Formation Kong AI Gateway : gouverner l'IA et se conformer à l'AI Act
Encadrer les usages de l'IA générative et outiller la conformité à l'AI Act avec Kong AI Gateway
- Durée
- 2 jours
- Niveau
- Intermédiaire
- Modalités
- Distanciel
Description de la formation Kong AI Gateway
Qu'est-ce que Kong AI Gateway ?
Kong AI Gateway est la déclinaison IA de la plateforme Kong, reconnue pour la gestion des API. Placée entre les applications et les modèles de langage (OpenAI, Anthropic, Mistral, modèles hébergés en interne), elle centralise tous les appels vers l'IA générative en un point de contrôle unique. Elle permet d'y appliquer des règles de sécurité, de protection des données, de traçabilité et de maîtrise des coûts, et étend désormais ce contrôle aux agents IA et aux outils exposés via le protocole MCP.
Pourquoi suivre une formation Kong AI Gateway ?
Depuis le 2 août 2026, l'AI Act s'applique en grande partie, et les obligations des systèmes à haut risque entreront en vigueur le 2 décembre 2027. Les entreprises doivent prouver qu'elles maîtrisent leurs usages de l'IA : savoir qui utilise quel modèle, protéger les données personnelles, tracer les échanges et encadrer les agents. Cette formation relie chaque exigence du règlement à un contrôle technique concret dans Kong AI Gateway, sans perdre de vue ce qu'un outil ne peut pas couvrir seul. Elle complète la formation KONG, consacrée au management des API, en se concentrant sur la gouvernance des flux IA.
Objectifs pédagogiques
À l'issue de cette formation Kong AI Gateway : gouverner l'IA et se conformer à l'AI Act, vous aurez acquis les connaissances nécessaires pour :
- Qualifier les usages d'IA d'une organisation selon les niveaux de risque et les rôles définis par l'AI Act
- Traduire les obligations réglementaires en contrôles techniques et en preuves attendues
- Centraliser et identifier les flux vers les modèles de langage avec Kong AI Gateway
- Configurer la protection des données personnelles et le filtrage des contenus
- Exploiter les journaux, métriques et quotas pour constituer un dossier de preuves
- Encadrer l'accès des agents IA aux outils exposés via MCP
- Construire une feuille de route de conformité IA outillée
Objectifs opérationnels
Savoir mettre en œuvre avec Kong AI Gateway les contrôles techniques qui soutiennent la conformité à l'AI Act des usages d'IA générative de l'entreprise.
Programme
Contenu du cours, module par module
7 modules
- Champ d'application, définitions du système d'IA et du modèle d'IA à usage général
- Approche par les risques : pratiques interdites, haut risque, transparence, risque minimal
- Rôles et responsabilités : fournisseur, déployeur, importateur, distributeur
- Calendrier consolidé après l'omnibus numérique : 2 août 2026, 2 décembre 2027, 2 août 2028
- Articulation avec le RGPD, NIS2 et DORA
Travaux pratiques
Objectif :Qualifier les usages IA d'une organisation et identifier le rôle de l'entreprise pour chacun.
Description :À partir de l'inventaire d'une entreprise fictive (assistant RH, chatbot client, outil de scoring, copilote de code), les participants classent chaque usage selon les niveaux de risque du règlement. Ils déterminent pour chacun si l'entreprise agit en fournisseur ou en déployeur. Ils associent ensuite chaque usage à l'échéance applicable dans le calendrier consolidé. Quel usage, en apparence anodin, bascule en haut risque une fois son contexte précisé ? La correction collective valide les acquis et sert de fil rouge pour la suite.
Description :À partir de l'inventaire d'une entreprise fictive (assistant RH, chatbot client, outil de scoring, copilote de code), les participants classent chaque usage selon les niveaux de risque du règlement. Ils déterminent pour chacun si l'entreprise agit en fournisseur ou en déployeur. Ils associent ensuite chaque usage à l'échéance applicable dans le calendrier consolidé. Quel usage, en apparence anodin, bascule en haut risque une fois son contexte précisé ? La correction collective valide les acquis et sert de fil rouge pour la suite.
- Obligations du déployeur : supervision humaine, conservation des journaux, information des personnes
- Obligations de transparence de l'article 50
- Traçabilité, gestion des risques, qualité des données : ce qu'un contrôle technique peut prouver
- Limites d'une passerelle : documentation du fournisseur, évaluation de conformité, analyse d'impact
- Construire une matrice exigences, contrôles et preuves
Travaux pratiques
Objectif :Construire une matrice reliant exigences réglementaires, contrôles techniques et preuves attendues.
Description :Les participants reprennent les usages qualifiés au chapitre précédent et listent les obligations qui s'y rattachent. Pour chaque obligation, ils identifient un contrôle technique possible et la preuve qu'il produit. Ils distinguent ce qui relève de la passerelle et ce qui reste organisationnel ou documentaire. Une obligation peut-elle être couverte uniquement par un outil ? La matrice obtenue est comparée à un corrigé et devient la feuille de route des ateliers du jour 2.
