lui, emploie le mot pour autre chose. Dans l’annonce de sa dernière levée de fonds, la "couche d’IA souveraine" désigne un contrôle gardé sur quatre dimensions : des données qui restent dans le périmètre de l’organisation, des modèles adaptables, un calcul privé, des systèmes auditables.

Et dans son annonce du 11 août 2026, titrée sur l’IA souveraine, l’éditeur range ses adresses régionales parmi les moyens de cette souveraineté. Il ajoute que le lieu où l’IA tourne n’en est "qu’une partie", et que la plupart de ses clients font tourner ses modèles dans leurs propres centres de données.

Chez Mistral, le mot couvre donc large. Pour l’API que votre WordPress appelle, il se vérifie point par point.

D’après ses conditions commerciales, Mistral AI est une société française, immatriculée à Paris, domiciliée rue des Halles. Pour un client situé hors des Amériques et de l’Asie-Pacifique, le contrat relève du droit français et des tribunaux de Paris.

SecNumCloud : ni Mistral, ni Scaleway à ce jour

SecNumCloud est la qualification que l’ANSSI délivre aux services d’informatique en nuage. Elle s’attache à un service nommé, avec une date de début et une date de fin. C’est lui qu’il faut chercher dans le catalogue, avant le nom de l’entreprise.

Dans le catalogue de l’ANSSI mis à jour le 15 septembre 2026, Mistral AI ne figure pas parmi les services qualifiés. Il ne figure pas non plus dans la liste des prestataires en cours de qualification, et son centre de confiance n’affichait pas SecNumCloud le 30 septembre 2026.

Vous lirez parfois que Scaleway est "certifié SecNumCloud". La liste de l’ANSSI dit autre chose : Scaleway y apparaît parmi les prestataires en cours de qualification, pour un service nommé "Scaleway SecNumCloud". La qualification est en cours, elle n’est pas acquise.

Mistral hébergé par un tiers français : Scaleway, OVHcloud, Outscale

Reste une autre voie : appeler, à la place de Mistral, un hébergeur français qui fait tourner ses modèles sur ses propres machines. Le tableau rapporte ce que chaque hébergeur écrit lui-même, et ce que l’ANSSI publie.

Hébergeur	Modèles Mistral servis	Ce qu’il écrit sur vos données	SecNumCloud
Scaleway (Generative APIs)	Medium 3.5 et Small 3.2 (prix sur sa page de tarifs) ; Pixtral 12B n’y est plus servi depuis sa fin de vie, le 1er octobre 2026	Région de Paris, non-conservation par défaut (jusqu’à deux semaines en cas d’erreur), aucun entraînement sur vos données, premier million de jetons offert	Un service "Scaleway SecNumCloud" en cours de qualification ; Generative APIs n’est pas cité
OVHcloud (AI Endpoints)	Deux modèles, tous deux sur le départ : retrait annoncé au 4 novembre 2026 pour Nemo et Small 3.2. Un troisième, Mistral 7B, est retiré depuis le 1er octobre 2026 d’après le même calendrier	Données jamais utilisées pour entraîner ou améliorer des modèles	Le nom AI Endpoints n’apparaît pas au catalogue
Outscale	Plateforme Mistral annoncée le 24 juin 2025 dans un environnement SecNumCloud 3.2	Non relevé	Service "IaaS Cloud on Demand" qualifié jusqu’au 30 novembre 2026

Et WordPress, dans tout ça ? L’extension essayée ici ne sait appeler que Mistral. Brancher l’écran Connecteurs sur l’un de ces hébergeurs demanderait un autre connecteur. La solution n’est pas prête à l’emploi.

Que dit la CNIL ?

Ce qui suit n’est pas un avis juridique. Ce sont les textes de la CNIL, tels qu’ils sont écrits, dans ses questions-réponses du 18 juillet 2024 sur l’utilisation d’un système d’IA générative.

