Architecture et gouvernance pour l’IA

Cet article explique comment les charges de travail d’IA s’intègrent à votre zone d’atterrissage Azure et à votre architecture d’entreprise. Il identifie les fonctionnalités de plateforme supplémentaires que les organisations doivent prendre en compte à mesure que l’adoption de l’IA se développe.

Appliquez les mêmes principes de zone d’atterrissage Azure et les meilleures pratiques aux charges de travail IA que vous le faites à d’autres charges de travail. Les charges de travail IA ne nécessitent pas de modèle de gouvernance ou d’architecture de zone d’atterrissage Azure différente. Les équipes de plateforme doivent utiliser leur base de référence de gouvernance existante et l’étendre si nécessaire pour tenir compte des services et modèles IA que l’organisation prévoit d’utiliser.

Résultat : à la fin de l’architecture et de la planification de la gouvernance, vous devez disposer d’une base de référence de gouvernance mise à jour qui prend en charge les technologies IA que vous envisagez d’utiliser dans Azure.

Architectures et arbre de décision

Conceptuel

Diagramme d’architecture en couches. Une bannière supérieure intitulée « Identité unifiée, sécurité et gouvernance » contient Microsoft Agent 365, Microsoft Defender, Microsoft Entra et Microsoft Purview. Ci-dessous, une grande zone d'atterrissage Azure contient une zone d'atterrissage de plateforme centrée au-dessus d’une section de zones d'atterrissage de charge de travail. La section des zones d’atterrissage des charges de travail contient trois blocs de zone d’atterrissage des charges de travail représentant des charges de travail Azure. Sous les charges de travail, une zone Microsoft Foundry et Foundry IQ est reliée par des flèches en pointillés aux zones d’atterrissage de charge de travail, indiquant des fonctionnalités d’IA facultatives pour certaines charges de travail.

L’IA dans une zone d’atterrissage Azure. Téléchargez un fichier PowerPoint de cette architecture.

Conceptuel + intégration

Diagramme d’architecture en couches. Une bannière supérieure intitulée « Identité unifiée, sécurité et gouvernance » contient Microsoft Agent 365, Microsoft Defender, Microsoft Entra et Microsoft Purview. Ci-dessous, une grande zone d'atterrissage Azure contient une zone d'atterrissage de plateforme centrée au-dessus d’une section de zones d'atterrissage de charge de travail. La section des zones d’atterrissage des charges de travail contient trois blocs de zone d’atterrissage des charges de travail représentant des charges de travail Azure. Sous les charges de travail, une zone Microsoft Foundry et Foundry IQ est reliée par des flèches en pointillés aux zones d’atterrissage de charge de travail, indiquant des fonctionnalités d’IA facultatives pour certaines charges de travail. Sous la zone d’atterrissage Azure, les Microsoft Copilot Studio, les Microsoft Fabric et les Microsoft 365 sont présentés comme des solutions d’entreprise, de données et d’IA intégrées. Dans la partie inférieure, les sources de données, notamment les systèmes sur site, Dataverse, Microsoft 365, les charges de travail Azure et d’autres clouds, se connectent à ces solutions. Les flèches bidirectionnelles indiquent l’intégration entre les sources de données, les plateformes Microsoft et les charges de travail Azure.

IA dans une landing zone Azure plus l’intégration d’entreprise avec des solutions Microsoft. Téléchargez un fichier PowerPoint de cette architecture.