Description :Les participants reprennent les usages qualifiés au chapitre précédent et listent les obligations qui s'y rattachent. Pour chaque obligation, ils identifient un contrôle technique possible et la preuve qu'il produit. Ils distinguent ce qui relève de la passerelle et ce qui reste organisationnel ou documentaire. Une obligation peut-elle être couverte uniquement par un outil ? La matrice obtenue est comparée à un corrigé et devient la feuille de route des ateliers du jour 2.
- Shadow AI et dispersion des appels vers les modèles : enjeux de gouvernance
- Architecture : Kong Gateway, plugins IA, plan de contrôle Konnect, modes de déploiement
- AI Proxy et AI Proxy Advanced : un point d'entrée unique vers plusieurs fournisseurs de modèles
- Identification des consommateurs, authentification et contrôle d'accès par équipe ou application
- Positionnement face aux autres approches de passerelles IA
Travaux pratiques
Objectif :Centraliser les appels vers plusieurs fournisseurs de modèles derrière un point d'entrée unique et identifié.
Description :Depuis la console Konnect, les participants configurent AI Proxy Advanced pour router les requêtes vers deux fournisseurs de modèles. Ils créent des consommateurs distincts pour deux équipes métier et leur attribuent une clé d'accès. Ils vérifient que tout appel non authentifié est refusé et que chaque requête est rattachée à son émetteur. Comment savoir, en quelques secondes, quelle équipe a utilisé quel modèle ? La validation repose sur une série de requêtes de test et la lecture des résultats dans la console.
Description :Depuis la console Konnect, les participants configurent AI Proxy Advanced pour router les requêtes vers deux fournisseurs de modèles. Ils créent des consommateurs distincts pour deux équipes métier et leur attribuent une clé d'accès. Ils vérifient que tout appel non authentifié est refusé et que chaque requête est rattachée à son émetteur. Comment savoir, en quelques secondes, quelle équipe a utilisé quel modèle ? La validation repose sur une série de requêtes de test et la lecture des résultats dans la console.
- AI PII Sanitizer : détection et masquage des données personnelles dans les prompts et les réponses
- AI Prompt Guard et AI Semantic Prompt Guard : règles d'autorisation, de refus et filtrage par intention
- Guardrails externes : Azure AI Content Safety, AWS Bedrock Guardrails, Lakera Guard
- AI Prompt Decorator : injection de consignes de sécurité et de mentions de transparence
- Traduire la charte d'usage IA et la politique RGPD en règles de passerelle
Travaux pratiques
Objectif :Empêcher la fuite de données personnelles et bloquer les usages non conformes à la charte.
Description :Les participants activent AI PII Sanitizer et observent le masquage des noms, adresses et numéros dans les prompts envoyés au modèle. Ils configurent ensuite une règle AI Semantic Prompt Guard interdisant une catégorie d'usage, par exemple l'évaluation de candidats. Ils ajoutent avec AI Prompt Decorator une consigne rappelant que l'utilisateur échange avec une IA. Que se passe-t-il lorsqu'un utilisateur reformule une demande interdite pour contourner le filtre ? Un jeu de requêtes de test permet de valider chaque règle et d'en documenter le comportement.
Description :Les participants activent AI PII Sanitizer et observent le masquage des noms, adresses et numéros dans les prompts envoyés au modèle. Ils configurent ensuite une règle AI Semantic Prompt Guard interdisant une catégorie d'usage, par exemple l'évaluation de candidats. Ils ajoutent avec AI Prompt Decorator une consigne rappelant que l'utilisateur échange avec une IA. Que se passe-t-il lorsqu'un utilisateur reformule une demande interdite pour contourner le filtre ? Un jeu de requêtes de test permet de valider chaque règle et d'en documenter le comportement.
- Journaux d'audit des requêtes IA : contenu, métadonnées, durée de conservation
- Métriques OpenTelemetry et tableaux de bord d'usage par équipe et par modèle
- AI Rate Limiting Advanced : quotas de jetons et budgets par groupe de consommateurs
- Alertes et procédures d'escalade au service de la supervision humaine
- Constitution d'un dossier de preuves pour un audit ou une autorité de contrôle
Travaux pratiques
Objectif :Produire des preuves d'usage exploitables et encadrer la consommation des modèles.
Description :Les participants activent la journalisation des requêtes IA et identifient les champs utiles à un audit. Ils définissent un quota de jetons par équipe avec AI Rate Limiting Advanced et observent le blocage au dépassement. Ils construisent ensuite un tableau de bord d'usage par modèle et par consommateur. Quelles informations un auditeur demandera-t-il en priorité ? L'atelier se conclut par l'assemblage d'un extrait de dossier de preuves, relu en groupe.
Description :Les participants activent la journalisation des requêtes IA et identifient les champs utiles à un audit. Ils définissent un quota de jetons par équipe avec AI Rate Limiting Advanced et observent le blocage au dépassement. Ils construisent ensuite un tableau de bord d'usage par modèle et par consommateur. Quelles informations un auditeur demandera-t-il en priorité ? L'atelier se conclut par l'assemblage d'un extrait de dossier de preuves, relu en groupe.
