Is Vercel AI Gateway enterprise-ready? Governance, compliance en dataretentie in 2026

Vercel AI Gateway is een bekwame beheerde router, en voor veel teams is deze vandaag de dag enterprise-ready. Voor anderen is dat niet zo, en de grens daartussen is specifiek in plaats van vaag. Als uw vereisten passen bij een gehoste dienst en de governance-functionaliteiten die u nodig hebt zich in de betaalde niveaus van Vercel bevinden, voldoet het uitstekend. Als prompts binnen uw eigen netwerk moeten blijven, u door de klant te selecteren dataresidentie, native content-guardrails of agent-governance op tool-niveau nodig hebt, loopt u tegen hiaten aan die structureel zijn en niet slechts roadmap-details.

Dit is een review voor de mensen die daadwerkelijk hun handtekening zetten onder een AI-gateway: platform engineering, security en compliance. Het doorloopt de vragen die deze teams stellen tijdens de acquisitie: implementatie en datapad, identiteit en toegangs-governance, compliance-certificeringen, dataresidentie en -retentie, observability en audit, en volwassenheid. Alles hier is afkomstig uit de openbare documentatie van Vercel vanaf september 2026, met screenshots uit een live-account. Waar de documentatie iets niet vastlegt, zeggen we "niet gedocumenteerd" in plaats van te beweren dat de functie ontbreekt, omdat dat verschillende constateringen zijn. Als u eerst achtergrondinformatie over deze categorie wilt, legt onze introductie over wat een LLM-gateway is de basis uit.

Wat enterprise-ready betekent voor een AI-gateway

De term wordt losjes gebruikt, dus hier is de lat waarlangs deze review Vercel legt. Met een enterprise-ready gateway kunt u bepalen waar prompts naartoe reizen, bewijst u wie wat kan doen met echte identiteits- en toegangsbeheerfuncties, beschikt u over de certificeringen waar uw auditors om vragen, krijgt u antwoorden over dataresidentie en -retentie, genereert u een audit-trail en beschikt u over ondersteuning en volwassenheid waar u omheen kunt plannen. Providerdekking en een OpenAI-compatibele API maken een gateway niet enterprise-ready. Elk serieus product heeft die nu. De onderstaande scorecard vat samen hoe Vercel AI Gateway scoort op de dimensies die bepalend zijn voor een security-beoordeling.

Enterprise-readiness in één oogopslag. Groen is gereed, oranje is gedeeltelijk, rood is een hiaat.

Identiteit, toegang en governance

Vercel documenteert de bouwstenen van toegangsbeheer. SAML single sign-on is beschikbaar als betaalde add-on op Pro of via Enterprise, terwijl automatische directory-provisioning via SCIM Enterprise vereist. Workloads authenticeren met team-API-sleutels of project-OIDC-tokens, en de lokale OIDC-geldigheid is gedocumenteerd op 12 uur. De levenscyclus van sleutels is redelijk: sleutels hebben een vervaldatum, verwijdering maakt een sleutel onmiddellijk ongeldig en sleutels die zijn aangemaakt door een vertrekkend teamlid worden gedeactiveerd. De teambeveiligingsinstellingen tonen token-intrekking voor persoonlijke toegangstokens, app-tokens en API Gateway-sleutels.

De hiaten worden zichtbaar in de granulariteit. Teamrollen en model- of providerbeleid bestaan, maar op parameters gebaseerde attribute-based access control en model-scopes per sleutel zijn niet in de documentatie vastgelegd. Specifiek voor agent-governance is een geünificeerde tool-autorisatielaag binnen de Gateway niet gedocumenteerd. Vercel Connect biedt gedelegeerde API-toegang, maar dat is een aangrenzende dienst en geen Gateway MCP-policy-engine. Als u dus van plan bent om agents tools te laten aanroepen onder centraal gehandhaafd beleid, is dit het onderdeel om te testen voordat u zich vastlegt.