Détails

Une section supérieure intitulée « Identité unifiée, sécurité et gouvernance entre les Azure, les Microsoft, les environnements multiclouds et locaux » contient Microsoft Agent 365, Microsoft Defender, Microsoft Entra et Microsoft Purview. Ci-dessous, un grand encadré de zone d’atterrissage Azure contient la zone d’atterrissage de la plateforme et plusieurs zones d’atterrissage de charge de travail. La zone d’atterrissage de la plateforme, gérée par les équipes de plateforme, contient la hiérarchie des groupes d’administration avec la séparation entre les ressources de plateforme centralisées pour la sécurité, la gestion, la mise en réseau et la connectivité et l’identité. Azure Policy et Azure RBAC sont affichés, car ils sont appliqués aux groupes d’administration. Une légende indique la responsabilité de l’équipe de plateforme dans la distribution centralisée des zones d’atterrissage des charges de travail aux équipes de charge de travail. La section des zones d’atterrissage des charges de travail montre comment les charges de travail sont organisées dans le cadre de l’architecture des zones d’atterrissage Azure. Les charges de travail sont regroupées en catégories internes, en ligne et locales. Chaque charge de travail reçoit une zone d’atterrissage de charge de travail dédiée qui contient tous les environnements associés à cette charge de travail. Les environnements classiques incluent le développement, le test et la production, avec chaque environnement constitué d’un ou plusieurs abonnements Azure. Les exemples de charges de travail internes incluent une zone d’atterrissage de calcul pour Microsoft Fabric et une zone d’atterrissage de charge de travail de données et d’IA qui s’appuie sur des services tels qu’Azure Machine Learning, Azure Databricks, AI on Azure Infrastructure et Azure Data Lake Storage. Le schéma montre également que les ressources Microsoft Foundry peuvent être ajoutées aux environnements de charge de travail où des capacités d’IA sont requises. Les équipes de charge de travail gèrent les zones d’atterrissage de charge de travail, qui restent distinctes de la zone d’atterrissage de la plateforme gérée par les équipes de plateforme.

L’IA dans une architecture conceptuelle détaillée de zone d’atterrissage Azure. Téléchargez un fichier PowerPoint de cette architecture.

Détails + intégration

Diagramme détaillé de l’architecture de landing zone Azure. Une couche supérieure intitulée « Identité unifiée, sécurité et gouvernance » s’étend sur l’environnement et inclut Microsoft Agent 365, Microsoft Defender, Microsoft Entra et Microsoft Purview. Ci-dessous, la zone d’atterrissage Azure est divisée en une zone d’atterrissage de plateforme et des zones d’atterrissage de charges de travail. La zone d’atterrissage de plateforme contient un groupe racine du locataire avec une hiérarchie de groupes d’administration. Les groupes d’administration organisent les ressources de plateforme centralisées pour la sécurité, la gestion, l’identité et la connectivité. Azure Policy et Azure RBAC sont appliqués dans la hiérarchie. Les zones d’atterrissage de charges de travail sont regroupées en trois catégories : Interne, En ligne et Local, avec des groupes d’administration distincts pour les ressources de bac à sable et les ressources mises hors service. La section consacrée aux zones d’atterrissage de charges de travail présente des exemples de charges de travail. Chaque charge de travail a une landing zone dédiée qui contient des environnements de production, de test et de développement. Les exemples de charges de travail internes incluent la capacité de calcul Microsoft Fabric et une charge de travail de données et d’IA. Microsoft Foundry est connecté aux zones d’atterrissage de charges de travail, ce qui indique que des fonctionnalités d’IA peuvent être ajoutées à certains environnements de charges de travail. Sous la zone d’atterrissage Azure, les Microsoft Copilot Studio, les Microsoft Fabric et les Microsoft 365 sont présentés comme des solutions d’entreprise, de données et d’IA intégrées. Dans la partie inférieure, les sources de données, notamment les systèmes sur site, Dataverse, Microsoft 365, les charges de travail Azure et d’autres clouds, se connectent à ces solutions. Les flèches bidirectionnelles indiquent l’intégration entre les sources de données, les plateformes Microsoft et les charges de travail Azure.

L’IA dans une architecture conceptuelle détaillée de zone d’atterrissage Azure, avec intégration à l’entreprise grâce aux solutions Microsoft. Téléchargez un fichier PowerPoint de cette architecture.

