Förskjutningen från cloud-first till data-residency-first vid företagsköp av AI
Företagsupphandling av AI hade 2024 ett utgångsläge: cloud-first. I mitten av 2026 har utgångsläget vänt. Skyldigheter för driftansvariga enligt EU AI Act, NIST:s riktning för kritisk infrastruktur och OECD:s policy-toolkit har flyttat det arkitektoniska beslutet framför leverantörsbeslutet. Residens-först — håll inferensinnehållet där driftansvarig redan hanterar allt annat — är det nya utgångsläget. Förskjutningen tog 24 månader.
Den här artikeln spårar signalerna och vad de betyder för ett företag som köper AI under 2026.
Cloud-first-eran och vad som fungerade med den
Under 2023 och in i början av 2024 följde företagsköp av AI det bredare molnprogramvarumönstret. En leverantör erbjöd en hanterad LLM-API, driftansvarig integrerade mot den, inferensen skedde på leverantörens infrastruktur, och driftansvariges compliance-team accepterade leverantörens certifieringar (SOC 2, ISO 27001, GDPR-anpassat DPA) som tillräckligt bevis. Detta var enkelt att upphandla, snabbt att utvärdera och välmatchat mot hur företag hade köpt SaaS under det föregående decenniet.
a16z:s företagsundersökning från mars 2024 fångade det sena cloud-first-ögonblicket: 72 % av företagen använde ett API för att nå sin modell, över hälften använde modellen hostad av sin molntjänsteleverantör, och ”affärer som tidigare tog över ett år att stänga drivs igenom på 2 eller 3 månader” för produkter som passade de nya kraven [3]. Redan i mitten av 2024 började de nya kraven böja affärskurvan.
Vad som gick sönder
EU AI Act trädde i kraft i augusti 2024. Förbjudna AI-praktiker blev verksamma den 2 februari 2025, styrnings- och GPAI-skyldigheter den 2 augusti 2025, transparensskyldigheter förfaller i augusti 2026, och de skyldigheter för driftansvariga för högrisk-AI som omformar upphandlingsarkitekturen gäller från den 2 december 2027 [1]. Den politiska omnibusöverenskommelsen den 7 maj 2026 återbekräftade milstolpen 2 december 2027 och lade till nya förbud [2], vilket tog bort varje inköpsteams hopp om att deadlinen skulle skjutas upp.
Akten skiljer mellan leverantören och driftansvarig för ett AI-system. Skyldigheterna för driftansvariga omfattar mänsklig tillsyn, övervakning, lagring av loggar och att uppvisa dessa kapaciteter på begäran [1]. Avgörande är att skyldigheten ligger på driftansvarig — banken, sjukhuset, myndigheten — inte på LLM-leverantören.
Det enstaka juridiska faktumet är vad som vände arkitekturen. En skyldighet för driftansvarig kan inte uppfyllas av en leverantörscertifiering. Cloud-first-upphandling antog att leverantörens certifieringar var ombud för driftansvariges efterlevnadshållning. Residens-först-upphandling är vad driftansvarig gör när det antagandet inte längre håller.
Signalerna som bekräftade det
Tre signaler under 2026 bekräftade residens-först som en riktning över jurisdiktioner, inte en europeisk egenhet.
NIST AI RMF Critical Infrastructure-profil, 7 april 2026. [4] Den första amerikanska federala definitionen av AI RMF-skyldigheter för driftansvariga för operatörer av kritisk infrastruktur. Konceptnotsstadium, inte slutförd, men riktningen är otvetydig: amerikansk federal upphandling rör sig mot samma inramning av skyldigheter för driftansvariga som EU har kodifierat.
OECD AI Policy Toolkit, 3 juni 2026. [5] OECD-språk för ”principerna är fastslagna; flaskhalsen är implementering”. Toolkitens inramning matchar EU:s och USA:s utveckling tillräckligt nära för att ett multinationellt företag som utformar en gång för den strängaste jurisdiktionen nu uppfyller resten.
a16z:s fortsatta komprimering av affärscykler. Undersökningen 2024 [3] fångade den tidiga formen; 2026 går produkter som passar krav på skyldigheter för driftansvariga genom upphandling på veckor, medan produkter som inte gör det fortfarande tar ett år eller mer. Marknadssignalen är själva hastigheten i upphandlingsbeslutet.
