Azure OpenAI w Salesforce: AI, które zostaje w Twoim tenancie Azure

Wiele firm jest gotowych na generatywne AI w Salesforce, ale dział bezpieczeństwa albo ochrony danych stawia jeden warunek: przetwarzanie AI musi odbywać się we własnym tenancie chmurowym firmy, w wybranym przez nią regionie i na podstawie umowy, którą firma już ma. Dla organizacji pracujących na Microsoft odpowiedzią jest zwykle Azure OpenAI w Salesforce.

W tym artykule wyjaśniamy, jak Azure OpenAI działa jako dostawca AI dla Salesforce w AI Engine, jak wygląda konfiguracja i jaki jest jeden kompromis, o którym trzeba wiedzieć przed uruchomieniem produkcyjnym.

Dlaczego Azure OpenAI zamiast bezpośrednio OpenAI

OpenAI, Anthropic i Azure OpenAI mogą obsługiwać te same funkcje w CRM. Różnica dotyczy tego, kto przetwarza Twoje dane, gdzie i na podstawie jakiej umowy:

Jeśli Twoje działy zakupów i prawny zatwierdziły już Microsoft jako podmiot przetwarzający, Azure OpenAI często pozwala uniknąć oceny nowego dostawcy. Żądania trafiają do utworzonego przez Ciebie zasobu Azure OpenAI, w regionie, który wybrałeś, a rozliczenie idzie przez Twoją subskrypcję Azure.

Jak działa połączenie Azure OpenAI z Salesforce

AI Engine to pakiet zarządzany (managed package), który działa wewnątrz Salesforce. Łączy się z Twoim dostawcą AI przez Named Credential, wbudowany mechanizm Salesforce do uwierzytelnionych połączeń wychodzących. Dla Azure OpenAI konfiguracja składa się z czterech części:

1. External Credential, który przechowuje Twój klucz Azure OpenAI w nagłówku api-key. Klucz zostaje w Twoim orgu: nie jest częścią konfiguracji pakietu i nie jest wysyłany do Cloud Connected.
2. Named Credential wskazujący na https://YOUR_RESOURCE.openai.azure.com, z przestrzenią nazw CloudConnected dodaną do dozwolonych przestrzeni nazw dla callouts.
3. Dostęp do poświadczenia dla wszystkich, którzy korzystają z AI Engine, nadany przez permission set.
4. Org Profile (profil organizacji) w AI Engine: wybierz Azure OpenAI jako dostawcę, wpisz nazwę Named Credential, a jako model podaj nazwę wdrożenia (deployment name).

Na tym ostatnim punkcie wiele osób się potyka. W Azure nie wybierasz „gpt-4o” z listy, tylko wpisujesz nazwę wdrożenia utworzonego w Azure, dokładnie tak, jak jest tam zapisana. AI Engine wywołuje bezpośrednio endpoint chat completions Twojego wdrożenia. Instrukcja krok po kroku jest w artykule Połącz dostawcę AI.

Te same funkcje, z jednym wyjątkiem

Z Azure OpenAI dostajesz te same funkcje co u pozostałych dostawców: pytania o dane w CRM zadawane językiem naturalnym, akcje na rekordach, briefy przed spotkaniami, scoring AI z pisemnym uzasadnieniem, szkice i analizę e-maili, dokumenty PDF oraz Magic Snap (obsługa obrazów działa u wszystkich trzech dostawców).

Wyjątkiem jest wyszukiwanie w sieci. Azure OpenAI nie oferuje narzędzia do wyszukiwania w sieci, z którego AI Engine korzysta w takich funkcjach jak Web Check, Company News, research firmy w czacie, wyszukiwanie w sieci w Meet Prep oraz Verify Company On The Web w scoringu. W orgu skonfigurowanym pod Azure te wyszukiwania są wysyłane zamiast tego do OpenAI, przez osobny Named Credential, który musi nazywać się dokładnie OpenAI.

