Przesunięcie od cloud-first do residency-first w korporacyjnych zakupach AI
Korporacyjne zakupy AI w 2024 r. miały ustawienie domyślne: cloud-first. W połowie 2026 r. domyślne ustawienie się odwróciło. Obowiązki podmiotu stosującego z EU AI Act, kierunek NIST dla infrastruktury krytycznej oraz toolkit OECD przeniosły decyzję architektoniczną przed decyzję o dostawcy. Residency-first — utrzymywanie treści wnioskowania tam, gdzie podmiot stosujący zarządza już wszystkim pozostałym — jest nowym ustawieniem domyślnym. Przesunięcie zajęło 24 miesiące.
Niniejszy artykuł śledzi sygnały i to, co one oznaczają dla przedsiębiorstwa, które kupuje AI w 2026 r.
Era cloud-first i to, co w niej działało
Przez 2023 r. i w pierwszą połowę 2024 r. korporacyjne zakupy AI podążały za szerszym wzorcem chmurowego oprogramowania. Dostawca oferował zarządzane API LLM, podmiot stosujący integrował się z nim, wnioskowanie odbywało się w infrastrukturze dostawcy, a zespół ds. zgodności podmiotu stosującego akceptował certyfikaty dostawcy (SOC 2, ISO 27001, DPA zgodna z RODO) jako wystarczający dowód. Było to proste do zamówienia, szybkie do ewaluacji i dobrze dopasowane do tego, jak przedsiębiorstwa kupowały SaaS przez poprzednią dekadę.
Badanie a16z dotyczące przedsiębiorstw z marca 2024 r. uchwyciło moment późnego cloud-first: 72% przedsiębiorstw używało API, aby uzyskać dostęp do swojego modelu, ponad połowa korzystała z modelu hostowanego przez swojego dostawcę usług chmurowych, a „transakcje, które kiedyś zajmowały ponad rok, są domykane w 2 lub 3 miesiące” w przypadku produktów spełniających nowe wymagania [3]. Już w połowie 2024 r. nowe wymagania zaczynały zaginać krzywą transakcji.
Co się załamało
EU AI Act wszedł w życie w sierpniu 2024 r. Zakazane praktyki AI stały się skuteczne 2 lutego 2025 r., obowiązki governance i GPAI 2 sierpnia 2025 r., obowiązki w zakresie przejrzystości przypadają na sierpień 2026 r., a obowiązki podmiotów stosujących systemy wysokiego ryzyka, które przekształcają architekturę zakupową, obowiązują od 2 grudnia 2027 r. [1]. Polityczne porozumienie omnibusowe z 7 maja 2026 r. potwierdziło ponownie ten kamień milowy z 2 grudnia 2027 r. i dodało nowe zakazy [2], usuwając wszelką nadzieję zespołów zakupowych, że termin się przesunie.
Akt rozróżnia dostawcę i podmiot stosujący system AI. Obowiązki podmiotu stosującego obejmują nadzór ludzki, monitorowanie, retencję logów oraz wykazywanie tych zdolności na żądanie [1]. Co kluczowe, obowiązek spoczywa na podmiocie stosującym — banku, szpitalu, agencji — a nie na dostawcy LLM.
Ten pojedynczy fakt prawny odwrócił architekturę. Obowiązku podmiotu stosującego nie da się spełnić certyfikatem dostawcy. Zakupy cloud-first zakładały, że certyfikaty dostawcy są zastępczym dowodem postury zgodności podmiotu stosującego. Zakupy residency-first są tym, co podmiot stosujący robi, gdy to założenie przestaje obowiązywać.
Sygnały, które to potwierdziły
Trzy sygnały w 2026 r. potwierdziły residency-first jako kierunek ponadjurysdykcyjny, a nie europejską osobliwość.
Profil NIST AI RMF dla infrastruktury krytycznej, 7 kwietnia 2026 r. [4] Pierwsze federalne ujęcie zakresu obowiązków podmiotów stosujących w ramach AI RMF dla operatorów infrastruktury krytycznej w USA. Etap noty koncepcyjnej, nie sfinalizowany, ale kierunek jest jednoznaczny: federalne zakupy USA zmierzają ku temu samemu ujęciu obowiązków podmiotu stosującego, które skodyfikowała UE.
AI Policy Toolkit OECD, 3 czerwca 2026 r. [5] W języku OECD oznacza to „zasady są ustalone; wąskim gardłem jest wdrożenie”. Ujęcie Toolkitu wystarczająco ściśle odpowiada trajektorii UE i USA, aby przedsiębiorstwo wielonarodowe projektujące raz pod jurysdykcję najsurowszą zaspokajało pozostałe.
