Enterprise AI-inkoop in 2024 had een standaard: cloud-first. Tegen midden 2026 is die standaard omgedraaid. Verplichtingen voor implementatoren onder de EU AI-verordening, de richting van NIST voor kritieke infrastructuur en het beleidsinstrumentarium van de OESO hebben de architecturale beslissing vóór de leverancierskeuze geplaatst. Residency-first — houd de inferentie-inhoud waar de implementator al alles anders beheert — is de nieuwe standaard. De verschuiving duurde 24 maanden.

Dit artikel volgt de signalen en wat ze betekenen voor een onderneming die in 2026 AI aanschaft.

Het cloud-first tijdperk en wat eraan werkte

Gedurende 2023 en begin 2024 volgde enterprise AI-aankoop het bredere patroon van cloudsoftware. Een leverancier bood een beheerde LLM-API aan, de implementator integreerde daarmee, de inferentie vond plaats op de infrastructuur van de leverancier, en het compliance-team van de implementator accepteerde de certificeringen van de leverancier (SOC 2, ISO 27001, GDPR-conforme DPA) als voldoende bewijs. Dit was eenvoudig te verwerven, snel te evalueren en goed afgestemd op hoe ondernemingen het afgelopen decennium SaaS hadden aangeschaft.

De enterprise-enquête van a16z uit maart 2024 legde het late cloud-first moment vast: 72% van de ondernemingen gebruikte een API om toegang te krijgen tot hun model, meer dan de helft gebruikte het model gehost door hun cloudserviceprovider, en "deals die vroeger meer dan een jaar duurden om te sluiten, worden nu in 2 of 3 maanden afgerond" voor producten die aan de nieuwe eisen voldoen [3]. Zelfs midden 2024 begonnen de nieuwe eisen al de dealcurve te beïnvloeden.

Wat brak

De EU AI-verordening trad in werking in augustus 2024. Verboden AI-praktijken werden van kracht op 2 februari 2025, governance- en GPAI-verplichtingen op 2 augustus 2025, transparantieverplichtingen zijn gepland voor augustus 2026, en de verplichtingen voor hoog-risico implementatoren die de inkooparchitectuur hervormen, gelden vanaf 2 december 2027 [1]. De politieke omnibusovereenkomst van 7 mei 2026 bevestigde die mijlpaal van 2 december 2027 en voegde nieuwe verboden toe [2], waarmee elke hoop van inkoopteams dat de deadline zou worden uitgesteld, werd weggenomen.

De verordening maakt onderscheid tussen de aanbieder en de implementator van een AI-systeem. Verplichtingen voor implementatoren omvatten menselijke supervisie, monitoring, het bewaren van logs en het aantonen van deze mogelijkheden op verzoek [1]. Cruciaal is dat de verplichting bij de implementator ligt — de bank, het ziekenhuis, het agentschap — en niet bij de LLM-leverancier.

Dat ene juridische feit is wat de architectuur deed kantelen. Een verplichting voor de implementator kan niet worden voldaan door een leverancierscertificering. Cloud-first inkoop ging ervan uit dat de certificeringen van de leverancier een proxy waren voor de compliancehouding van de implementator. Residency-first inkoop is wat de implementator doet wanneer die aanname niet langer geldt.

De signalen die het bevestigden

Drie signalen in 2026 bevestigden residency-first als een jurisdictie-overschrijdende richting, geen Europese eigenaardigheid.

NIST AI RMF Critical Infrastructure profiel, 7 april 2026. [4] De eerste Amerikaanse federale afbakening van AI RMF-verplichtingen voor implementatoren bij kritieke infrastructuurbeheerders. Conceptnota-fase, nog niet afgerond, maar de richting is ondubbelzinnig: federale inkoop in de VS beweegt naar dezelfde implementatorverplichting zoals de EU die heeft gecodificeerd.

OECD AI Policy Toolkit, 3 juni 2026. [5] OECD-taal voor "de principes zijn vastgesteld; de bottleneck is implementatie". De framing van de Toolkit komt zo dicht bij de EU- en VS-trajecten dat een multinationale onderneming die eenmaal ontwerpt voor de strengste jurisdictie nu aan de rest voldoet.

a16z deal-cycle compressie gaat door. De enquête van 2024 [3] ving de vroege vorm; in 2026 klaren producten die aan de implementatorverplichtingen voldoen de inkoop binnen weken, terwijl producten die dat niet doen nog een jaar of langer nodig hebben. Het marktsignaal is de snelheid van de inkoopbeslissing zelf.

