Sluis vs Azure API Management AI gateway

In breve

L'AI gateway di Azure API Management (APIM) non è un prodotto separato. È un insieme di funzionalità sopra l'API gateway di Microsoft per proteggere, scalare, monitorare e governare modelli linguistici, server MCP e agenti. Si pone davanti ai modelli in Microsoft Foundry, Amazon Bedrock e agli endpoint self-hosted.

Sluis è un gateway gestito ospitato nell'UE da 7Lab B.V. ad Amsterdam. È un unico prodotto con una pipeline fissa, Inspect, Route, Seal: rileva e pseudonimizza i valori sensibili, instrada in base a una policy di residenza e proprietà e scrive una voce di audit a prova di manomissione. Parla i protocolli OpenAI e Anthropic Messages.

La vera differenza è chi costruisce i controlli. In Azure li componi da policy, backend, Content Safety, Monitor e scelte di deployment di Foundry. In Sluis sono il prodotto, e li configuri.

A colpo d'occhio

	Azure API Management AI gateway	Sluis
Operatore	Microsoft Corporation (USA)	7Lab B.V., Amsterdam
Forma	Servizio Azure nella tua sottoscrizione e regione, policy XML	Servizio UE gestito, Sluis Edge self-hosted opzionale
Schemi	OpenAI Chat Completions e Responses, Anthropic Messages (livelli v2), Vertex; API unificata compatibile con OpenAI in anteprima	Compatibile con OpenAI e Anthropic Messages nativa, qualsiasi modello dietro entrambe
Residenza	Regione del tuo gateway e dei backend; tipi di deployment Foundry Standard, DataZone o Global	Policy di organizzazione applicata all'invio; solo UE per impostazione predefinita, rifiuto con 403
Dati personali	Nessuna policy dedicata ai dati personali trovata nel riferimento delle policy; Content Safety modera le categorie di danno	60 rilevatori, pseudonimizzazione reversibile prima dell'invio
Logging	Prompt e completamenti su Azure Monitor e Application Insights	Registro di audit a catena di hash, verificabile offline
Budget	Limiti di token e quote per chiave di contatore	Limiti di frequenza, budget ed elenchi consentiti per workload
MCP	Esporre le API REST come server MCP, fare da front a quelli esistenti, agenti A2A	Chiamate agli strumenti attraverso lo stesso varco, autorizzazioni negate per impostazione predefinita
Struttura dei costi	Per livello o per richiesta per il gateway, uso dei modelli fatturato separatamente	Prezzo di listino del provider + 10%, BYOK 0,50 EUR per 1M di token

Dove vanno i dati e chi li controlla

Con APIM la posizione segue il tuo deployment. Scegli la regione Azure per il gateway e per ogni backend. Nel gateway non esiste una policy di giurisdizione che rifiuti una richiesta verso un provider fuori dall'UE; la esprimi tramite i backend che esistono e il modo in cui sono scritte le rotte.

Foundry aggiunge regole proprie. I modelli venduti da Azure elaborano prompt e risposte nella geografia indicata dal cliente, a meno che tu usi un tipo di deployment Global o DataZone: DataZone può elaborare ovunque all'interno della zona definita, Global ovunque il modello sia distribuito. Microsoft documenta anche l'EU Data Boundary, un impegno a conservare ed elaborare i Dati del Cliente nell'UE, salvo limitate eccezioni elencate. Usato con attenzione, può soddisfare requisiti UE rigorosi.

Sluis rende la restrizione l'impostazione predefinita. Il routing API consente solo la giurisdizione UE, una richiesta verso un provider fuori dall'insieme consentito viene rifiutata con 403 prima dell'invio, e ampliare la policy è una decisione registrata. La proprietà UE del provider è un interruttore separato, perché una regione UE non implica un provider di proprietà UE. Vedi residenza e modelli.

Sulla proprietà, Microsoft Corporation è un'azienda statunitense, quindi il CLOUD Act si applica ai dati sotto il suo controllo ovunque siano archiviati. Microsoft ha pubblicato l'impegno a contestare le richieste dei governi sui dati dei clienti UE del settore pubblico e delle imprese quando esiste una base giuridica, e a risarcire i clienti per una divulgazione in violazione del diritto UE. Sluis opera dai Paesi Bassi, il che comporta il diritto UE, non l'immunità da ogni governo. La nostra guida al CLOUD Act tratta entrambi i lati.

Dati personali, sicurezza dei contenuti e monitoraggio degli abusi

La policy llm-content-safety di APIM invia i prompt e, opzionalmente, i completamenti ad Azure AI Content Safety, che valuta quattro categorie di danno rispetto a soglie che imposti tu. Le violazioni restituiscono 403, ma per le risposte in streaming la policy smette di inoltrare gli eventi senza restituire un errore. Il catalogo di policy che abbiamo letto non contiene alcuna policy dedicata a rilevare e sostituire i dati personali; puoi costruirne una con trova e sostituisci, espressioni di policy o un altro servizio, e ne possiedi poi l'accuratezza.

Sluis pone la gestione dei dati personali nel percorso della richiesta. I rilevatori coprono dati personali e segreti, compresi documenti d'identità nazionali con checksum convalidato per 12 paesi UE. La policy può bloccare, mascherare, registrare o pseudonimizzare in modo reversibile con token come «EMAIL_1» che vengono ripristinati nella risposta, streaming compreso. Il rilevamento non è perfetto e usare Sluis non basta di per sé a stabilire la conformità al GDPR. Vedi protezione dei dati.