Une extension WordPress qui appelle Mistral passe par une API. C’est l’un des trois modes de déploiement que la CNIL passe en revue. Elle en dit ceci.

[…] s’il est envisagé d’utiliser un système sous forme d’API, il faut souligner que la maîtrise du système est alors quasi exclusivement dans les mains du fournisseur. Il convient donc d’être particulièrement vigilant sur les données soumises au système d’IA, en évitant autant que possible la saisie de données personnelles.

CNIL, questions-réponses du 18 juillet 2024

Elle demande aussi une attention particulière aux conditions contractuelles, et notamment aux transferts de données en dehors de l’Union. Juste avant, à propos d’un système hébergé chez un tiers, elle écrit ceci.

[…] si les données personnelles sont susceptibles d’être transférées en dehors de l’Union européenne (par exemple parce que l’infrastructure d’hébergement est située hors de l’UE ou qu’elle est opérée par un fournisseur non-européen), l’entité utilisatrice devra, en complément, encadrer leur traitement par leur destinataire.

CNIL, questions-réponses du 18 juillet 2024

Réutilisation des données par le fournisseur

Quand le fournisseur peut réutiliser les données, la CNIL demande une analyse au cas par cas avant de lui confier des données personnelles. Parmi les mesures qu’elle cite en exemple : s’opposer à cette réutilisation.

Côté contrat, Mistral publie un accord de traitement des données. Vous y êtes le responsable de traitement, Mistral le sous-traitant, sauf pour quelques traitements qu’il mène en son nom, dont l’entraînement de ses modèles, tant que vous ne vous y êtes pas opposé.

Pour le reste de la conformité de votre site, j’ai un guide complet du RGPD sur WordPress.

À quel client je proposerais Mistral

Je proposerais Mistral à un client qui ne veut surtout pas travailler avec une solution américaine ou étrangère, et qui préfère une solution française ou européenne pour des questions de RGPD. Ou à un client dont les données ne doivent absolument pas quitter le territoire.

J’y avais mis une condition : vérifier que c’est bien le cas pour Mistral. La vérification est faite, et la réponse se dédouble.

Au client qui veut une solution européenne, je dirais oui. À condition de faire les réglages : l’adresse européenne, l’entraînement coupé, un modèle imposé. Il aura alors un éditeur parisien, un contrat de droit français, et un calcul demandé dans l’Union et l’AELE, avec les réserves que Mistral écrit lui-même sur ses sous-traitants.

Au client dont les données ne doivent pas quitter la France, je ne peux pas le promettre avec l’API de Mistral. L’adresse européenne désigne l’Union et l’AELE dans leur ensemble. Aucune source ne me permet d’écrire que les données restent en France.

Pour lui, il faut regarder ailleurs. Un hébergeur qui annonce Paris pour région de stockage, comme Scaleway l’écrit. Ou un modèle installé chez soi, ce que font la plupart des clients de Mistral, d’après l’éditeur. Deux pistes que cet essai n’a pas ouvertes…

Quant aux tâches, l’essai les borne. Des brouillons de méta descriptions, de résumés et de textes alternatifs, relus avant publication. Et une limite : l’essai a tourné sur l’offre gratuite, que Mistral destine à l’évaluation. Pour un site client en production, le paiement à l’usage reste à essayer.

Si vous préférez ne pas faire ce tri seul, c’est le genre de mission que je prends à l’heure, à 190 € HT, ou en forfait de 5, 10 ou 20 heures.

Les réglages à faire avant de brancher quoi que ce soit

Rien de ce qui suit ne demande de payer. Tout se fait avant le premier appel, et l’un de ces réglages n’a rien à voir avec Mistral. Il concerne le paquet de l’extension.

