GPU mutualisés : isoler, allouer et facturer l’IA
AWS propose une architecture de référence pour partager un cluster SageMaker HyperPod orchestré par EKS entre plusieurs équipes. Le point utile dépasse le produit : une capacité GPU commune ne devient exploitable à l’échelle qu’en reliant identité, isolation, quotas, observabilité et allocation des coûts.
1. Une chaîne de contrôle de l’utilisateur au calcul
Le patron fédère l’identité d’entreprise dans AWS IAM Identity Center, attribue à chaque équipe un domaine SageMaker AI et un rôle dédié, puis limite ses opérations à un espace de noms Kubernetes. Les accès depuis Studio comme depuis la ligne de commande passent par des autorisations bornées à cet espace.
Le stockage suit la même logique : répertoires POSIX et compartiments objet peuvent être séparés par équipe. AWS recommande de propager les identités POSIX jusque dans le contexte de sécurité des pods, afin que l’isolation de Kubernetes ne soit pas annulée au niveau des fichiers.
2. Ce que cela change pour une entreprise belge ou française
Pour une ETI, un grand groupe ou une administration, mutualiser les accélérateurs peut éviter des grappes sous-utilisées par département. Les équipes de data science, vision, RAG ou modèles spécialisés obtiennent un environnement propre tout en partageant le socle coûteux. Les quotas garantis et la capacité de débordement rendent l’arbitrage explicite.
Pour une PME, cette architecture complète peut être disproportionnée. Le principe reste pertinent : séparer les identités et données, plafonner le calcul, attribuer les dépenses au projet et documenter le propriétaire de chaque charge. Le bon seuil dépend du nombre d’équipes, de la sensibilité des données et du coût d’exploitation de Kubernetes.
3. Le coût devient un objet de gouvernance
HyperPod Task Governance répartit les ressources et les priorités par espace de noms. Kubecost mesure ensuite GPU, CPU, mémoire, stockage et réseau au même niveau, pour fournir du showback ou du chargeback. Cette continuité entre frontière technique et frontière budgétaire évite une comptabilité fondée sur des étiquettes incohérentes.
Un quota n’est toutefois pas une politique de valeur. Une direction doit encore décider quels travaux justifient une garantie de GPU, comment traiter les pics, quels indicateurs relient consommation et résultat métier, et quand arrêter un entraînement ou une expérimentation sans bénéfice mesurable.
4. Analyse Underside : le multi-tenant n’est pas la souveraineté
Le modèle améliore l’autonomie opérationnelle des équipes, mais reste une architecture AWS et ne prouve ni localisation, ni immunité juridique, ni réversibilité. Une organisation belge ou française doit qualifier la région, les accès du fournisseur, les clés, la télémétrie, les sauvegardes, les dépendances EKS et la possibilité de déplacer modèles, données et pipelines.
Pour le RAG, les agents ou Odoo, l’espace de noms ne doit pas devenir la seule frontière. Les identités vers les sources et outils métier doivent rester distinctes, les écritures sensibles soumises à approbation, et les traces corrélées entre le cluster, le modèle et l’application cible. La souveraineté tient à cette chaîne de preuves, pas au seul emplacement du GPU.
5. Un pilote qui mesure isolation et équité
Commencer avec deux équipes et des jeux de données non critiques. Tester les accès croisés aux API Kubernetes, aux volumes, aux objets et aux tableaux de bord ; vérifier la révocation après départ d’un utilisateur ; provoquer une saturation pour observer quotas et priorités ; puis rapprocher les mesures Kubecost de la facture réelle.
Avant la production, définir les objectifs de reprise, les journaux à conserver, les responsabilités de la plateforme et des équipes, ainsi qu’un scénario de sortie. Un test de portabilité d’un modèle, de ses artefacts et de son pipeline vers une autre infrastructure apporte plus de preuve qu’une clause générale de réversibilité.
Priorité : aligner une même frontière d’équipe dans l’identité, Kubernetes, le stockage, l’observabilité et les coûts, puis tester les chemins de contournement et la portabilité.
Cadrer une plateforme IA partagée