Masz dwie jasne opcje:

• Wszystko zostaje w Azure. Nie twórz Named Credential OpenAI, pozostaw wyszukiwanie w sieci wyłączone w Meet Prep i scoringu, i poproś użytkowników, by nie korzystali z funkcji webowych. Bez tego poświadczenia wyszukiwania w sieci po prostu się nie powiodą i nic nie zostanie wysłane do OpenAI.
• Zezwalasz na wyszukiwanie w sieci. Utwórz poświadczenie OpenAI. Wyszukiwania i ich przedmiot, zwykle nazwy firm, trafiają wtedy do OpenAI w ramach Twojego konta OpenAI, a cała reszta zostaje w Azure.

Podejmij tę decyzję świadomie i ją udokumentuj. O to właśnie zapyta inspektor ochrony danych. Zobacz Wybór dostawcy pod kątem zgodności.

Co otrzymuje dostawca, niezależnie od wyboru

Wybór Azure decyduje, dokąd trafiają dane. O tym, co tam trafia, decydują mechanizmy kontrolne samego AI Engine, takie same dla każdego dostawcy:

• Uprawnienia użytkownika w Salesforce. Zapytania działają z regułami udostępniania, uprawnieniami do obiektów i zabezpieczeniami na poziomie pól (field-level security) danego użytkownika.
• Lista dozwolonych obiektów ustalana przez admina. AI może odpytywać tylko obiekty i pola włączone przez admina.
• Maskowanie danych osobowych (PII). Domyślnie wartości takie jak adresy e-mail i numery telefonów są przed wysłaniem żądania zastępowane znacznikami, a w odpowiedzi przywracane.
• Brak zapisanych rozmów. AI Engine nie przechowuje pełnej treści promptów ani odpowiedzi. Log aktywności zawiera metadane użycia oraz krótki komunikat błędu, gdy wywołanie się nie powiedzie.

Wybór wdrożeń: główne i szybkie

AI Engine ma dwa ustawienia modelu. Model główny (main model) obsługuje czat, akcje na rekordach, Meet Prep, scoring, PDF-y i Magic Snap. Model szybki (fast model) obsługuje kroki wewnętrzne. W Azure możesz zostawić model szybki pusty, a wtedy używane jest wdrożenie główne, albo wpisać drugie, tańsze wdrożenie. Ponieważ wyszukiwanie w sieci przy Azure idzie przez OpenAI, szybki model w Azure wpływa tylko na tryb Help.

Po zmianie wdrożenia przetestuj funkcje zwracające ustrukturyzowane wyniki, takie jak Meet Prep, AI Score i odpowiedzi wyświetlane jako karty, zanim użytkownicy zaczną na nich polegać. Modele różnią się tym, jak niezawodnie zwracają ustrukturyzowane dane.

Późniejsza zmiana to ustawienie, nie projekt

Dostawca to ustawienie w Org Profile, a nie ponowna instalacja. Wiele zespołów zaczyna od dostawcy, u którego ma już konto, a przechodzi później. Niektóre trzymają skonfigurowane i przetestowane poświadczenia drugiego dostawcy, by w razie awarii lub zmiany polityki przełączyć się ręcznie.

Podsumowanie

• Azure OpenAI utrzymuje przetwarzanie AI w Twoim własnym zasobie i regionie Azure, na podstawie Twojej umowy z Microsoft.
• Konfiguracja to Named Credential plus nazwa Twojego wdrożenia w Org Profile AI Engine.
• Wyszukiwanie w sieci to jedyna funkcja, która nie działa na Azure. Zdecyduj, czy dopuszczasz je przez OpenAI, czy zostawiasz wyłączone.
• AI Engine stosuje te same uprawnienia, listę dozwolonych obiektów i maskowanie PII niezależnie od dostawcy.

Chcesz zobaczyć to na własnych danych w Salesforce? AI Engine instaluje się jako pakiet zarządzany i działa z Twoim własnym wdrożeniem Azure OpenAI.