Tendances IA Publié le 2026-07-22 · 7 min de lecture

Le basculement du cloud-first vers le residency-first dans les achats d'IA en entreprise

Les achats d'IA en entreprise avaient un défaut en 2024 : le cloud-first. À mi-2026, le défaut a basculé. Les obligations du déployeur au titre de l'EU AI Act, l'orientation du NIST vers les infrastructures critiques et le Toolkit politique de l'OECD ont déplacé la décision architecturale en amont de la décision fournisseur. Residency-first — garder le contenu d'inférence là où le déployeur gère déjà tout le reste — est le nouveau défaut. Le basculement a pris 24 mois.

Cet article retrace les signaux et ce qu'ils signifient pour une entreprise qui achète de l'IA en 2026.

L'ère du cloud-first et ce qui y fonctionnait

Tout au long de 2023 et au début de 2024, les achats d'IA en entreprise suivaient le schéma plus large du logiciel cloud. Un fournisseur proposait une API LLM managée, le déployeur s'y intégrait, l'inférence se produisait sur l'infrastructure du fournisseur, et l'équipe conformité du déployeur acceptait les certifications du fournisseur (SOC 2, ISO 27001, DPA aligné RGPD) comme preuves suffisantes. C'était simple à acquérir, rapide à évaluer et bien adapté à la manière dont les entreprises avaient acheté du SaaS pendant la décennie précédente.

L'enquête d'a16z auprès des entreprises de mars 2024 a capté le moment de la fin de l'ère cloud-first : 72 % des entreprises utilisaient une API pour accéder à leur modèle, plus de la moitié utilisaient le modèle hébergé par leur fournisseur de services cloud, et « les transactions qui prenaient autrefois plus d'un an à conclure se font désormais en 2 ou 3 mois » pour les produits qui répondent aux nouvelles exigences ^[3]. Dès mi-2024, les nouvelles exigences commençaient déjà à infléchir la courbe des transactions.

Ce qui s'est cassé

L'EU AI Act est entré en vigueur en août 2024. Les pratiques d'IA interdites sont devenues effectives le 2 février 2025, les obligations de gouvernance et celles relatives aux GPAI le 2 août 2025, les obligations de transparence sont attendues pour août 2026, et les obligations du déployeur pour les systèmes à haut risque qui re-modèlent l'architecture d'achats s'appliquent à compter du 2 décembre 2027 ^[1]. L'accord politique omnibus du 7 mai 2026 a reconfirmé ce jalon du 2 décembre 2027 et ajouté de nouvelles interdictions ^[2], ôtant à toute équipe achats l'espoir d'un glissement d'échéance.

L'Act distingue le fournisseur et le déployeur d'un système d'IA. Les obligations du déployeur incluent la supervision humaine, la surveillance, la rétention des journaux et la démonstration de ces dispositifs sur demande ^[1]. Surtout, l'obligation incombe au déployeur — la banque, l'hôpital, l'agence — et non au fournisseur du LLM.

Ce seul fait juridique est ce qui a fait basculer l'architecture. Une obligation du déployeur ne peut pas être satisfaite par une certification du fournisseur. Les achats cloud-first supposaient que les certifications du fournisseur faisaient office de procuration pour la posture de conformité du déployeur. Les achats residency-first sont ce que fait le déployeur lorsque cette hypothèse ne tient plus.

Les signaux qui l'ont confirmé

Trois signaux en 2026 ont confirmé le residency-first comme une orientation transjuridictionnelle, et non comme une particularité européenne.

Profil Infrastructures critiques du NIST AI RMF, 7 avril 2026. ^[4] Premier cadrage fédéral américain des obligations du déployeur au titre du NIST AI RMF pour les opérateurs d'infrastructures critiques. Stade de note conceptuelle, non finalisée, mais la direction est sans ambiguïté : les achats fédéraux américains s'orientent vers le même cadrage d'obligations du déployeur que l'UE a codifié.

AI Policy Toolkit de l'OECD, 3 juin 2026. ^[5] En langage OECD, « les principes sont posés ; le goulet d'étranglement est la mise en œuvre ». Le cadrage du Toolkit s'aligne suffisamment étroitement avec la trajectoire de l'UE et des États-Unis pour qu'une entreprise multinationale qui conçoit une fois en fonction de la juridiction la plus stricte satisfasse désormais aux autres.

