Guide de gouvernance de l'IA

La gouvernance de l'IA permet de maintenir l'IA utilisée par votre organisation sécurisée, conforme et à coût maîtrisé. Sur Databricks, Unity Gateway est le plan de contrôle pour l'IA. Il achemine chaque requête de modèle et de MCP, applique des limites de débit et des contrôles de coûts, met en œuvre des politiques de service (également appelées garde-fous) et enregistre l'utilisation auprès de tout fournisseur de modèle et de tout agent de codage. Unity Catalog régit les actifs sous-jacents, tels que les modèles, les serveurs MCP et les fonctions, avec les mêmes privilèges et politiques que ceux que vous utilisez pour les données. Par conséquent, vous n'avez pas à maintenir un modèle d'accès distinct pour l'IA.

Cette gouvernance s’applique à l’IA externe, et pas seulement aux ressources hébergées par Databricks. Vous gouvernez ce qui suit de la même manière :

• Agents de codage externes , tels que Claude Code, Codex, Cursor et Gemini CLI, en les acheminant via un service de modèle Databricks.
• Serveurs MCP externes , enregistrés en tant que services MCP Unity Catalog.
• Modèles externes de tout fournisseur, tels qu'OpenAI, Anthropic et Google, accessibles via Unity Gateway.

Ce guide s'adresse aux administrateurs de workspace et de compte qui configurent la gouvernance de l'IA pour la première fois. Une fois terminé, vos équipes peuvent utiliser l'IA de manière productive tandis que Databricks applique vos règles automatiquement.

Pour commencer de manière pratique, consultez le tutoriel : gérer l'accès GitHub d'un agent de codage ou modérer le contenu d'un service de modèle.

Comment la gouvernance de l'IA fonctionne sur Databricks

Unity Catalog est la base de la gouvernance de l’IA sur Databricks. Il gouverne vos assets d’IA en tant qu’éléments sécurisables, de la même manière qu’il gouverne vos données. Unity Gateway est le plan de contrôle du trafic vers ces assets, et les politiques de service régissent le contenu de chaque requête et réponse. La gouvernance de l’IA couvre trois dimensions :

• Gouvernance des asset : Unity Catalog gère chaque modèle, serveur MCP, fonction et connexion en tant qu'objet sécurisable, régi par les mêmes privilèges et politiques ABAC GRANT que ceux que vous utilisez pour les tables et les volumes.
• Gouvernance du trafic : Unity Gateway achemine chaque requête de service de modèle et de service MCP depuis un plan de contrôle central, et applique des limites de débit, des budgets et un suivi de l'utilisation.
• Gouvernance des comportements : Les stratégies de service autorisent, refusent ou nécessitent une approbation pour les requêtes et réponses individuelles, en fonction de l'appelant et du contenu de la requête et de la réponse.

Lorsqu’un agent appelle un outil ou un modèle, Databricks authentifie la requête, l’autorise via Unity Catalog et l’achemine par Unity Gateway avant qu’elle n’atteigne un système externe :

Prérequis

• Un Workspace activé pour Unity Catalog. Consultez Se familiariser avec Unity Catalog.
• Pour utiliser les politiques de service (en version bêta), vous devez disposer d'un accès administrateur de compte pour activer les fonctionnalités bêta de Unity Gateway depuis la page Previews de la console du compte, ou faire appel à un administrateur de compte qui pourra les activer pour vous.

Mise en place de la gouvernance de l'IA

Configurez la gouvernance sur vos assets d’IA, votre trafic et le comportement de vos services, puis confirmez que cela fonctionne. Unity Gateway et la gouvernance des assets Unity Catalog sont généralement disponibles. Les politiques de service sont en version bêta et nécessitent l’activation de l’aperçu de Unity Gateway , décrit dans l’étape sur les politiques de service ci-dessous.