Hoe residency-first er architectonisch uitziet

De architectuur waarop de signalen samenkomen heeft vier eigenschappen:

  1. Inferentie lokaal bij de implementator. Ofwel op het apparaat van de gebruiker of op een server die de implementator beheert. Prompts en reacties verlaten nooit de perimeter van de implementator.
  2. Inhoudsvrije auditlogs die eigendom zijn van de implementator. Elke administratieve handeling wordt gelogd met tijdstempel en actor, in de SIEM van de implementator. Geen prompts of reacties in de auditregel; de regel is het bewijs, de inhoud is voor de implementator om te bewaren.
  3. Identiteit via de IdP van de implementator. OIDC tegen Microsoft Entra ID of Google Workspace; bestaande toegangscontroles blijven ongewijzigd van toepassing.
  4. Geen door leverancier beheerde inferentie-tenant. De leverancier beheert de modelruntime niet en ontvangt geen inferentie-inhoud via dit pad. Licenties, identiteit, beleid, fleet, geaggregeerd gebruik en ondersteuningsdiensten kunnen nog steeds door de leverancier worden beheerd en moeten worden meegenomen in de datastroom- en beschikbaarheidsbeoordeling.

Cloud LLM API's kunnen eigenschappen 1–3 met inspanning implementeren. Eigenschap 4 is het architectonische onderscheid: het beheren van de inferentie-runtime is wat hen tot een cloud LLM API maakt. Residency-first betekent niet dat elk control-plane record lokaal is, dus kopers moeten die resterende diensten afzonderlijk evalueren.

Wat dit betekent voor een onderneming die in 2026 AI koopt

Drie concrete implicaties.

Ten eerste moeten leveranciersvragenlijsten worden herzien. De vragen die een implementator in 2024 stelde, gingen over de certificeringen van de leverancier. De vragen die een implementator in 2026 stelt, gaan over de hierboven genoemde eigenschappen van de implementatiearchitectuur. Inkoopteams die hun sjabloon nog niet hebben herschreven, zijn degenen die vastgelopen inkoopcycli rapporteren — zie Waarom on-prem AI-implementaties vastlopen in inkoop voor het volledige patroon.

Ten tweede bepaalt de strengste jurisdictie de architectuur. Een multinationale implementator die ontwerpt op basis van de verplichtingen van de EU AI Act van 2 december 2027 [1] zal niet falen voor de eisen van de VS, het VK, Japan of Singapore — zie het EU AI Act nalevingsartikel voor de mapping per verplichting. De jurisdictie-overstijgende convergentie die de OECD Toolkit [5] documenteert, is wat één architectuur haalbaar maakt.

Ten derde is de rekensom van de inkoopcyclus veranderd. Producten die passen bij residency-first sluiten binnen 2–3 maanden; producten die dat niet doen, nemen 12+ maanden in beslag [3]. Ondernemingen die in 2026 AI aanschaffen, moeten de architecturale geschiktheid prijzen vóór de kosten per gebruiker — een inkoopvertraging van 9 maanden is duurder dan welk verschil in kosten per gebruiker dan ook.

Referenties

  1. Europese Commissie. "AI Act — Regelgevend kader voor AI." https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Geraadpleegd op 22-07-2026.
  2. Europese Commissie. "AI Act omnibus politiek akkoord, 7 mei 2026." https://digital-strategy.ec.europa.eu/. Geraadpleegd op 22-07-2026.
  3. Andreessen Horowitz. "State of Generative AI in the Enterprise." https://a16z.com/generative-ai-enterprise-2024/. Gepubliceerd 21 maart 2024. Geraadpleegd op 22-07-2026.
  4. NIST. "AI Risk Management Framework." https://www.nist.gov/itl/ai-risk-management-framework. Geraadpleegd op 22-07-2026. Conceptnota Kritieke Infrastructuur uitgebracht op 7 april 2026.
  5. OECD AI Policy Observatory. "AI Policy Toolkit." https://oecd.ai/en/wonk. Geraadpleegd op 22-07-2026. Uitgebracht op 3 juni 2026.