Företagsinköp av AI 2024 hade en standard: cloud-first. I mitten av 2026 har standarden vänt. Deployer-åtaganden enligt EU:s AI-förordning, NIST:s riktlinjer för kritisk infrastruktur och OECD:s policyramverk har flyttat arkitekturvalet före leverantörsvalet. Residency-first — att hålla inferensinnehållet där deployern redan hanterar allt annat — är den nya standarden. Skiftet tog 24 månader.

Denna artikel följer signalerna och vad de betyder för ett företag som köper AI 2026.

Cloud-first-eran och vad som fungerade med den

Under 2023 och in i början av 2024 följde företagsköp av AI det bredare mönstret för molnprogramvara. En leverantör erbjöd en hanterad LLM-API, deployern integrerade mot den, inferensen skedde på leverantörens infrastruktur och deployerns compliance-team accepterade leverantörens certifieringar (SOC 2, ISO 27001, GDPR-anpassat DPA) som tillräckligt bevis. Detta var enkelt att upphandla, snabbt att utvärdera och väl anpassat till hur företag köpt SaaS under det föregående decenniet.

a16z:s företagsundersökning från mars 2024 fångade det sena cloud-first-ögonblicket: 72 % av företagen använde en API för att nå sin modell, över hälften använde modellen som hostades av deras molntjänstleverantör, och "affärer som tidigare tog över ett år att slutföra genomförs nu på 2 eller 3 månader" för produkter som uppfyller de nya kraven [3]. Redan i mitten av 2024 började de nya kraven påverka affärskurvan.

Vad som bröt

EU:s AI-förordning trädde i kraft i augusti 2024. Förbjudna AI-praktiker blev effektiva 2 februari 2025, styrning och GPAI-åtaganden 2 augusti 2025, transparensåtaganden ska uppfyllas augusti 2026 och de högrisk-deployer-åtaganden som omformar upphandlingsarkitekturen gäller från 2 december 2027 [1]. Den 7 maj 2026 bekräftade det politiska omnikommittéavtalet återigen milstolpen 2 december 2027 och lade till nya förbud [2], vilket tog bort alla förhoppningar i upphandlingsteamet om att tidsfristen skulle skjutas upp.

Förordningen skiljer mellan leverantören och deployern av ett AI-system. Deployer-åtaganden inkluderar mänsklig övervakning, övervakning, loggbevarande och att på begäran visa dessa förmågor [1]. Avgörande är att åtagandet ligger på deployern — banken, sjukhuset, myndigheten — inte på LLM-leverantören.

Denna enda juridiska fakta är vad som vände arkitekturen. Ett deployer-åtagande kan inte uppfyllas genom en leverantörscertifiering. Cloud-first-upphandling antog att leverantörens certifieringar var en proxy för deployerns efterlevnadsstatus. Residency-first-upphandling är vad deployern gör när den antagandet inte längre gäller.

Signalerna som bekräftade det

Tre signaler under 2026 bekräftade residency-first som en riktning över jurisdiktioner, inte en europeisk särart.

NIST AI RMF Critical Infrastructure-profil, 7 april 2026. [4] Den första amerikanska federala avgränsningen av AI RMF-krav för operatörer av kritisk infrastruktur. Konceptnoteringsfas, inte slutförd, men riktningen är entydig: amerikanska federala upphandlingar går mot samma deployer-ansvarsram som EU har kodifierat.

OECD AI Policy Toolkit, 3 juni 2026. [5] OECD-språk för "principerna är fastställda; flaskhalsen är implementeringen". Toolkits ramverk överensstämmer så pass väl med EU:s och USA:s utveckling att ett multinationellt företag som designar för den striktaste jurisdiktionen nu uppfyller kraven i övriga.

a16z:s fortsatta komprimering av affärscykler. Undersökningen 2024 [3] fångade den tidiga formen; år 2026 klarar produkter som uppfyller deployer-ansvarskrav upphandlingar på veckor, medan produkter som inte gör det fortfarande tar ett år eller mer. Marknadssignalen är själva upphandlingsbeslutets hastighet.