Étape 1 : gouverner l’accès à vos assets d’IA dans Unity Catalog

Unity Catalog gère les assets d'IA en tant qu'objets sécurisables. Vous pouvez donc accorder et révoquer leur accès avec les mêmes privilèges et politiques GRANT ABAC que ceux utilisés pour les tables et les volumes. Concentrez-vous sur les deux principaux assets d'IA :

• **Services MCP** : Gérer l'accès aux serveurs MCP enregistrés en tant qu'éléments sécurisables Unity Catalog, avec filtrage d'outils et stratégies de service. Consultez les services MCP dans Unity Catalog.
• Modèles : gérez l'accès aux modèles ML enregistrés, y compris les modèles de fondation hébergés par Databricks. Voir Gérer le cycle de vie du modèle.

Unity Catalog régit également les fonctions que les agents utilisent comme outils, avec les mêmes privilèges. Pour l'utilisation d'outils par les agents, les services MCP offrent la gouvernance la plus complète, y compris le filtrage des outils et les stratégies de service.

Accordez uniquement les privilèges dont chaque principal a besoin. L'accès à un asset d'IA détermine ce qu'un agent agissant au nom d'un utilisateur peut atteindre.

Étape 2 : Acheminer et contrôler le trafic IA avec Unity Gateway

Unity Gateway est le plan de contrôle des agents. Il achemine le trafic vers les services de modèles et les services MCP utilisés par votre organisation, applique des contrôles de coûts et enregistre l’utilisation depuis un emplacement unique, via la même couche de gouvernance Unity Catalog :

1. Découvrez comment fonctionne Unity Gateway et comment bien get start. Voir Gouvernance de l’IA avec Unity Gateway.
2. Créez des services de modèles pour vos LLM, y compris les modèles hébergés par Databricks et ceux provenant de fournisseurs externes. Voir Créer et gérer des APIs de modèle (services de modèle).
3. Pointez votre agent de codage vers un service de modèle Databricks, afin que son trafic soit gouverné et facturé via Unity Gateway. Voir Intégration avec des agents de codage.
4. Définissez des limites de débit et des plafonds de dépenses pour protéger la capacité et contrôler les coûts. Voir Appliquer des limites de débit aux services de modèle et MCP.
5. Gouvernez l'accès aux serveurs MCP enregistrés en tant que services MCP Unity Catalog, avec des octrois, une sélection d'outils et des politiques de service. Voir Connecter des agents à des outils avec les services MCP.

Étape 3 : appliquer des politiques de service aux requêtes et aux réponses

info

Bêta

Les politiques de service sont en version bêta. Unity Gateway est disponible de manière générale, mais ses fonctionnalités bêta sont activées séparément. Un administrateur de compte doit activer les fonctionnalités bêta de Unity Gateway depuis la page Previews de la console de compte. Consultez Gérer les aperçus Databricks.

Après avoir gouverné vos assets et votre trafic, ajoutez des contrôles sur le contenu des requêtes et des réponses individuelles. Une politique de service, également appelée garde-fou, est un type de politique de contrôle d'accès basé sur les attributs (ABAC) étendue aux services d'IA. Joignez une politique de service à un service de modèle ou à un service MCP pour autoriser , refuser ou requérir une approbation pour une interaction en fonction de son contenu. Par exemple, bloquez une requête contenant des PII ou refusez un appel d'outil non conforme à la politique.

Databricks dispose de politiques de service (garde-fous) intégrées pour les risques courants tels que les IPI, l'injection de prompt et le contenu dangereux, ou vous pouvez en créer un personnalisé. Voir Politiques de service pour les objets sécurisables d'IA et Créer et attacher une politique de service.

Étape 4 : surveiller l’utilisation et les coûts

Confirmez que votre gouvernance fonctionne et suivez l'activité au fil du temps :

• Suivez l'utilisation du modèle et du MCP, y compris qui a appelé quoi et quand, dans des tables d'utilisation régies.
• Analysez le coût entre les modèles, les principaux et les tags.
• Inspectez les charges utiles complètes des requêtes et réponses dans les tables d'inférence.

Didacticiels

Mettez ces capacités en pratique avec un didacticiel :

• Tutoriel : régir l'accès MCP d'un agent de codage à GitHub
• Tutoriel : ajouter des garde-fous de politique de service à un service de modèle

Étapes suivantes

• Découvrez comment les politiques de service contrôlent le contenu des requêtes et des réponses.
• Explorez Unity Gateway pour une gouvernance complète des services de modèle et des services MCP.