- Agents IA et protocole MCP : nouveaux risques liés aux actions autonomes et à l'accès aux outils
- AI MCP Proxy et contrôle d'accès aux outils par listes de contrôle et OAuth
- Registre MCP de Konnect : inventorier les serveurs et outils exposés
- Flux d'agent à agent (A2A) et Agent Gateway
- Intégrer les agents dans l'inventaire des systèmes d'IA
Travaux pratiques
Objectif :Contrôler l'accès des agents aux outils exposés via MCP.
Description :Les participants exposent un serveur MCP derrière AI MCP Proxy et l'enregistrent dans le registre Konnect. Ils définissent une règle limitant l'accès d'un agent à un sous-ensemble d'outils en lecture seule. Ils simulent ensuite un appel non autorisé et vérifient son blocage dans les journaux. Faut-il inscrire cet agent dans l'inventaire des systèmes d'IA de l'entreprise ? La discussion finale permet de valider la compréhension des risques propres aux agents.
Description :Les participants exposent un serveur MCP derrière AI MCP Proxy et l'enregistrent dans le registre Konnect. Ils définissent une règle limitant l'accès d'un agent à un sous-ensemble d'outils en lecture seule. Ils simulent ensuite un appel non autorisé et vérifient son blocage dans les journaux. Faut-il inscrire cet agent dans l'inventaire des systèmes d'IA de l'entreprise ? La discussion finale permet de valider la compréhension des risques propres aux agents.
- Organisation : rôles de la DSI, du RSSI, du DPO, du référent IA et des équipes plateforme
- Gestion des règles de passerelle comme du code : versionnement et revue des changements
- Indicateurs de pilotage et revue périodique des usages
- Préparer l'échéance du 2 décembre 2027 pour les systèmes à haut risque
- Construire la feuille de route de mise en conformité
Travaux pratiques
Objectif :Consolider une feuille de route de conformité outillée et la défendre.
Description :Par groupes, les participants reprennent la matrice du jour 1 et y reportent les contrôles mis en œuvre pendant les ateliers. Ils complètent les zones non couvertes par des mesures organisationnelles et désignent un responsable pour chacune. Chaque groupe présente sa feuille de route à un comité fictif réunissant DSI, RSSI et DPO. Quels arbitrages présenter si le budget ne permet pas de tout déployer avant décembre 2027 ? Le formateur évalue la cohérence de la feuille de route au regard des objectifs pédagogiques.
Description :Par groupes, les participants reprennent la matrice du jour 1 et y reportent les contrôles mis en œuvre pendant les ateliers. Ils complètent les zones non couvertes par des mesures organisationnelles et désignent un responsable pour chacune. Chaque groupe présente sa feuille de route à un comité fictif réunissant DSI, RSSI et DPO. Quels arbitrages présenter si le budget ne permet pas de tout déployer avant décembre 2027 ? Le formateur évalue la cohérence de la feuille de route au regard des objectifs pédagogiques.
Travaux pratiques
Les travaux pratiques sont réalisés sur Kong AI Gateway (Kong Gateway Enterprise et plateforme Konnect) dans un environnement préconfiguré, accessible depuis la console graphique. Ils suivent un fil rouge, la mise en conformité des usages IA d'une entreprise fictive, et représentent 50 % du temps de formation.
Programme mis à jour le 12/11/2026
Public concerné
Cette formation s'adresse aux DSI, RSSI, DPO, responsables conformité, référents IA et architectes chargés d'encadrer les usages de l'IA générative dans leur organisation.
Prérequis
Connaissances générales sur l'IA générative et les modèles de langage, pour comprendre ce qui transite par la passerelle. Notions de base sur les API (requête, réponse, clé d'accès), sans pratique du code : les ateliers se font depuis une console graphique. Connaissance des grands principes du RGPD, indispensable pour aborder la protection des données dans les flux IA. La formation IA Act (IACT) constitue une bonne préparation.
J’évalue mes connaissances pour vérifier que je dispose des prérequis nécessaires pour profiter pleinement de cette formation en faisant le test de prérequis.
Faire le testFinancement
Cette formation peut être prise en charge par votre entreprise, seule ou avec l’appui de son opérateur de compétences. Nous fournissons le devis et les pièces attendues par l’OPCO.
Formations liées
- Piloter et Encadrer l'IA Générative en EntrepriseRéf. IAGE3 joursFondamentalProchaine session : 7 déc.2 090 €
- Claude et conformité bancaireRéf. CLCB1 jourFondamentalProchaine session : 4 janv.950 €
- Gouvernance et souveraineté IA avec MistralRéf. GSIM1 jourFondamentalProchaine session : 16 nov.890 €
- Kong AI Gateway : déployer et exploiter la passerelle IARéf. KAGD3 joursAvancéProchaine session : 15 mars2 690 €