Sluis vs Azure API Management AI gateway

L'essentiel

L'AI gateway d'Azure API Management (APIM) n'est pas un produit distinct. C'est un ensemble de fonctions bâties sur la gateway d'API de Microsoft pour sécuriser, faire évoluer, surveiller et gouverner les modèles de langage, les serveurs MCP et les agents. Elle se place devant les modèles de Microsoft Foundry, d'Amazon Bedrock et des points d'accès auto-hébergés.

Sluis est une gateway gérée, hébergée dans l'UE par 7Lab B.V. à Amsterdam. C'est un seul produit avec un pipeline fixe, Inspect, Route, Seal : détecter et pseudonymiser les valeurs sensibles, router selon une politique de résidence et de propriété, et écrire une entrée d'audit infalsifiable. Il parle les protocoles OpenAI et Anthropic Messages.

La vraie différence est de savoir qui construit les contrôles. Dans Azure, vous les composez à partir de politiques, de backends, de Content Safety, de Monitor et de choix de déploiement Foundry. Dans Sluis, ils sont le produit, et vous les configurez.

En un coup d'œil

	Azure API Management AI gateway	Sluis
Opérateur	Microsoft Corporation (États-Unis)	7Lab B.V., Amsterdam
Forme	Service Azure dans votre abonnement et votre région, politiques en XML	Service européen géré, Sluis Edge auto-hébergé en option
Schémas	OpenAI Chat Completions et Responses, Anthropic Messages (niveaux v2), Vertex ; API unifiée compatible OpenAI en préversion	Compatible OpenAI et Anthropic Messages natif, tout modèle derrière l'un ou l'autre
Résidence	Région de votre gateway et de vos backends ; types de déploiement Foundry Standard, DataZone ou Global	Politique d'organisation appliquée à l'envoi ; UE uniquement par défaut, refus avec 403
Données personnelles	Aucune politique dédiée trouvée dans la référence des politiques ; Content Safety modère des catégories de nuisance	60 détecteurs, pseudonymisation réversible avant l'envoi
Journalisation	Prompts et complétions vers Azure Monitor et Application Insights	Registre d'audit à chaînage de hachages, vérifiable hors ligne
Budgets	Limites de tokens et quotas par clé de compteur	Limites de débit, budgets et listes d'autorisation par workload
MCP	Exposer des API REST comme serveurs MCP, se placer devant des serveurs existants, agents A2A	Appels d'outils par la même barrière, autorisations refusées par défaut
Structure de coût	Par niveau ou par requête pour la gateway, usage des modèles facturé séparément	Prix catalogue du fournisseur + 10 %, avec vos clés 0,50 € par million de tokens

Où vont les données et qui les contrôle

Avec APIM, l'emplacement suit votre déploiement. Vous choisissez la région Azure pour la gateway et pour chaque backend. Aucune politique de juridiction dans la gateway ne refuse une requête vers un fournisseur hors de l'UE ; vous l'exprimez par les backends qui existent et la façon dont les routes sont écrites.

Foundry ajoute ses propres règles. Les modèles vendus par Azure traitent prompts et réponses dans la zone géographique indiquée par le client, sauf si vous utilisez un type de déploiement Global ou DataZone : DataZone peut traiter n'importe où dans la zone définie, Global partout où le modèle est déployé. Microsoft documente aussi l'EU Data Boundary, un engagement à stocker et traiter les données client dans l'UE, sous réserve d'exceptions limitées et listées. Bien utilisé, cela peut répondre à des exigences européennes strictes.

Sluis fait de la restriction le défaut. Le routage d'API n'autorise que la juridiction UE, une requête vers un fournisseur hors de l'ensemble autorisé est refusée avec 403 avant l'envoi, et élargir la politique est une décision enregistrée. La détention du fournisseur par l'UE est un commutateur distinct, car une région UE n'implique pas un fournisseur européen. Voir résidence et modèles.

Sur la propriété, Microsoft Corporation est une société américaine : le CLOUD Act s'applique donc aux données sous son contrôle où qu'elles soient stockées. Microsoft a publié l'engagement de contester les demandes gouvernementales portant sur les données de clients européens du secteur public et des entreprises lorsqu'il existe une base juridique, et d'indemniser les clients en cas de divulgation contraire au droit de l'UE. Sluis opère depuis les Pays-Bas, ce qui apporte le droit de l'UE et non une immunité contre tous les gouvernements. Notre guide sur le CLOUD Act couvre les deux points de vue.

Données personnelles, sécurité du contenu et surveillance des abus

La politique llm-content-safety d'APIM envoie les prompts et, en option, les complétions à Azure AI Content Safety, qui note quatre catégories de nuisance par rapport à des seuils que vous fixez. Les violations renvoient 403, mais pour les réponses en flux, la politique cesse de transmettre les événements sans renvoyer d'erreur. Le catalogue de politiques que nous avons lu ne contient aucune politique dédiée qui détecte et remplace les données personnelles ; vous pouvez en construire une avec recherche-remplacement, expressions de politique ou un autre service, et vous en assumez alors la précision.

Sluis place le traitement des données personnelles dans le chemin de la requête. Les détecteurs couvrent les données personnelles et les secrets, dont des identifiants nationaux validés par somme de contrôle pour 12 pays de l'UE. La politique peut bloquer, masquer, journaliser ou pseudonymiser de façon réversible avec des jetons comme «EMAIL_1» restaurés dans la réponse, flux compris. La détection n'est pas parfaite et l'usage de Sluis n'établit pas à lui seul la conformité au RGPD. Voir protection des données.