Arbre de décision pour l’IA

Commencez par identifier le cas d’usage de l’IA. Si l’objectif est d’améliorer la productivité individuelle, utilisez Microsoft 365 Copilot pour les applications Microsoft 365. Utilisez copilots dans le produit pour des produits tels qu’Azure, GitHub, Fabric, Dynamics 365 ou Power Platform. Utilisez des copilotes adaptés à des fonctions telles que la sécurité, les ventes, le service ou les finances. Si le cas d’usage est général, utilisez Microsoft Copilot. Si vous utilisez déjà Microsoft 365 Copilot et avez besoin d’agents personnalisés avec des compétences spécifiques au domaine, utilisez des outils d’extensibilité pour Microsoft 365 Copilot. Si l’objectif est d’automatiser les fonctionnalités métier, utilisez Copilot Studio en tant qu’outil SaaS qui permet la création et le déploiement d’agents via le langage naturel avec des tarifs intégrés. Utilisez Foundry comme plateforme de développement avec l’accès d’API aux outils Foundry. Si vous avez besoin de modèles non génératifs prédéfinis ou de Recherche Azure AI pour la prise en charge de l’agent, utilisez Foundry Tools. Si vous devez entraîner et déployer des modèles Machine Learning avec vos propres données, utilisez Microsoft Fabric si vous travaillez déjà dans cet environnement ; sinon, utilisez Azure Machine Learning. Utilisez Azure Container Apps pour l’inférence légère de l’IA sans gérer l’infrastructure GPU (la disponibilité régionale et l’état des fonctionnalités varient ; vérifiez la prise en charge actuelle du GPU serverless). Si vous devez apporter vos propres modèles, utilisez Machines virtuelles Azure (éventuellement avec Azure CycleCloud ou Azure Batch) ou Azure Kubernetes Service pour les charges de travail conteneurisées.

Arbre de décision IA de Microsoft.

Zone d’atterrissage de la plateforme

L’adoption de l’IA doit s’appuyer sur la landing zone Azure existante plutôt que d’introduire une structure de plateforme distincte. Les charges de travail IA utilisent la même hiérarchie de groupes d’administration et les mêmes fonctionnalités de plateforme que d’autres charges de travail Azure. Les organisations n’ont généralement pas besoin de groupes d’administration spécifiques à l’IA. Au lieu de cela, les équipes de plateforme doivent étendre les fonctionnalités de gouvernance et de connectivité existantes pour répondre aux services Azure utilisés par les charges de travail IA.

Base de référence de gouvernance : la base de référence de gouvernance existante de la zone d’atterrissage Azure doit rester le point de départ pour les charges de travail d’IA. Les équipes de plateforme doivent étendre cette base de référence lorsque les services d’IA introduisent des exigences que les politiques existantes ne couvrent pas.

• Azure Policy : les organisations doivent commencer par les stratégies de référence fournies par l’accélérateur de zone d’atterrissage de plateforme. Les équipes de plateforme doivent ensuite ajouter des définitions Azure Policy pour les services IA approuvés par l’organisation, telles que les modèles Microsoft Foundry, Foundry Tools, les Recherche Azure AI et les Machines virtuelles Azure. L’application de ces stratégies par le biais de la hiérarchie de groupe d’administration existante offre aux charges de travail IA des garde-fous cohérents sans nécessiter de modèle de gouvernance distinct. Les recommandations de Microsoft préconisent d’appliquer les stratégies propres à l’IA par l’intermédiaire de la hiérarchie des groupes d’administration de la zone d’atterrissage, afin que les ressources des charges de travail en héritent.

• Mise en réseau : les modèles de mise en réseau existants des zones d’atterrissage Azure doivent également rester la base des charges de travail d’IA. Les équipes de plateforme doivent étendre la connectivité partagée et la protection réseau là où les charges de travail d’IA créent des exigences supplémentaires, en particulier pour les services accessibles sur Internet ou l’accès aux données sur site.

  • Protection DDoS : les charges de travail IA accessibles sur Internet doivent utiliser Azure DDoS Protection. L’équipe de plateforme peut fournir cette protection dans le cadre des fonctionnalités de mise en réseau partagée de l’organisation, au lieu d’exiger que les équipes responsables des charges de travail établissent leur propre approche au niveau de la plateforme.

  • Connectivité hybride : les organisations qui accèdent aux données locales depuis des charges de travail d’IA Azure doivent choisir la connectivité en fonction de leurs besoins en matière de performances et de disponibilité. Azure ExpressRoute fournit une connectivité privée et convient lorsque les organisations nécessitent une connectivité prévisible à Azure. Passerelle VPN Azure fournit une connectivité chiffrée sur l’Internet public et peut répondre à des exigences de connectivité moins exigeantes. Les recommandations existantes relatives aux zones d’atterrissage Azure prennent également en charge Passerelle VPN et ExpressRoute comme modèles de connectivité hybride.