Kontynuacja kompresji cykli transakcyjnych a16z. Badanie z 2024 r. [3] uchwyciło wczesny kształt; do 2026 r. produkty, które pasują do wymagań obowiązków podmiotu stosującego, przechodzą zakupy w tygodnie, a te, które nie pasują, wciąż trwają rok lub dłużej. Sygnałem rynku jest szybkość samej decyzji zakupowej.
Jak residency-first wygląda architektonicznie
Architektura, ku której zbiegają się sygnały, ma cztery właściwości:
- Wnioskowanie lokalne wobec podmiotu stosującego. Albo na urządzeniu użytkownika, albo na serwerze, którym operuje podmiot stosujący. Prompty i odpowiedzi nigdy nie opuszczają perymetru podmiotu stosującego.
- Logi audytowe bez treści, których właścicielem jest podmiot stosujący. Każde działanie administracyjne rejestrowane wraz ze znacznikiem czasu i aktorem, w SIEM podmiotu stosującego. W wierszu audytu nie pojawiają się żadne prompty ani odpowiedzi; wiersz stanowi dowód, treść pozostaje w gestii podmiotu stosującego.
- Tożsamość przez IdP podmiotu stosującego. OIDC wobec Microsoft Entra ID lub Google Workspace; istniejące kontrole dostępu obowiązują bez zmian.
- Brak tenanta po stronie dostawcy. Dostawca nie operuje środowiska wykonawczego, nie widzi danych, nie jest punktem awarii dla postury zgodności.
Chmurowe API LLM mogą zrealizować właściwości 1–3 nakładem pracy. Właściwości 4 strukturalnie nie mogą — operowanie środowiskiem wykonawczym jest tym, co czyni je chmurowym API LLM. Residency-first traktuje to jako ograniczenie architektoniczne, a nie kryterium wyboru dostawcy.
Co to oznacza dla przedsiębiorstwa kupującego AI w 2026 r.
Trzy konkretne implikacje.
Po pierwsze, kwestionariusze dla dostawców wymagają przeformułowania. Pytania, które podmiot stosujący zadawał w 2024 r., dotyczyły certyfikatów dostawcy. Pytania, które podmiot stosujący zadaje w 2026 r., dotyczą wyżej opisanych właściwości architektury wdrożeniowej. Zespoły zakupowe, które jeszcze nie przepisały swojego szablonu, to te, które raportują wstrzymane cykle zakupowe — pełny wzorzec opisany jest w artykule Dlaczego wdrożenia AI on-prem grzęzną na etapie zakupów.
Po drugie, architekturę narzuca jurysdykcja najsurowsza. Podmiot stosujący działający w wielu krajach, projektujący względem obowiązków EU AI Act z 2 grudnia 2027 r. [1], nie zawiedzie wobec wymagań amerykańskich, brytyjskich, japońskich ani singapurskich — zob. artykuł o zgodności z EU AI Act dla mapowania per-obowiązek. Konwergencja ponadjurysdykcyjna, którą dokumentuje Toolkit OECD [5], jest tym, co czyni jedną architekturę wykonalną.
Po trzecie, zmieniła się arytmetyka cyklu zakupowego. Produkty pasujące do residency-first domykają się w 2–3 miesiące; te, które nie pasują, zajmują 12 miesięcy lub więcej [3]. Przedsiębiorstwa kupujące AI w 2026 r. powinny wycenić dopasowanie architektoniczne przed kosztem na miejsce — 9-miesięczne opóźnienie zakupu jest droższe niż jakakolwiek różnica w cenie na miejsce.
Źródła
- European Commission. „AI Act — Regulatory framework on AI.” digital-strategy.ec.europa.eu. Dostęp: 2026-07-22.
- European Commission. „AI Act omnibus political agreement, 7 May 2026.” digital-strategy.ec.europa.eu. Dostęp: 2026-07-22.
- Andreessen Horowitz. „State of Generative AI in the Enterprise.” a16z.com/generative-ai-enterprise-2024. Opublikowano 21 marca 2024 r. Dostęp: 2026-07-22.
- NIST. „AI Risk Management Framework.” nist.gov/itl/ai-risk-management-framework. Dostęp: 2026-07-22. Notę koncepcyjną dla infrastruktury krytycznej opublikowano 7 kwietnia 2026 r.
- OECD AI Policy Observatory. „AI Policy Toolkit.” oecd.ai/en/wonk. Dostęp: 2026-07-22. Opublikowano 3 czerwca 2026 r.
Powiązane artykuły
Przeprowadź przesunięcie architektoniczne przez rzeczywiste obciążenie.
Wdrożenie platformy wewnątrz Twojego własnego środowiska umieszcza cztery właściwości w duchu residency-first — wnioskowanie, audyt, tożsamość, brak tenanta dostawcy — tam, gdzie możesz je przetestować, a zespół ds. zgodności sporządza memorandum dotyczące obowiązków podmiotu stosującego w oparciu o własne logi.