Pular para o conteúdo principal
Última atualização em

Guia de governança de IA

A governança de AI mantém a AI que sua organização utiliza segura, em conformidade e com custos controlados. No Databricks, o Unity Gateway é o plano de controle para IA. Ele roteia todas as solicitações de modelo e MCP, impõe limites de taxa e controles de custos, aplica políticas de serviço (também chamadas de guardrails) e registra o uso em qualquer provedor de modelo e qualquer agente de codificação. O Unity Catalog governa os ativos por trás dele, como modelos, servidores MCP e funções, com os mesmos privilégios e políticas que você usa para dados. Como resultado, você não mantém um modelo de acesso separado para IA.

Esta governança se aplica à AI externa, não apenas aos recursos hospedados pelo Databricks. Você governa o seguinte da mesma forma:

  • Agentes de codificação externos , como Claude Code, Cursor, Codex e Gemini CLI, roteando-os através de um serviço de modelo do Databricks.
  • Servidores MCP externos , registrados como Serviços MCP do Unity Catalog.
  • Modelos externos de qualquer provedor, como OpenAI, Anthropic e Google, acessados por meio do Unity Gateway.

Este guia é para administradores de workspace e account que estão configurando a governança de AI pela primeira vez. Depois de concluir, suas equipes podem usar a IA de forma produtiva enquanto a Databricks aplica suas regras automaticamente.

Para começar na prática, acesse o tutorial: governar o acesso de um agente de codificação ao GitHub ou moderar o conteúdo de um serviço de modelo.

Como a governança de AI funciona no Databricks​

O Unity Catalog é a base para a governança de AI no Databricks. Ele governa seus ativos de IA como itens protegidos, da mesma forma que governa seus dados. O Unity Gateway é o plano de controle para o tráfego desses ativos, e as políticas de serviço governam o conteúdo de cada solicitação e resposta. A governança de IA abrange três dimensões:

  • Governança de ativos : o Unity Catalog gerencia cada modelo, servidor MCP, função e conexão como um objeto protegível, governado com os mesmos privilégios e políticas ABAC GRANT que você usa para tabelas e volumes.
  • Governança de tráfego : o Unity Gateway roteia cada solicitação de serviço de modelo e serviço MCP a partir de um plano de controle central e impõe limites de taxa, orçamentos e acompanhamento de uso.
  • Governança de comportamento : Políticas de serviço permitem, negam ou exigem aprovação para solicitações e respostas individuais, com base em quem está chamando e no que a solicitação e a resposta contêm.

Quando um agente chama uma ferramenta ou modelo, o Databricks autentica a solicitação, autoriza-a no Unity Catalog e a encaminha pelo Unity Gateway antes que ela chegue a qualquer sistema externo:

Um agente de programação autentica-se por meio da Autenticação Unificada do Databricks e encaminha a solicitação em nome do usuário para o Unity Gateway, que a autoriza no Unity Catalog e a roteia para ferramentas MCP internas, como DBSQL e Genie, e para servidores MCP e provedores de LLM externos.

Pré-requisitos​

  • Um workspace habilitado para Unity Catalog. Consulte Começar a usar o Unity Catalog.
  • Para usar políticas de serviço (em Beta), é necessário acesso de administrador de conta para ativar os recursos beta do Unity Gateway na página Prévias do console da conta, ou um administrador de conta que possa ativá-los para você.

Configurar a governança de IA​

Configure a governança em seus ativos de IA, tráfego e comportamento de serviço e, em seguida, confirme se ela funciona. A governança de ativos do Unity Gateway e do Unity Catalog já está disponível globalmente. As políticas de serviço estão em Beta e exigem a habilitação da prévia do Unity Gateway , descrita na etapa de políticas de serviço abaixo.

