L'achat d'IA d'entreprise en 2024 avait un paramètre par défaut : cloud-first. À la mi-2026, ce paramètre s'est inversé. Les obligations des déployeurs sous le règlement européen sur l'IA, l'orientation du NIST pour les infrastructures critiques, et la boîte à outils politique de l'OCDE ont déplacé la décision architecturale avant celle du fournisseur. Résidence des données d'abord — conserver le contenu d'inférence là où le déployeur gère déjà tout le reste — est le nouveau paramètre par défaut. Ce changement a pris 24 mois.

Cet article retrace les signaux et ce qu'ils signifient pour une entreprise qui achète de l'IA en 2026.

L'ère cloud-first et ce qui fonctionnait

De 2023 jusqu'au début 2024, l'achat d'IA d'entreprise suivait le modèle plus large du logiciel cloud. Un fournisseur proposait une API LLM gérée, le déployeur s'y intégrait, l'inférence se faisait sur l'infrastructure du fournisseur, et l'équipe conformité du déployeur acceptait les certifications du fournisseur (SOC 2, ISO 27001, DPA conforme au RGPD) comme preuve suffisante. C'était simple à acquérir, rapide à évaluer, et bien adapté à la manière dont les entreprises achetaient du SaaS la décennie précédente.

L'enquête d'a16z auprès des entreprises en mars 2024 a capturé ce moment tardif du cloud-first : 72 % des entreprises utilisaient une API pour accéder à leur modèle, plus de la moitié utilisaient le modèle hébergé par leur fournisseur de services cloud, et « les accords qui prenaient auparavant plus d'un an à se conclure sont désormais finalisés en 2 ou 3 mois » pour les produits répondant aux nouvelles exigences [3]. Même à la mi-2024, les nouvelles exigences commençaient déjà à infléchir la courbe des négociations.

Ce qui a cassé

Le règlement européen sur l'IA est entré en vigueur en août 2024. Les pratiques d'IA interdites sont devenues effectives le 2 février 2025, les obligations de gouvernance et GPAI le 2 août 2025, les obligations de transparence sont prévues pour août 2026, et les obligations des déployeurs à haut risque qui reconfigurent l'architecture des achats s'appliquent à partir du 2 décembre 2027 [1]. L'accord politique omnibus du 7 mai 2026 a reconfirmé cette échéance du 2 décembre 2027 et ajouté de nouvelles interdictions [2], supprimant tout espoir pour les équipes d'achat que ce délai soit repoussé.

Le règlement distingue entre le fournisseur et le déployeur d'un système d'IA. Les obligations du déployeur incluent la supervision humaine, la surveillance, la conservation des journaux, et la démonstration de ces capacités sur demande [1]. Crucialement, l'obligation incombe au déployeur — la banque, l'hôpital, l'agence — et non au fournisseur du LLM.

Ce fait juridique unique est ce qui a renversé l'architecture. Une obligation du déployeur ne peut être satisfaite par une certification du fournisseur. L'achat cloud-first supposait que les certifications du fournisseur étaient un substitut à la posture de conformité du déployeur. L'achat résidence-d'abord est ce que fait le déployeur lorsque cette hypothèse ne tient plus.

Les signaux qui l'ont confirmé

Trois signaux en 2026 ont confirmé que la priorité à la résidence est une orientation inter-juridictionnelle, et non une particularité européenne.

Profil NIST AI RMF pour les infrastructures critiques, 7 avril 2026. [4] Première définition fédérale américaine des obligations des déployeurs selon l'AI RMF pour les opérateurs d'infrastructures critiques. Stade de note conceptuelle, non finalisé, mais la direction est sans équivoque : les marchés publics fédéraux américains se dirigent vers le même cadre d'obligations des déployeurs que celui codifié par l'UE.

Boîte à outils politique de l'OCDE sur l'IA, 3 juin 2026. [5] Expression de l'OCDE signifiant « les principes sont établis ; le goulot d'étranglement est la mise en œuvre ». Le cadrage de la Boîte à outils correspond suffisamment à la trajectoire de l'UE et des États-Unis pour qu'une entreprise multinationale concevant une fois pour la juridiction la plus stricte satisfasse désormais les autres.

