Tendências de IA Publicado a 2026-07-22 · 7 min de leitura

A mudança da compra empresarial de IA de cloud-first para residência-de-dados-first

A aquisição de IA empresarial em 2024 tinha um default: cloud-first. A meio de 2026 o default inverteu-se. As obrigações do deployer no EU AI Act, a direção do NIST para infraestruturas críticas e o toolkit de política da OCDE deslocaram a decisão arquitetural para antes da decisão de fornecedor. Residência-first — manter o conteúdo da inferência onde o deployer já gere todo o resto — é o novo default. A mudança levou 24 meses.

Este artigo traça os sinais e o que significam para uma empresa que está a comprar IA em 2026.

A era cloud-first e o que funcionou nela

Ao longo de 2023 e no início de 2024, a compra empresarial de IA seguiu o padrão mais amplo do software em nuvem. Um fornecedor oferecia uma API de LLM gerida, o deployer integrava-se contra ela, a inferência acontecia na infraestrutura do fornecedor, e a equipa de conformidade do deployer aceitava as certificações do fornecedor (SOC 2, ISO 27001, DPA alinhada com o RGPD) como evidência suficiente. Isto era simples de adquirir, rápido de avaliar e bem alinhado com a forma como as empresas tinham comprado SaaS na década anterior.

O inquérito empresarial da a16z de março de 2024 captou o momento tardio do cloud-first: 72% das empresas usavam uma API para aceder ao seu modelo, mais de metade utilizava o modelo alojado pelo seu fornecedor de serviços em nuvem, e "negócios que costumavam demorar mais de um ano a fechar estão a ser concluídos em 2 ou 3 meses" para produtos que se enquadram nos novos requisitos ^[3]. Já em meados de 2024 os novos requisitos começavam a dobrar a curva de negócio.

O que quebrou

O EU AI Act entrou em vigor em agosto de 2024. As práticas de IA proibidas tornaram-se aplicáveis a 2 de fevereiro de 2025, as obrigações de governação e de GPAI a 2 de agosto de 2025, as obrigações de transparência são devidas em agosto de 2026, e as obrigações do deployer em alto risco que remodelam a arquitetura de compras aplicam-se a partir de 2 de dezembro de 2027 ^[1]. O acordo político omnibus de 7 de maio de 2026 reconfirmou esse marco de 2 de dezembro de 2027 e acrescentou novas proibições ^[2], retirando a qualquer equipa de compras a esperança de que o prazo escorregasse.

O Act distingue entre o provider e o deployer de um sistema de IA. As obrigações do deployer incluem supervisão humana, monitorização, retenção de registos e demonstração destas capacidades quando solicitado ^[1]. Crucialmente, a obrigação recai sobre o deployer — o banco, o hospital, a agência — e não sobre o fornecedor do LLM.

Esse único facto jurídico foi o que inverteu a arquitetura. Uma obrigação do deployer não pode ser satisfeita por uma certificação do fornecedor. A aquisição cloud-first assumia que as certificações do fornecedor eram um substituto para a postura de conformidade do deployer. A aquisição residência-first é o que o deployer faz quando essa assunção deixa de se sustentar.

Os sinais que confirmaram a mudança

Três sinais em 2026 confirmaram a residência-first como uma direção transjurisdicional, não como uma peculiaridade europeia.

Perfil do NIST AI RMF para Infraestruturas Críticas, 7 de abril de 2026. ^[4] O primeiro enquadramento federal nos EUA das obrigações do deployer do AI RMF para operadores de infraestruturas críticas. Em fase de nota conceptual, não finalizado, mas a direção é inequívoca: a contratação federal dos EUA caminha para o mesmo enquadramento de obrigações do deployer que a UE codificou.

OECD AI Policy Toolkit, 3 de junho de 2026. ^[5] Linguagem OCDE para "os princípios estão fixados; o estrangulamento é a implementação". O enquadramento do Toolkit corresponde suficientemente à trajetória da UE e dos EUA para que uma empresa multinacional que desenhe uma vez para a jurisdição mais estrita satisfaça as restantes.

