A aquisição de IA empresarial em 2024 tinha um padrão: cloud-first. Em meados de 2026, o padrão mudou. As obrigações do implementador sob o EU AI Act, a direção para infraestrutura crítica do NIST e o conjunto de políticas da OCDE moveram a decisão arquitetural antes da decisão do fornecedor. Residency-first — manter o conteúdo da inferência onde o implementador já gerencia todo o resto — é o novo padrão. A mudança levou 24 meses.

Este artigo traça os sinais e o que eles significam para uma empresa que está comprando IA em 2026.

A era cloud-first e o que funcionou nela

Durante 2023 e início de 2024, a compra de IA empresarial seguiu o padrão mais amplo de software em nuvem. Um fornecedor oferecia uma API gerenciada de LLM, o implementador integrava-se a ela, a inferência ocorria na infraestrutura do fornecedor, e a equipe de conformidade do implementador aceitava as certificações do fornecedor (SOC 2, ISO 27001, DPA alinhado ao GDPR) como evidência suficiente. Isso era simples de adquirir, rápido de avaliar e bem alinhado à forma como as empresas compravam SaaS na década anterior.

A pesquisa empresarial da a16z de março de 2024 capturou o momento final do cloud-first: 72% das empresas usavam uma API para acessar seu modelo, mais da metade usava o modelo hospedado pelo seu provedor de serviços em nuvem, e "negócios que antes levavam mais de um ano para fechar estão sendo concluídos em 2 ou 3 meses" para produtos que atendem aos novos requisitos [3]. Mesmo em meados de 2024, os novos requisitos já começavam a influenciar a curva de negócios.

O que quebrou

O EU AI Act entrou em vigor em agosto de 2024. Práticas proibidas de IA tornaram-se efetivas em 2 de fevereiro de 2025, obrigações de governança e GPAI em 2 de agosto de 2025, obrigações de transparência previstas para agosto de 2026, e as obrigações do implementador de alto risco que remodelam a arquitetura de aquisição aplicam-se a partir de 2 de dezembro de 2027 [1]. O acordo político omnibus de 7 de maio de 2026 reconfirmou esse marco de 2 de dezembro de 2027 e adicionou novas proibições [2], eliminando qualquer esperança da equipe de aquisição de que o prazo fosse adiado.

O Act distingue entre o fornecedor e o implementador de um sistema de IA. As obrigações do implementador incluem supervisão humana, monitoramento, retenção de logs e demonstração dessas capacidades mediante solicitação [1]. Crucialmente, a obrigação é do implementador — o banco, o hospital, a agência — não do fornecedor do LLM.

Esse único fato legal é o que mudou a arquitetura. Uma obrigação do implementador não pode ser satisfeita por uma certificação do fornecedor. A aquisição cloud-first assumia que as certificações do fornecedor eram um substituto para a postura de conformidade do implementador. A aquisição residency-first é o que o implementador faz quando essa suposição não se mantém.

Os sinais que o confirmaram

Três sinais em 2026 confirmaram o residency-first como uma direção interjurisdicional, e não uma peculiaridade europeia.

Perfil de Infraestrutura Crítica do NIST AI RMF, 7 de abril de 2026. [4] A primeira delimitação federal dos EUA das obrigações do implementador do AI RMF para operadores de infraestrutura crítica. Estágio de nota conceitual, não finalizado, mas a direção é inequívoca: a aquisição federal dos EUA está caminhando para a mesma estrutura de obrigações do implementador que a UE codificou.

Kit de Ferramentas de Políticas de IA da OCDE, 3 de junho de 2026. [5] Linguagem da OCDE para "os princípios estão definidos; o gargalo é a implementação". A estrutura do Kit de Ferramentas corresponde suficientemente à trajetória da UE e dos EUA, de modo que uma empresa multinacional que projeta uma vez para a jurisdição mais rigorosa agora satisfaz as demais.

