De verschuiving van cloud-first naar data-residency-first bij enterprise AI-inkoop
Enterprise AI-inkoop in 2024 had een default: cloud-first. Halverwege 2026 is de default omgekeerd. Deployer-verplichtingen onder de EU AI Act, de NIST-richting voor kritieke infrastructuur en de OECD-beleidstoolkit hebben de architectonische beslissing vóór de leveranciersbeslissing geplaatst. Residency-first — houd de inferentie-inhoud waar de deployer al alles beheert — is de nieuwe default. De verschuiving kostte 24 maanden.
Dit artikel traceert de signalen en wat zij betekenen voor een onderneming die AI inkoopt in 2026.
Het cloud-first-tijdperk en wat eraan werkte
Door 2023 en tot in begin 2024 volgde enterprise AI-inkoop het bredere patroon van cloud-software. Een leverancier bood een managed LLM-API aan, de deployer integreerde ertegen, de inferentie vond plaats op de infrastructuur van de leverancier, en het compliance-team van de deployer accepteerde de certificeringen van de leverancier (SOC 2, ISO 27001, AVG-conforme DPA) als voldoende bewijs. Dit was eenvoudig in te kopen, snel te evalueren en goed afgestemd op hoe ondernemingen het voorgaande decennium SaaS hadden gekocht.
De enterprise-survey van a16z uit maart 2024 ving het moment van laat-cloud-first: 72% van de ondernemingen gebruikte een API om toegang te krijgen tot hun model, ruim de helft gebruikte het model gehost door hun cloud-service-provider, en "deals die voorheen meer dan een jaar duurden om te sluiten worden in 2 of 3 maanden afgerond" voor producten die passen bij de nieuwe vereisten [3]. Zelfs halverwege 2024 begonnen de nieuwe vereisten de dealcurve al te buigen.
Wat brak
De EU AI Act trad in werking in augustus 2024. Verboden AI-praktijken werden van kracht op 2 februari 2025, governance- en GPAI-verplichtingen op 2 augustus 2025, transparantieverplichtingen zijn verschuldigd in augustus 2026, en de deployer-verplichtingen voor hoog-risico die de inkooparchitectuur hervormen, gelden vanaf 2 december 2027 [1]. Het politiek omnibusakkoord van 7 mei 2026 herbevestigde die mijlpaal van 2 december 2027 en voegde nieuwe verboden toe [2], waarmee aan elke inkooptemphoop dat de deadline zou opschuiven een eind kwam.
De Act maakt onderscheid tussen de provider en de deployer van een AI-systeem. Deployer-verplichtingen omvatten menselijk toezicht, monitoring, logretentie en het op verzoek aantonen van deze capaciteiten [1]. Cruciaal: de verplichting ligt bij de deployer — de bank, het ziekenhuis, de instantie — niet bij de LLM-leverancier.
Dat ene juridische feit is wat de architectuur omkeerde. Een deployer-verplichting kan niet worden vervuld door een leveranciercertificering. Cloud-first-inkoop ging ervan uit dat de certificeringen van de leverancier een proxy waren voor de compliance-positie van de deployer. Residency-first-inkoop is wat de deployer doet wanneer die aanname niet langer opgaat.
De signalen die het bevestigden
Drie signalen in 2026 bevestigden residency-first als een grensoverschrijdende richting, niet als een Europese eigenaardigheid.
NIST AI RMF Critical Infrastructure-profiel, 7 april 2026. [4] De eerste Amerikaanse federale scoping van AI RMF deployer-verplichtingen voor exploitanten van kritieke infrastructuur. Conceptnotitie-stadium, niet gefinaliseerd, maar de richting is ondubbelzinnig: Amerikaanse federale inkoop beweegt zich richting dezelfde deployer-verplichtingen-framing die de EU heeft gecodificeerd.
OECD AI Policy Toolkit, 3 juni 2026. [5] OECD-taal voor "de principes liggen vast; het knelpunt is uitvoering". De framing van de Toolkit komt voldoende overeen met het EU- en VS-traject zodat een multinationale onderneming die eenmaal voor de strengste jurisdictie ontwerpt nu ook aan de rest voldoet.