Een gerelateerd punt bij de aanschaf is welke opties achter welk abonnement zitten, omdat verschillende governance-functies niet beschikbaar zijn op lagere niveaus:

Multi-tenancy en team-isolatie

Teams bevatten projecten en Gateway-sleutels behoren tot teams, dus de logische afbakening die de meeste organisaties nodig hebben is aanwezig. Wat de documentatie niet vastlegt, is fysieke toegewijde isolatie of noisy-neighbor-garanties, wat van belang is als uw beveiligingsmodel tenant-scheiding onder de logische laag vereist. Er is ook een nuance met betrekking tot budgetten: projectbudgetten zijn van toepassing op OIDC-requests voor implementatie en niet op uitgaven via API-sleutels, waardoor projectkoppeling en kostentoewijzing verschillende vragen beantwoorden. Een native goedkeuringsworkflow voor het aanmaken van sleutels of tenants is evenmin gedocumenteerd, dus self-service governance moet mogelijk om het product heen worden gebouwd in plaats van erin.

Compliance en certificeringen

Vercel documenteert SOC 2 Type 2 en ISO 27001 op platformniveau, HIPAA BAA's voor daarvoor in aanmerking komende Pro- en Enterprise-klanten, en een DPA. Dat dekt een groot deel van de standaard acquisitie-checklists af. Twee zaken vereisen aandacht. Ten eerste zijn de exacte BAA-dekking van de Gateway en providers, evenals de FedRAMP-status, niet vastgelegd in de openbare documentatie; een gereguleerde koper moet deze dus schriftelijk laten vastleggen in plaats van af te leiden uit de platformcertificeringen. Ten tweede vermeldt het eigen beveiligingsbulletin van Vercel een incident in april 2026 met betrekking tot ongeautoriseerde toegang tot interne systemen en het lekken van omgevingsvariabelen van sommige klanten die niet als gevoelig waren gemarkeerd. Dat is platformhistorie, en de bron toont geen Gateway-specifieke inbreuk aan, maar het hoort thuis in een eerlijke enterprise-beoordeling naast de certificeringen. Vercel publiceert een contactpersoon voor verantwoorde openbaarmaking en penetratietestdocumentatie via het Trust Center.

Dataresidentie, retentie en privacy

Dit is het gedeelte dat doorslaggevend pleegt te zijn voor gereguleerde implementaties, en het beeld is wisselend. Aan de positieve kant legt de Gateway de inhoud van prompts en completions niet vast; request-inhoud wordt na voltooiing verwijderd, wat een echt privacyvoordeel is ten opzichte van gateways die standaard alles loggen. U kunt dit zien in de request-logs: elke rij bevat model, provider, tokengebruik, kosten, duur en de authenticatiesleutel, maar geen prompt- of respons-inhoud.

Een inferenceRegion-instelling kan provider-inference en bijbehorende opslag vastzetten op de VS of EU wanneer de provider dit ondersteunt. De request mislukt in plaats van stilzwijgend terug te vallen als er niet aan de regio kan worden voldaan. De beperkingen zijn eveneens concreet en zijn het eenvoudigst te lezen als een tabel:

Een native, configureerbare PII-redactie-engine is niet gedocumenteerd, en ingebouwde content-guardrails of jailbreak-verdediging voor de Gateway zijn niet vastgelegd, dus die beheersmaatregelen zouden in uw applicatie of een afzonderlijke tool moeten plaatsvinden. Zero data retention (ZDR) is beschikbaar als een betaalde optie voor het gehele team, maar Vercel geeft expliciet aan dat ZDR geen architectuur zonder data-egress is: prompts gaan nog steeds via Vercel en de geselecteerde provider. Metadata-retentie per tenant en verwijderings-API's zijn niet vastgelegd. Als uw compliance-beleid vereist dat prompts uw netwerk nooit verlaten, kan een gehoste gateway daar per definitie niet aan voldoen. Dit is het punt waar veel gereguleerde teams kijken naar een implementeerbaar alternatief.