Verifica un altro aspetto di Azure. Il monitoraggio degli abusi di Foundry può conservare e rivedere prompt e completamenti segnalati, compresa la revisione umana da parte di personale Microsoft autorizzato, situato nel SEE per i deployment SEE; i clienti idonei possono chiedere di modificarlo. Se i prompt contengono categorie particolari di dati, leggi prima quella pagina.

Logging e audit

APIM può registrare prompt, completamenti e uso dei token su Azure Monitor e Application Insights, con una dashboard integrata e metriche di token per consumer, e controlli conservazione e accessi tramite Azure. Le pagine che abbiamo letto descrivono il logging, non un registro a catena di hash o comunque a prova di manomissione.

Sluis scrive una voce per chiamata, collegata da sha256(prev_hash + record), quindi alterare un campo spezza ogni anello successivo; la CLI del gateway verifica la catena offline. Vedi sicurezza.

Budget, caching e agenti

La policy token-limit di APIM imposta token al minuto o quote per ora, giorno, settimana, mese o anno su qualsiasi chiave di contatore, come una sottoscrizione o un indirizzo IP. I backend supportano bilanciamento round-robin, ponderato, per priorità e consapevole della sessione con circuit breaker. APIM può esporre le API REST come server MCP e fare da front ai server MCP esistenti con gestione delle credenziali OAuth.

I workload di Sluis gestiscono limiti di frequenza, un budget totale, giornaliero o mensile, elenchi di modelli consentiti e deroghe alla policy, addebitati prima dell'invio. Le chiamate agli strumenti MCP passano dallo stesso varco inspect, route, seal e meter con autorizzazioni negate per impostazione predefinita, e Claude Code, Codex e Cursor possono funzionare sotto la policy dell'organizzazione. Vedi budget e MCP.

Impegno e prezzi

APIM è valorizzato come servizio. I livelli classici sono fatturati per unità, Consumption per operazione, e i livelli v2 con richieste mensili incluse e un prezzo per milione aggiuntivo; gli importi si caricano dinamicamente, quindi controlla la pagina aggiornata. Il gateway self-hosted è gratuito in Developer e un costo aggiuntivo in Premium. L'uso dei modelli è fatturato dal servizio che chiami.

Sluis non ha abbonamento né costo per utente. L'uso gestito costa il prezzo di listino del provider + 10%, BYOK e provider personalizzati 0,50 EUR per 1M di token in input più output, prepagato da 25 EUR. Controlli come il riconoscimento dei nomi (0,005 EUR o 0,01 EUR per richiesta) sono a consumo, e si applicano supplementi per metodo di pagamento. Vedi prezzi. A volumi molto alti un gateway a capacità fissa può costare meno di una commissione percentuale; a volumi bassi o irregolari un gateway che paghi a ore costa di più.

Non dimenticare il tempo di ingegneria. Le policy APIM, i backend, Content Safety e le dashboard di Monitor sono da progettare e mantenere a tuo carico. Sluis si configura, non si assembla. Per gli altri gateway della rosa, vedi Gateway AI per le organizzazioni europee a confronto.

Quando Azure API Management è la scelta migliore

I tuoi workload, l'identità e la rete sono già in Azure, con identità gestite, reti private e un team APIM esistente.
Vuoi policy-as-code e la libertà di costruire comportamenti personalizzati oltre le impostazioni di un prodotto.
Vuoi il portafoglio di conformità, il contratto e il supporto di Microsoft sotto un unico accordo.
I tuoi modelli girano in Foundry e vuoi la governance del gateway dentro quell'ambiente.

Quando Sluis è la scelta migliore

Vuoi il routing solo UE rifiutato all'invio senza doverlo progettare, e la proprietà UE come controllo separato.
I dati personali devono essere sostituiti prima che il provider li veda, e ripristinati nella risposta.
Ti serve un registro di audit di cui si possa verificare che non è stato alterato.
Vuoi dipendenti, applicazioni e agenti di programmazione sotto un'unica policy, senza bisogno di un ambiente Azure.
Vuoi un data plane self-hosted sui tuoi server tramite Sluis Edge.

FAQ

Azure API Management può imporre un routing solo UE?

Sì, se lo costruisci. Distribuisci gateway e backend in regioni UE, usi tipi di deployment Foundry che restano nell'UE e limiti chi può aggiungere backend. È un'architettura, non un interruttore. Sluis fornisce il solo UE come policy predefinita.

APIM oscura i dati personali?

Nel riferimento delle policy non abbiamo trovato una policy dedicata ai dati personali. Offre la moderazione Content Safety, trova e sostituisci ed espressioni di policy personalizzate, quindi l'oscuramento è qualcosa che costruisci o aggiungi. Sluis pseudonimizza in modo reversibile fin da subito.

Azure addestra i modelli sui miei prompt?

Microsoft dichiara che prompt, completamenti ed embedding non vengono usati per addestrare i modelli di base senza il tuo permesso e non sono disponibili ad altri clienti. Il monitoraggio degli abusi può comunque conservare contenuti segnalati per la revisione.

I due possono essere combinati?

Forse. Sluis collega qualsiasi provider personalizzato compatibile con OpenAI, quindi un endpoint Azure che parla quell'API potrebbe esserne uno, con la tua chiave e la commissione per provider personalizzati. Non abbiamo testato questa configurazione; verifica come viene classificato l'endpoint nella tua policy di residenza. Potresti anche tenere APIM per il traffico API interno e usare Sluis per l'AI.