Voortgaande compressie van de a16z-dealcyclus. De survey uit 2024 [3] ving de vroege vorm; in 2026 doorlopen producten die passen bij deployer-verplichtingen de inkoop in weken, terwijl producten die dat niet doen nog steeds een jaar of langer kosten. Het marktsignaal is de snelheid van het inkoopbesluit zelf.
Hoe residency-first er architectonisch uitziet
De architectuur waarop de signalen convergeren heeft vier eigenschappen:
- Inferentie lokaal bij de deployer. Hetzij op het apparaat van de gebruiker, hetzij op een server die de deployer exploiteert. Prompts en responses verlaten nooit de perimeter van de deployer.
- Inhoudvrije auditlogs die de deployer in eigendom heeft. Elke administratieve actie gelogd met tijdstempel en actor, in de SIEM van de deployer. Geen prompts of responses in de auditregel; de regel is het bewijs, de inhoud blijft bij de deployer om te bewaren.
- Identiteit via de IdP van de deployer. OIDC tegen Microsoft Entra ID of Google Workspace; bestaande toegangscontroles gelden onveranderd.
- Geen tenant aan leverancierszijde. De leverancier exploiteert de runtime niet, ziet de gegevens niet, vormt geen single point of failure voor de compliance-positie.
Cloud-LLM-API's kunnen eigenschappen 1–3 met inspanning implementeren. Eigenschap 4 kunnen zij structureel niet — het exploiteren van de runtime is wat hen een cloud-LLM-API maakt. Residency-first behandelt dat als de architectonische beperking, niet als een selectiecriterium voor de leverancier.
Wat dit betekent voor een onderneming die AI inkoopt in 2026
Drie concrete implicaties.
Ten eerste: leveranciersvragenlijsten dienen opnieuw te worden vormgegeven. De vragen die een deployer in 2024 stelde gingen over de certificeringen van de leverancier. De vragen die een deployer in 2026 stelt gaan over de uitrolarchitectuur-eigenschappen hierboven. Inkoopteams die hun template nog niet hebben herschreven zijn diegenen die vastgelopen inkoopcycli rapporteren — zie Waarom on-prem AI-uitrol vastloopt in inkoop voor het volledige patroon.
Ten tweede: de strengste jurisdictie bepaalt de architectuur. Een multinationale deployer die ontwerpt tegen de verplichtingen van 2 december 2027 van de EU AI Act [1] zal niet falen op vereisten van de VS, het VK, Japan of Singapore — zie het artikel over EU AI Act-compliance voor de mapping per verplichting. De grensoverschrijdende convergentie die de OECD Toolkit [5] documenteert, is wat één architectuur levensvatbaar maakt.
Ten derde: de wiskunde van de inkoopcyclus is veranderd. Producten die passen bij residency-first sluiten binnen 2–3 maanden; producten die dat niet doen kosten 12 of meer [3]. Ondernemingen die AI inkopen in 2026 dienen architectonische fit te prijzen vóór per-zitplaats-kosten — een vertraging van 9 maanden in de inkoop is duurder dan welk per-zitplaats-verschil dan ook.
Referenties
- European Commission. "AI Act — Regulatory framework on AI." digital-strategy.ec.europa.eu. Geraadpleegd op 2026-07-22.
- European Commission. "AI Act omnibus political agreement, 7 May 2026." digital-strategy.ec.europa.eu. Geraadpleegd op 2026-07-22.
- Andreessen Horowitz. "State of Generative AI in the Enterprise." a16z.com/generative-ai-enterprise-2024. Gepubliceerd op 21 maart 2024. Geraadpleegd op 2026-07-22.
- NIST. "AI Risk Management Framework." nist.gov/itl/ai-risk-management-framework. Geraadpleegd op 2026-07-22. Conceptnotitie Critical Infrastructure uitgebracht op 7 april 2026.
- OECD AI Policy Observatory. "AI Policy Toolkit." oecd.ai/en/wonk. Geraadpleegd op 2026-07-22. Uitgebracht op 3 juni 2026.
Gerelateerde artikelen
Loop de architectonische verschuiving door tegen een echte workload.
Het platform binnen uw eigen omgeving uitrollen plaatst de vier residency-first eigenschappen — inferentie, audit, identiteit, geen leveranciers-tenant — waar u ze kunt testen, terwijl het compliance-team de deployer-verplichtingen-memo schrijft tegen de eigen logs.