La compression des cycles de transaction d'a16z se poursuit. L'enquête de 2024 ^[3] a capté la forme initiale ; en 2026, les produits qui répondent aux exigences d'obligations du déployeur passent la phase d'achats en quelques semaines, tandis que ceux qui n'y répondent pas prennent encore un an ou plus. Le signal de marché, c'est la vitesse même de la décision d'achats.

À quoi ressemble le residency-first sur le plan architectural

L'architecture vers laquelle les signaux convergent présente quatre propriétés :

Inférence locale au déployeur. Soit sur l'appareil de l'utilisateur, soit sur un serveur exploité par le déployeur. Les prompts et les réponses ne quittent jamais le périmètre du déployeur.
Journaux d'audit sans contenu, détenus par le déployeur. Toute action administrative journalisée avec horodatage et acteur, dans le SIEM du déployeur. Aucun prompt ni réponse dans la ligne d'audit ; la ligne est la preuve, le contenu reste à la main du déployeur.
Identité via l'IdP du déployeur. OIDC adossé à Microsoft Entra ID ou Google Workspace ; les contrôles d'accès existants s'appliquent sans changement.
Pas de tenant côté fournisseur. Le fournisseur n'exploite pas le runtime, ne voit pas les données et n'est pas un point de défaillance pour la posture de conformité.

Les API LLM cloud peuvent mettre en œuvre les propriétés 1 à 3 au prix d'efforts. La propriété 4, elles ne le peuvent structurellement pas — exploiter le runtime est ce qui fait d'elles des API LLM cloud. Le residency-first traite cela comme une contrainte architecturale, pas comme un critère de sélection fournisseur.

Ce que cela signifie pour une entreprise qui achète de l'IA en 2026

Trois implications concrètes.

Premièrement, les questionnaires fournisseur doivent être refondus. Les questions qu'un déployeur posait en 2024 portaient sur les certifications du fournisseur. Les questions qu'un déployeur pose en 2026 portent sur les propriétés d'architecture de déploiement ci-dessus. Les équipes achats qui n'ont pas encore réécrit leur modèle sont celles qui signalent des cycles d'achat enlisés — voir Pourquoi les déploiements d'IA on-prem s'enlisent en phase d'achats pour le schéma complet.

Deuxièmement, la juridiction la plus stricte fixe l'architecture. Un déployeur multinational qui conçoit en fonction des obligations du 2 décembre 2027 de l'EU AI Act ^[1] ne manquera pas aux exigences américaines, britanniques, japonaises ou singapouriennes — voir l'article sur la conformité à l'EU AI Act pour la correspondance obligation par obligation. La convergence transjuridictionnelle documentée par le Toolkit de l'OECD ^[5] est ce qui rend une architecture unique viable.

Troisièmement, le calcul du cycle d'achats a changé. Les produits qui correspondent au residency-first se concluent en 2 à 3 mois ; ceux qui n'y correspondent pas prennent plus de 12 mois ^[3]. Les entreprises qui achètent de l'IA en 2026 devraient tarifer l'adéquation architecturale avant le coût par siège — un retard d'achats de 9 mois est plus coûteux que n'importe quel écart de prix par siège.

Références

Commission européenne. « AI Act — Regulatory framework on AI. » digital-strategy.ec.europa.eu. Consulté le 2026-07-22.
Commission européenne. « AI Act omnibus political agreement, 7 May 2026. » digital-strategy.ec.europa.eu. Consulté le 2026-07-22.
Andreessen Horowitz. « State of Generative AI in the Enterprise. » a16z.com/generative-ai-enterprise-2024. Publié le 21 mars 2024. Consulté le 2026-07-22.
NIST. « AI Risk Management Framework. » nist.gov/itl/ai-risk-management-framework. Consulté le 2026-07-22. Note conceptuelle Infrastructures critiques publiée le 7 avril 2026.
OECD AI Policy Observatory. « AI Policy Toolkit. » oecd.ai/en/wonk. Consulté le 2026-07-22. Publié le 3 juin 2026.

Déroulez ce basculement architectural sur une charge de travail réelle.

Déployer la plateforme dans votre propre environnement place les quatre propriétés residency-first — inférence, audit, identité, pas de tenant fournisseur — là où vous pouvez les tester, l'équipe conformité rédigeant la note sur les obligations du déployeur face à ses propres journaux.

Discutons d'IA on-prem