Hur residens-först ser ut arkitektoniskt
Arkitekturen som signalerna konvergerar mot har fyra egenskaper:
- Inferens lokalt hos driftansvarig. Antingen på användarens enhet eller på en server driftansvarig driver. Prompter och svar lämnar aldrig driftansvariges perimeter.
- Innehållsfria granskningsloggar som driftansvarig äger. Varje administrativ åtgärd loggad med tidsstämpel och aktör, i driftansvariges SIEM. Inga prompter eller svar i granskningsraden; raden är beviset, innehållet är driftansvariges att bevara.
- Identitet via driftansvariges IdP. OIDC mot Microsoft Entra ID eller Google Workspace; befintliga åtkomstkontroller gäller oförändrat.
- Ingen leverantörssidig tenant. Leverantören driver inte körtiden, ser inte datan, är inte en felpunkt för efterlevnadshållningen.
Moln-LLM-API:er kan implementera egenskaperna 1–3 med ansträngning. Egenskap 4 kan de strukturellt inte — att driva körtiden är vad som gör dem till en moln-LLM-API. Residens-först behandlar det som det arkitektoniska villkoret, inte ett urvalskriterium för leverantör.
Vad detta betyder för ett företag som köper AI under 2026
Tre konkreta implikationer.
För det första behöver leverantörsformulär omformas. De frågor en driftansvarig ställde under 2024 handlade om leverantörens certifieringar. De frågor en driftansvarig ställer under 2026 handlar om egenskaperna i distributionsarkitekturen ovan. Inköpsteam som ännu inte skrivit om sin mall är de som rapporterar stoppade köpcykler — se Varför on-prem-AI-distributioner fastnar i inköp för det fullständiga mönstret.
För det andra sätter den strängaste jurisdiktionen arkitekturen. En multinationell driftansvarig som utformar mot EU AI Act:s skyldigheter den 2 december 2027 [1] kommer inte att fallera mot amerikanska, brittiska, japanska eller singaporianska krav — se artikeln om efterlevnad av EU AI Act för den per-skyldighet-baserade avbildningen. Konvergensen över jurisdiktioner som OECD Toolkiten [5] dokumenterar är vad som gör en enda arkitektur livskraftig.
För det tredje har upphandlingscykelns matematik förändrats. Produkter som passar residens-först stängs på 2–3 månader; produkter som inte gör det tar 12+ [3]. Företag som köper AI under 2026 bör prissätta den arkitektoniska passformen före kostnaden per plats — en 9 månaders upphandlingsfördröjning är dyrare än varje differential per plats.
Referenser
- Europeiska kommissionen. ”AI Act — Regulatory framework on AI.” digital-strategy.ec.europa.eu. Hämtad 2026-07-22.
- Europeiska kommissionen. ”AI Act omnibus political agreement, 7 May 2026.” digital-strategy.ec.europa.eu. Hämtad 2026-07-22.
- Andreessen Horowitz. ”State of Generative AI in the Enterprise.” a16z.com/generative-ai-enterprise-2024. Publicerad 21 mars 2024. Hämtad 2026-07-22.
- NIST. ”AI Risk Management Framework.” nist.gov/itl/ai-risk-management-framework. Hämtad 2026-07-22. Konceptnoten om kritisk infrastruktur publicerades den 7 april 2026.
- OECD AI Policy Observatory. ”AI Policy Toolkit.” oecd.ai/en/wonk. Hämtad 2026-07-22. Publicerad 3 juni 2026.
Relaterade artiklar
Gå igenom det arkitektoniska skiftet på en verklig arbetsbelastning.
Att distribuera plattformen inuti din egen miljö placerar de fyra residens-först-egenskaperna — inferens, granskning, identitet, ingen leverantörstenant — där du kan testa dem, med compliance-teamet som skriver PM:et om skyldigheter för driftansvarig mot sina egna loggar.