Compression du cycle de transaction a16z en cours. L'enquête de 2024 [3] a saisi la forme initiale ; en 2026, les produits répondant aux exigences d'obligation des déployeurs obtiennent un accord d'achat en quelques semaines, tandis que ceux qui ne les respectent pas prennent encore un an ou plus. Le signal du marché est la rapidité même de la décision d'achat.

À quoi ressemble la priorité à la résidence sur le plan architectural

L'architecture sur laquelle convergent les signaux présente quatre caractéristiques :

  1. Inférence locale chez le déployeur. Soit sur l'appareil de l'utilisateur, soit sur un serveur exploité par le déployeur. Les requêtes et réponses ne quittent jamais le périmètre du déployeur.
  2. Journaux d'audit sans contenu que le déployeur possède. Chaque action administrative est enregistrée avec horodatage et acteur, dans le SIEM du déployeur. Aucune requête ni réponse dans la ligne d'audit ; la ligne constitue la preuve, le contenu appartient au déployeur pour conservation.
  3. Identité via l'IdP du déployeur. OIDC contre Microsoft Entra ID ou Google Workspace ; les contrôles d'accès existants s'appliquent sans changement.
  4. Aucun locataire d'inférence exploité par le fournisseur. Le fournisseur n'exploite pas le runtime du modèle ni ne reçoit le contenu d'inférence sur ce chemin. Les services de licence, d'identité, de politique, de flotte, d'usage agrégé et de support peuvent toujours être exploités par le fournisseur et doivent être inclus dans la revue des flux de données et de disponibilité.

Les API LLM cloud peuvent mettre en œuvre les propriétés 1 à 3 avec effort. La propriété 4 est la distinction architecturale : exploiter le runtime d'inférence est ce qui fait d'elles une API LLM cloud. Priorité à la résidence ne signifie pas que chaque enregistrement du plan de contrôle est local, donc les acheteurs doivent évaluer ces services restants séparément.

Ce que cela signifie pour une entreprise achetant de l'IA en 2026

Trois implications concrètes.

Premièrement, les questionnaires fournisseurs doivent être repensés. Les questions posées par un déployeur en 2024 portaient sur les certifications du fournisseur. Les questions posées en 2026 concernent les propriétés de l'architecture de déploiement mentionnées ci-dessus. Les équipes d'approvisionnement qui n'ont pas encore réécrit leur modèle sont celles qui signalent des cycles d'achat bloqués — voir Pourquoi les déploiements d'IA sur site bloquent dans les achats pour le schéma complet.

Deuxièmement, la juridiction la plus stricte détermine l'architecture. Un déployeur multinational concevant en conformité avec les obligations du règlement européen sur l'IA du 2 décembre 2027 [1] ne manquera pas les exigences américaines, britanniques, japonaises ou singapouriennes — voir l'article Conformité au règlement européen sur l'IA pour la cartographie par obligation. La convergence inter-juridictionnelle documentée par la Boîte à outils de l'OCDE [5] est ce qui rend une architecture viable.

Troisièmement, les calculs du cycle d'approvisionnement ont changé. Les produits conformes à la résidence des données se concluent en 2 à 3 mois ; ceux qui ne le sont pas prennent 12 mois ou plus [3]. Les entreprises achetant de l'IA en 2026 doivent évaluer l'adéquation architecturale avant le coût par poste — un retard d'approvisionnement de 9 mois coûte plus cher que toute différence de coût par poste.

Références

  1. Commission européenne. « Règlement sur l'IA — Cadre réglementaire sur l'IA. » https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Consulté le 22-07-2026.
  2. Commission européenne. « Accord politique omnibus sur le règlement IA, 7 mai 2026. » https://digital-strategy.ec.europa.eu/. Consulté le 22-07-2026.
  3. Andreessen Horowitz. « État de l'IA générative en entreprise. » https://a16z.com/generative-ai-enterprise-2024/. Publié le 21 mars 2024. Consulté le 22-07-2026.
  4. NIST. « Cadre de gestion des risques liés à l'IA. » https://www.nist.gov/itl/ai-risk-management-framework. Consulté le 22 juillet 2026. Note conceptuelle sur les infrastructures critiques publiée le 7 avril 2026.
  5. Observatoire des politiques d'IA de l'OCDE. « Boîte à outils pour les politiques d'IA. » https://oecd.ai/en/wonk. Consulté le 22 juillet 2026. Publié le 3 juin 2026.