Zones d’atterrissage de charges de travail

Les charges de travail d’IA reposent sur les mêmes principes de zones d’atterrissage de charges de travail que les autres charges de travail Azure. Chaque charge de travail doit disposer de sa propre zone d’atterrissage et utiliser un ou plusieurs abonnements Azure pour séparer les environnements en fonction des exigences de gouvernance et d’isolation de l’organisation. Les abonnements Azure fournissent des limites pour des domaines tels que le quota, le coût, la gouvernance et la sécurité.

L’équipe chargée de la plateforme doit placer les abonnements des zones d’atterrissage de charges de travail d’IA sous le groupe d’administration existant qui fournit les contrôles de gouvernance appropriés. Les charges de travail IA accessibles sur Internet appartiennent généralement au groupe d’administration en ligne. Les charges de travail IA internes appartiennent généralement au groupe d’administration interne (« Corp »). Les équipes de plateforme doivent utiliser ces périmètres existants au lieu de créer des groupes d’administration spécifiquement pour l’IA. Les attributions Azure Policy au niveau du groupe d’administration permettent ensuite d’appliquer des garde-fous cohérents à l’ensemble des charges de travail d’IA et des autres charges de travail.

Reliability

Les charges de travail IA doivent utiliser les normes existantes de disponibilité et de récupération d’urgence de l’organisation. Les équipes de plateforme doivent préparer la landing zone Azure pour prendre en charge plusieurs régions afin que les équipes responsables des charges de travail puissent déployer des charges de travail d’IA dans plusieurs régions lorsque leurs exigences de continuité d’activité justifient le coût et la complexité supplémentaires. Les recommandations relatives aux régions des zones d’atterrissage Azure préconisent expressément de concevoir la plateforme de manière à prendre en charge les zones d’atterrissage de charges de travail multirégions.

• Emplacement des données : l’emplacement des données doit également faire partie de la conception régionale. Les équipes responsables des charges de travail doivent placer les données utilisées pour la récupération d’informations à proximité des services d’IA qui les exploitent lorsque la latence et les performances sont des facteurs importants. Le placement régional doit également répondre aux exigences de résidence des données de l’organisation.

• Disponibilité et capacité : l’IA introduit des considérations régionales supplémentaires, car la disponibilité du service, la disponibilité des modèles et la capacité peuvent varier selon la région Azure. Les organisations doivent identifier les régions qui prennent en charge leurs services et modèles IA approuvés avant de rendre ces régions disponibles pour les charges de travail IA.

• Basculement : les équipes de charge de travail qui nécessitent un basculement régional doivent également tenir compte des ressources IA dont dépend la charge de travail, comme les déploiements de modèles et les données de récupération. La conception de récupération doit s’assurer que la région secondaire dispose des ressources et des données nécessaires pour restaurer la charge de travail.

Intégration d’entreprise

Les charges de travail IA doivent s’intégrer aux plateformes d’entreprise par le biais des mêmes principes d’architecture que les autres charges de travail. La principale considération spécifique à l’IA est l’accès aux données organisationnelles approuvées.

Les organisations doivent adopter une approche unifiée des données permettant de mettre des données gouvernées à la disposition des charges de travail d’IA, sans exiger que chaque équipe de charge de travail crée des modèles d’intégration de données distincts. Microsoft Fabric peut préparer et fournir des données organisationnelles pour les scénarios d’analytique et d’IA. Les charges de travail d’IA Azure peuvent ensuite consommer les données appropriées via des schémas d’intégration approuvés. Pour obtenir des conseils sur la mise en place de cette base, consultez Plateforme de données unifiée.

Étapes suivantes

Les considérations relatives à l’architecture et à la gouvernance d’une zone d’atterrissage de charges de travail dépendent des plateformes et des technologies d’IA utilisées par la charge de travail. Les conseils suivants fournissent des recommandations d’architecture plus approfondies pour différents modèles d’adoption de l’IA.

AI sur les plateformes Azure

AI sur l’infrastructure Azure