Un contrôle de recette : le dossier .git de l’archive

L’archive 1.2.0 servie par WordPress.org contient un dossier de travail Git, un dossier .git de 87 fichiers. Une fois l’extension installée, il se retrouve sur votre site, sous wp-content/plugins/. Son fichier config porte un en-tête d’authentification, de ceux que l’action de GitHub chargée de récupérer le code laisse dans la configuration le temps d’une tâche.

Faut-il s’en inquiéter ? Je m’en tiens à la documentation de GitHub. Un jeton de ce type expire à la fin de la tâche, ou au plus tard après six heures sur les machines de GitHub. Celui-là n’a été ni recopié ni testé. Reste le constat de recette : un dossier de travail n’a rien à faire dans un paquet livré, d’où le dernier point de la liste qui suit.

La liste, dans l’ordre

1. Sortez la clé de la base de données. Le cœur cherche la clé dans une variable d’environnement, puis dans une constante PHP, et en dernier dans la base, où elle n’est pas chiffrée. Pour Mistral, le nom attendu est MISTRAL_API_KEY ; l’essai l’a passée en variable d’environnement.
2. Coupez l’entraînement dans la console de Mistral, section "Anonymous improvement data", avant le premier appel.
3. Regardez sur la page "Limits" de votre console quels modèles votre clé obtient. Imposez-en un à chaque extension qui passe par le client d’IA (dans l’essai, un Ministral), puis contrôlez le modèle réellement servi. Mistral recommande un identifiant de version plutôt qu’un alias.
4. Posez le filtre vers l’adresse européenne, et vérifiez dans un journal que les requêtes partent bien vers elle.
5. Si vous activez un jour le paiement à l’usage, fixez d’abord le plafond de dépense mensuel.
6. Supprimez le dossier .git livré avec l’extension, après l’installation et après chaque mise à jour.

Pour la clé, le sujet a son article à part : sécuriser les clés API de l’écran Connecteurs. L’extension AI propose de son côté, en fonction expérimentale, un chiffrement des clés enregistrées en base.

Je suis titulaire du certificat Generative AI for Business (Jedha), et Mistral restait pour moi une solution "à vérifier". C’est fait, pièces à l’appui.

Mistral est une entreprise française. Vos textes, eux, vont là où votre site les envoie. Le drapeau ne voyage pas avec la requête.

Sources

Toutes relues le 30 septembre 2026 ; citations anglaises traduites pour cet article.

• Documentation de Mistral : inférence régionale, cycle de vie des modèles et alias, liste des modèles et des retraits, usage, limites et plafond de dépense, non-conservation, guide de démarrage et création d’une clé
• Centre d’aide de Mistral : lieu d’hébergement des données (12 août 2026), entraînement sur les données (31 août 2026), refus de l’entraînement (3 septembre 2026), demande de non-conservation et limites de débit (12 août 2026)
• Textes et annonces de Mistral : tarifs de l’API (page modifiée le 16 septembre 2026), politique de confidentialité, conditions commerciales, accord de traitement des données, sous-traitants et centre de confiance, annonces de l’inférence régionale (11 août 2026) et de la dernière levée de fonds
• WordPress : notes officielles sur les connecteurs (18 mars 2026) et sur le client d’IA (24 mars 2026), code des connecteurs de la 7.1.2
• Extensions lues dans leur code : AI Provider for Mistral 1.2.0 et AI 1.3.0 ; chiffres des fiches relevés par l’API de WordPress.org
• GitHub : durée de vie du jeton d’une tâche et documentation de l’action de récupération du code
• ANSSI : catalogue du 15 septembre 2026 (services SecNumCloud qualifiés) et prestataires en cours de qualification
• Hébergeurs : Scaleway (tarifs, modèles servis, confidentialité), OVHcloud (retraits de modèles, AI Endpoints), Outscale (annonce du 24 juin 2025)
• CNIL : questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024)
• Essais : appels directs à Mistral et exécutions depuis un WordPress 7.1.2 local, menés le 30 septembre 2026 avec une clé gratuite ; sorties, journaux et en-têtes de limite conservés