Hur residency-first ser ut arkitektoniskt

Arkitekturen som signalerna konvergerar mot har fyra egenskaper:

  1. Inferens lokal hos deployern. Antingen på användarens enhet eller på en server som deployern driver. Prompter och svar lämnar aldrig deployerns perimeter.
  2. Innehållsfria revisionsloggar som deployern äger. Varje administrativ åtgärd loggas med tidsstämpel och aktör i deployerns SIEM. Inga prompter eller svar i revisionsraden; raden är beviset, innehållet är deployerns att behålla.
  3. Identitet via deployerns IdP. OIDC mot Microsoft Entra ID eller Google Workspace; befintliga åtkomstkontroller gäller oförändrade.
  4. Ingen leverantörsdriven inferenstjänst. Leverantören driver inte modellkörningen eller tar emot inferensinnehåll via denna väg. Licensiering, identitet, policy, fleet, aggregerad användning och supporttjänster kan fortfarande vara leverantörsdrivna och måste inkluderas i dataflödes- och tillgänglighetsgranskningen.

Cloud LLM API:er kan implementera egenskaperna 1–3 med ansträngning. Egenskap 4 är den arkitektoniska skillnaden: att driva inferenskörningen är vad som gör dem till ett cloud LLM API. Residency-first betyder inte att varje kontrollplanspost är lokal, så köpare bör utvärdera dessa återstående tjänster separat.

Vad detta innebär för ett företag som köper AI år 2026

Tre konkreta konsekvenser.

För det första behöver leverantörsformulär omformas. Frågorna en implementerare ställde 2024 handlade om leverantörens certifieringar. Frågorna en implementerare ställer 2026 handlar om egenskaperna i distributionsarkitekturen ovan. Upphandlingsteam som ännu inte har omskrivit sin mall är de som rapporterar om stillastående inköpscykler — se Varför lokala AI-implementationer fastnar i upphandling för hela mönstret.

För det andra sätter den striktaste jurisdiktionen arkitekturen. En multinationell implementerare som designar efter EU:s AI-förordnings skyldigheter från 2 december 2027 [1] kommer inte att misslyckas med krav från USA, Storbritannien, Japan eller Singapore — se EU AI-förordningens efterlevnadsartikel för kartläggning per skyldighet. Den tvärjurisdiktionella konvergens som OECD Toolkit [5] dokumenterar är det som gör en arkitektur möjlig.

För det tredje har matematiken i upphandlingscykeln förändrats. Produkter som passar för residency-first avslutas på 2–3 månader; produkter som inte gör det tar 12+ [3]. Företag som köper AI 2026 bör prissätta arkitekturens passform före kostnaden per plats — en 9 månaders upphandlingsfördröjning är dyrare än någon skillnad i kostnad per plats.

Referenser

  1. Europeiska kommissionen. "AI Act — Regulatoriskt ramverk för AI." https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai. Hämtad 2026-07-22.
  2. Europeiska kommissionen. "AI Act omnibus politiskt avtal, 7 maj 2026." https://digital-strategy.ec.europa.eu/. Hämtad 2026-07-22.
  3. Andreessen Horowitz. "State of Generative AI in the Enterprise." https://a16z.com/generative-ai-enterprise-2024/. Publicerad 21 mars 2024. Hämtad 2026-07-22.
  4. NIST. "AI Risk Management Framework." https://www.nist.gov/itl/ai-risk-management-framework. Åtkomst 2026-07-22. Konceptdokument för kritisk infrastruktur publicerat 7 april 2026.
  5. OECD AI Policy Observatory. "AI Policy Toolkit." https://oecd.ai/en/wonk. Åtkomst 2026-07-22. Publicerat 3 juni 2026.