Vérifiez un dernier point côté Azure. La surveillance des abus de Foundry peut stocker et examiner les prompts et complétions signalés, y compris par une revue humaine effectuée par du personnel Microsoft autorisé, situé dans l'EEE pour les déploiements EEE ; les clients éligibles peuvent demander à la modifier. Si vos prompts contiennent des données de catégories particulières, lisez d'abord cette page.

Journalisation et audit

APIM peut journaliser prompts, complétions et consommation de tokens vers Azure Monitor et Application Insights, avec un tableau de bord intégré et des métriques de tokens par consommateur, et vous contrôlez la rétention et l'accès via Azure. Les pages que nous avons lues décrivent de la journalisation, pas un registre à chaînage de hachages ni autrement infalsifiable.

Sluis écrit une entrée par appel, liée par sha256(prev_hash + record) : modifier un champ rompt tous les maillons suivants, et la CLI de la gateway vérifie la chaîne hors ligne. Voir sécurité.

Budgets, cache et agents

La politique de limite de tokens d'APIM fixe des tokens par minute ou des quotas par heure, jour, semaine, mois ou année sur toute clé de compteur, comme un abonnement ou une adresse IP. Les backends prennent en charge la répartition de charge round-robin, pondérée, par priorité et sensible à la session, avec coupe-circuit. APIM peut exposer des API REST comme serveurs MCP et se placer devant des serveurs MCP existants avec gestion des identifiants OAuth.

Les workloads Sluis possèdent des limites de débit, un budget total, quotidien ou mensuel, des listes de modèles autorisés et des dérogations de politique, débités avant l'envoi. Les appels d'outils MCP passent la même barrière inspection, routage, scellement et mesure avec des autorisations refusées par défaut, et Claude Code, Codex et Cursor peuvent fonctionner sous la politique de l'organisation. Voir budgets et MCP.

Effort et tarifs

APIM est tarifé comme un service. Les niveaux classiques sont facturés par unité, Consumption par opération, et les niveaux v2 avec des requêtes mensuelles incluses et un prix par million supplémentaire ; les montants se chargent dynamiquement, consultez donc la page en direct. La gateway auto-hébergée est gratuite en Developer et un coût supplémentaire en Premium. L'usage des modèles est facturé par le service que vous appelez.

Sluis n'a ni abonnement ni frais par siège. L'usage géré coûte le prix catalogue du fournisseur + 10 %, les clés propres et les fournisseurs personnalisés 0,50 € par million de tokens en entrée plus sortie, prépayé à partir de 25 €. Les contrôles comme la reconnaissance des noms (0,005 € ou 0,01 € par requête) sont mesurés, et des majorations selon le moyen de paiement s'appliquent. Voir tarifs. À très gros volume, une gateway à capacité fixe peut coûter moins qu'un pourcentage ; à volume faible ou irrégulier, une gateway payée à l'heure coûte plus.

N'oubliez pas le temps d'ingénierie. Les politiques APIM, les backends, Content Safety et les tableaux de bord Monitor sont à concevoir et à maintenir par vous. Sluis se configure, il ne s'assemble pas. Pour les autres gateways de la liste restreinte, voir Comparatif des gateways IA pour les organisations européennes.

Quand Azure API Management est le meilleur choix

Vos workloads, votre identité et votre réseau sont déjà dans Azure, avec identités managées, réseau privé et une équipe APIM existante.
Vous voulez des politiques sous forme de code et la liberté de construire des comportements sur mesure au-delà des réglages d'un produit.
Vous voulez le portefeuille de conformité, le contrat et l'assistance de Microsoft sous un seul accord.
Vos modèles tournent dans Foundry et vous voulez la gouvernance de la gateway dans cet environnement.

Quand Sluis est le meilleur choix

Vous voulez un routage UE uniquement refusé à l'envoi sans avoir à le concevoir, et la détention européenne comme contrôle distinct.
Les données personnelles doivent être remplacées avant que le fournisseur ne les voie, et restaurées dans la réponse.
Vous avez besoin d'un registre d'audit dont on peut vérifier qu'il n'a pas été modifié.
Vous voulez employés, applications et agents de code sous une seule politique, sans parc Azure requis.
Vous voulez un plan de données auto-hébergé sur vos propres serveurs avec Sluis Edge.

FAQ

Azure API Management peut-il imposer un routage UE uniquement ?

Oui, si vous le construisez. Vous déployez des gateways et des backends dans des régions de l'UE, utilisez des types de déploiement Foundry qui restent dans l'UE et restreignez qui peut ajouter des backends. C'est une architecture, pas un interrupteur. Sluis livre l'UE uniquement comme politique par défaut.

APIM masque-t-il les données personnelles ?

Nous n'avons trouvé aucune politique dédiée aux données personnelles dans la référence des politiques. Il propose la modération Content Safety, la recherche-remplacement et des expressions de politique personnalisées : le masquage est donc à construire ou à ajouter. Sluis pseudonymise de façon réversible d'emblée.

Azure entraîne-t-il des modèles sur mes prompts ?

Microsoft indique que prompts, complétions et embeddings ne sont pas utilisés pour entraîner des modèles de fondation sans votre autorisation et ne sont pas accessibles aux autres clients. La surveillance des abus peut néanmoins stocker le contenu signalé pour examen.

Peut-on combiner les deux ?

Peut-être. Sluis connecte tout fournisseur personnalisé compatible OpenAI : un point d'accès Azure qui parle cette API pourrait en être un, avec votre propre clé et les frais de fournisseur personnalisé. Nous n'avons pas testé cette configuration ; vérifiez comment le point d'accès est classé par votre politique de résidence. Vous pourriez aussi garder APIM pour le trafic d'API interne et utiliser Sluis pour l'IA.