Desarrollo con Azure OpenAI que mantiene los datos empresariales dentro de su perímetro

Azure OpenAI sirve los mismos modelos — GPT-4o, embeddings y más —, pero Microsoft los aloja dentro de su tenancy de Azure con controles empresariales: autenticación de Entra ID, Private Link, despliegue regional, un SLA y una garantía contractual de no entrenamiento. La API directa de OpenAI llega antes a las funciones más recientes, pero Azure gana cuando se necesitan residencia de datos, redes privadas, un BAA y la contratación a través de un acuerdo existente con Microsoft. Le ayudamos a elegir y a menudo creamos la misma aplicación para que funcione en cualquiera de las dos.

Sí. Se puede fijar un despliegue a una región concreta de la UE para que los prompts, las respuestas y los embeddings se procesen y almacenen dentro de la región, o usar una zona de datos de la UE que mantiene el procesamiento dentro de la geografía de la UE y ofrece mejor capacidad y latencia. Fijamos el recurso de Azure OpenAI, el índice de Azure AI Search y el registro a ubicaciones de la UE y documentamos todo el límite de los datos, incluido cómo se tratan los datos de monitorización de abusos, para que el relato de la residencia resista una revisión del RGPD.

On Your Data es la función de anclaje (grounding) integrada de Azure OpenAI: se conecta un índice de Azure AI Search y el servicio se encarga de la recuperación y las citas con un mínimo de código — ideal para poner en marcha rápidamente una aplicación de RAG gobernada. Un pipeline personalizado da control total sobre la fragmentación, el ranking, el re-ranking, la caché y la orquestación de varias fuentes cuando los requisitos superan el flujo integrado. Empezamos con On Your Data y pasamos a un pipeline personalizado solo cuando el control realmente compensa.

Sí. Azure OpenAI es un servicio elegible para HIPAA, y hay disponible un Business Associate Agreement de Microsoft, bajo su contrato de volumen o empresarial con Microsoft, que lo cubre. La PHI reside en sus datos de anclaje y en los prompts, nunca entrena el modelo y está protegida por cifrado, acceso acotado con Entra ID y registro de auditoría. Desplegamos bajo el BAA, mantenemos la PHI dentro del perímetro gobernado y documentamos los controles que necesita su equipo de cumplimiento.

Cada despliegue de Azure OpenAI ejecuta filtros de contenido configurables en las categorías de odio, contenido sexual, violencia y autolesión, además de detección opcional de inyección de prompts y de material protegido. Se pueden ajustar los umbrales de severidad por categoría y, en escenarios que lo justifiquen, solicitar la exclusión de la revisión humana de monitorización de abusos por motivos de residencia de datos. Calibramos los filtros a su dominio para que no se bloquee el lenguaje legítimo, y añadimos encima nuestras propias defensas frente a la inyección de prompts y el jailbreak.

Se paga por cada 1K tokens de entrada y de salida (con precio por modelo), más los embeddings, con pago por uso estándar o unidades de rendimiento aprovisionado (PTU) para una capacidad reservada y predecible. La cuota se asigna como tokens por minuto por modelo y región, por lo que la planificación de la capacidad importa. Modelamos el uso por funcionalidad, recortamos y almacenamos en caché el contexto de RAG, elegimos con criterio entre estándar y PTU, y añadimos paneles y alertas para que el gasto y la cuota sigan teniendo responsable y siendo predecibles.

Desactivamos el acceso de red público y exponemos Azure OpenAI mediante un endpoint de Private Link dentro de su red virtual, de modo que el tráfico nunca atraviesa la internet pública. La autenticación usa Entra ID con identidades administradas en lugar de claves de larga duración, el acceso condicional impone políticas de dispositivo y ubicación y cada secreto vive en Key Vault. Toda la topología se aprovisiona de forma reproducible con Bicep, de modo que es auditable y repetible entre entornos.