Compressão do ciclo de negócios da a16z continua. A pesquisa de 2024 [3] captou a forma inicial; em 2026, os produtos que atendem aos requisitos de obrigação do implementador aprovam a aquisição em semanas, enquanto os produtos que não atendem ainda levam um ano ou mais. O sinal do mercado é a velocidade da decisão de aquisição em si.

Como o residency-first se apresenta arquitetonicamente

A arquitetura na qual os sinais convergem tem quatro propriedades:

  1. Inferência local ao implementador. Ou no dispositivo do usuário ou em um servidor operado pelo implementador. Prompts e respostas nunca saem do perímetro do implementador.
  2. Registros de auditoria sem conteúdo que pertencem ao implementador. Cada ação administrativa registrada com carimbo de data/hora e ator, no SIEM do implementador. Nenhum prompt ou resposta na linha de auditoria; a linha é a evidência, o conteúdo é do implementador para reter.
  3. Identidade por meio do IdP do implementador. OIDC contra Microsoft Entra ID ou Google Workspace; os controles de acesso existentes aplicam-se sem alterações.
  4. Nenhum locatário de inferência operado pelo fornecedor. O fornecedor não opera o runtime do modelo nem recebe conteúdo de inferência por este caminho. Serviços de licenciamento, identidade, política, frota, uso agregado e suporte ainda podem ser operados pelo fornecedor e devem ser incluídos na revisão do fluxo de dados e disponibilidade.

APIs de LLM em nuvem podem implementar as propriedades 1 a 3 com esforço. A propriedade 4 é a distinção arquitetônica: operar o runtime de inferência é o que os torna uma API de LLM em nuvem. Residency-first não significa que todo registro do plano de controle seja local, portanto os compradores devem avaliar esses serviços remanescentes separadamente.

O que isso significa para uma empresa que compra IA em 2026

Três implicações concretas.

Primeiro, os questionários para fornecedores precisam ser reformulados. As perguntas que um implementador fazia em 2024 eram sobre as certificações do fornecedor. As perguntas que um implementador faz em 2026 são sobre as propriedades da arquitetura de implantação mencionadas acima. As equipes de compras que ainda não reescreveram seu modelo são as que relatam ciclos de compra paralisados — veja Por que as implantações de IA on-premises travam na aquisição para o padrão completo.

Segundo, a jurisdição mais rigorosa define a arquitetura. Um implementador multinacional que projeta conforme as obrigações do Regulamento de IA da UE de 2 de dezembro de 2027 [1] não falhará nos requisitos dos EUA, Reino Unido, Japão ou Singapura — veja o artigo sobre conformidade com o Regulamento de IA da UE para o mapeamento por obrigação. A convergência entre jurisdições documentada no Kit de Ferramentas da OCDE [5] é o que torna uma arquitetura viável.

Terceiro, a matemática do ciclo de compras mudou. Produtos que se encaixam no modelo de residência primeiro fecham em 2–3 meses; produtos que não, levam 12+ [3]. Empresas que compram IA em 2026 devem precificar o ajuste arquitetural antes do custo por assento — um atraso de 9 meses na aquisição é mais caro que qualquer diferença por assento.

Referências

  1. Comissão Europeia. "Regulamento de IA — Estrutura regulatória sobre IA." https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Acesso em 22-07-2026.
  2. Comissão Europeia. "Acordo político omnibus do Regulamento de IA, 7 de maio de 2026." https://digital-strategy.ec.europa.eu/. Acesso em 22-07-2026.
  3. Andreessen Horowitz. "Estado da IA Generativa na Empresa." https://a16z.com/generative-ai-enterprise-2024/. Publicado em 21 de março de 2024. Acesso em 22-07-2026.
  4. NIST. "Estrutura de Gerenciamento de Riscos de IA." https://www.nist.gov/itl/ai-risk-management-framework. Acesso em 22-07-2026. Nota conceptual sobre Infraestrutura Crítica publicada em 7 de abril de 2026.
  5. Observatório de Políticas de IA da OCDE. "Kit de Ferramentas de Políticas de IA." https://oecd.ai/en/wonk. Acesso em 22-07-2026. Publicado em 3 de junho de 2026.