O passo 1: Governe o acesso aos seus ativos de AI no Unity Catalog​

O Unity Catalog gerencia ativos de IA como objetos protegíveis, portanto, você concede e revoga o acesso a eles com os mesmos privilégios e políticas ABAC GRANT que usa para tabelas e volumes. Foco nos dois principais ativos de IA:

  • Serviços MCP : Governe o acesso a servidores MCP registrados como recursos securáveis do Unity Catalog, com filtragem de ferramentas e políticas de serviço. Consulte os serviços MCP no Unity Catalog.
  • Modelos : Governe o acesso a modelos de ML registrados, incluindo modelos de base hospedados pela Databricks. Consulte Gerenciar ciclo de vida do modelo.

O Unity Catalog também governa as funções que os agentes usam como ferramentas, com os mesmos privilégios. Para uso de ferramentas em agentes, os Serviços MCP fornecem a governança mais completa, incluindo filtragem de ferramentas e políticas de serviço.

Conceda apenas os privilégios de que cada principal precisa. O acesso a um ativo de AI determina o que um agente que atua em nome de um usuário pode acessar.

Passo 2: Roteie e controle o tráfego de IA com o Unity Gateway​

O Unity Gateway é o plano de controle de agentes. Ele roteia o tráfego para os serviços de modelo e MCP que sua organização utiliza, aplica controles de custo e registra o uso a partir de um único local, por meio da mesma camada de governança do Unity Catalog:

  1. Revise como o Unity Gateway funciona e como começar. Consulte governança de AI com o Unity Gateway.
  2. Crie serviços de modelo para seus LLMs, incluindo modelos hospedados no Databricks e modelos de provedores externos. Consulte Criar e gerenciar APIs de modelo (serviços de modelo).
  3. Aponte seu agente de codificação para um serviço de modelo do Databricks, para que seu tráfego seja governado e custeado por meio do Unity Gateway. Consulte Integrar com agentes de codificação.
  4. Defina limites de taxa e limites de gastos para proteger a capacidade e controlar custos. Consulte Aplicar limites de taxa aos serviços de modelo e MCP.
  5. Governe o acesso a servidores MCP registrados como Serviços MCP do Unity Catalog, com concessões, seleção de ferramentas e políticas de serviço. Consulte Conecte agentes a ferramentas com Serviços MCP.

Etapa 3: Aplicar políticas de serviço a solicitações e respostas​

info

Beta

As políticas de serviço estão em Beta. O Unity Gateway está disponível de forma geral, mas seus recursos beta são habilitados separadamente. Um administrador da account deve ativar os recursos beta do Unity Gateway na página Prévias do console da account. Consulte Gerenciar prévias do Databricks.

Depois de governar seus ativos e tráfego, adicione controles sobre o conteúdo de solicitações e respostas individuais. Uma política de serviço, também chamada de guardrail, é um tipo de política de controle de acesso baseado em atributos (ABAC) com escopo para serviços de IA. Anexe uma política de serviço a um Serviço de Modelo ou Serviço MCP para permitir , negar ou exigir aprovação para uma interação com base em seu conteúdo. Por exemplo, bloqueie uma solicitação que contenha PII ou negue uma chamada de ferramenta fora da política.

A Databricks tem políticas de serviço integradas (guardrails) para riscos comuns, como PII, injeção de prompt e conteúdo não seguro, ou você pode criar uma personalizada. Consulte Políticas de serviço para ativos de AI securitizáveis e Crie e anexe uma política de serviço.

O passo 4: Monitorar o uso e o custo​

Confirme se sua governança está funcionando e acompanhe a atividade ao longo do tempo:

  • Acompanhe o uso de modelos e MCP, incluindo quem chamou o quê e quando, em tabelas de uso governadas.
  • Analise o custo entre modelos, entidades de segurança e tags.
  • Inspecione as cargas úteis completas de solicitação e resposta em tabelas de inferência.

tutorial​

Coloque essas capacidades em prática com um tutorial:

Próximos os passos​

  • Saiba como as políticas de serviço controlam o conteúdo das solicitações e respostas.
  • Explore o Unity Gateway para obter governança completa de serviço de modelo e serviço MCP.
Nesta página