A compressão dos ciclos de negócio da a16z continua. O inquérito de 2024 ^[3] captou o formato inicial; em 2026 os produtos que se enquadram nos requisitos das obrigações do deployer passam pelas compras em semanas, enquanto os que não se enquadram continuam a levar um ano ou mais. O sinal do mercado é a própria velocidade da decisão de compras.

Que aspeto tem a residência-first em termos de arquitetura

A arquitetura para a qual os sinais convergem tem quatro propriedades:

Inferência local ao deployer. Quer no dispositivo do utilizador, quer num servidor operado pelo deployer. Os prompts e as respostas nunca saem do perímetro do deployer.
Registos de auditoria sem conteúdo, propriedade do deployer. Cada ação administrativa registada com timestamp e ator, no SIEM do deployer. Sem prompts ou respostas na linha de auditoria; a linha é a evidência, o conteúdo é do deployer, a conservar.
Identidade através do IdP do deployer. OIDC contra Microsoft Entra ID ou Google Workspace; controlos de acesso existentes aplicam-se inalterados.
Sem tenant do lado do fornecedor. O fornecedor não opera o runtime, não vê os dados e não é ponto de falha para a postura de conformidade.

As APIs de LLM em nuvem podem implementar as propriedades 1–3 com algum esforço. A propriedade 4, estruturalmente, não conseguem — operar o runtime é o que faz delas uma API de LLM em nuvem. A residência-first trata isso como restrição arquitetural, não como critério de seleção de fornecedor.

O que isto significa para uma empresa que compra IA em 2026

Três implicações concretas.

Primeiro, os questionários a fornecedores precisam de ser remodelados. As perguntas que um deployer fazia em 2024 eram sobre as certificações do fornecedor. As perguntas que um deployer faz em 2026 são sobre as propriedades da arquitetura de implantação acima. As equipas de compras que ainda não reescreveram o seu modelo são as que reportam ciclos de compra parados — ver Porque é que as implantações de IA on-prem ficam paradas em compras para o padrão completo.

Segundo, a jurisdição mais estrita determina a arquitetura. Um deployer multinacional que desenhe contra as obrigações do EU AI Act para 2 de dezembro de 2027 ^[1] não falhará requisitos dos EUA, do Reino Unido, japoneses ou singapurenses — ver o artigo sobre conformidade com o EU AI Act para o mapeamento por obrigação. A convergência transjurisdicional que o Toolkit da OCDE ^[5] documenta é o que torna uma única arquitetura viável.

Terceiro, a aritmética do ciclo de compras mudou. Produtos que encaixam na residência-first fecham em 2–3 meses; os que não encaixam levam 12+ ^[3]. As empresas que compram IA em 2026 devem precificar o encaixe arquitetural antes do custo por lugar — um atraso de 9 meses nas compras é mais caro do que qualquer diferencial por lugar.

Referências

Comissão Europeia. "AI Act — Regulatory framework on AI." digital-strategy.ec.europa.eu. Acedido a 2026-07-22.
Comissão Europeia. "AI Act omnibus political agreement, 7 May 2026." digital-strategy.ec.europa.eu. Acedido a 2026-07-22.
Andreessen Horowitz. "State of Generative AI in the Enterprise." a16z.com/generative-ai-enterprise-2024. Publicado a 21 de março de 2024. Acedido a 2026-07-22.
NIST. "AI Risk Management Framework." nist.gov/itl/ai-risk-management-framework. Acedido a 2026-07-22. Nota conceptual sobre Infraestruturas Críticas divulgada a 7 de abril de 2026.
OECD AI Policy Observatory. "AI Policy Toolkit." oecd.ai/en/wonk. Acedido a 2026-07-22. Divulgado a 3 de junho de 2026.

Percorra a mudança arquitetural sobre uma carga de trabalho real.

Implantar a plataforma dentro do seu próprio ambiente coloca as quatro propriedades residência-first — inferência, auditoria, identidade, sem tenant de fornecedor — onde as pode testar, com a equipa de conformidade a redigir o memorando das obrigações do deployer contra os seus próprios registos.

Fale connosco sobre IA on-prem