Kosten-governance

Het kostenmodel van Vercel is transparant, wat helpt bij enterprise-planning. De Gateway rekent 0% token-markup, ook op uw eigen provider-sleutels, en budgetten kunnen worden afgebakend per team, OIDC-project, API-sleutel of gebruiker, met dagelijkse, wekelijkse of maandelijkse resets.

Waar u rekening mee moet houden, is dat governance wordt gefactureerd op basis van gebruik. Model- en providerbeperkingen kosten 0,10 USD per 1.000 succesvolle requests, team-brede ZDR kost hetzelfde, reporting-schrijfopdrachten kosten 0,075 USD per 1.000, reporting-queries 5 USD per 1.000, en trace-drains 0,05 USD per 1.000 plus egress. Platformabonnementen komen daar nog bovenop: Pro vanaf 20 USD per maand plus 20 USD per seat, SAML vanaf 300 USD per maand, en een HIPAA BAA vanaf 350 USD per maand op geschikte abonnementen, met Enterprise op basis van een maatwerkcontract. Routing is goedkoop; de functionaliteiten die een securityteam wil inschakelen, zijn de posten die u moet ramen.

Observability en audit

Native metriek omvat request-volume, tokengebruik, uitgaven, duur, time to first token, routing en fouten, en traces worden geëxporteerd via OTLP/HTTP (hoewel niet via gRPC). Logs en traces bevatten metadata in plaats van prompt- of completion-inhoud, wat consistent is met de privacy-standaardinstelling, maar ook betekent dat u vanuit de Gateway zelf geen evaluatieset van opgeslagen inhoud kunt opbouwen. Retentie heeft limieten: de logs-UI kijkt maximaal 36 dagen terug en gedetailleerde routing-pogingen worden 30 dagen bewaard. Aangepaste queries zijn het duidelijkste voorbeeld van tiering: de query builder is read-only totdat u overstapt op Observability Plus op Pro.

Export van configuratie-audits bestaat op Enterprise, hoewel de exacte dekking van gebeurtenissen rondom budgetten, allowlists, sleutels en routing niet is vastgelegd.

Volwassenheid en ondersteuning

Vercel AI Gateway bereikte algemene beschikbaarheid (GA) in augustus 2025. Vercel is een bedrijf met ruime financiële middelen, met een Series F-ronde die de waarde in september 2025 op 9,3 miljard USD schatte. Vercel geeft aan dat de Gateway v0 aanstiert, hun eigen product, wat een redelijk signaal is van daadwerkelijk gebruik (behandeld als een claim van de leverancier). Als punt van voorzichtigheid blijven verschillende API-functies in beta, en een Gateway-specifieke contractuele SLA voor uptime of responstijd is niet vastgelegd in de openbare documentatie. Verwachtingen rond ondersteuning moeten dus in uw contract worden bevestigd en niet als vanzelfsprekend worden aangenomen.

Het eerlijke oordeel

Is Vercel AI Gateway enterprise-ready? Voor een team waarvan de vereisten passen bij een beheerde dienst, waarvan de certificeringsbehoeften worden afgedekt door SOC 2 en ISO 27001, en waarvan de gewenste governance-functies beschikbaar zijn in de betaalde niveaus: ja. Het is een goed gebouwde router met transparante prijzen en een privacygerichte standaardinstelling. Kijk elders als prompts uw netwerk niet mogen verlaten, als u air-gapped of door de klant beheerde implementatie nodig hebt, als u native PII-redactie en content-guardrails binnen de gateway vereist, of als agents governance op tool-niveau met afdwingbaar beleid nodig hebben. Dat zijn geen zorgen van kleine teams; het zijn precies de vereisten die gereguleerde en platform-gestuurde omgevingen definiëren.

Het TrueFoundry-alternatief

De bovenstaande hiaten zijn de specifieke plekken die een implementeerbare gateway invult. TrueFoundry draait dezelfde geünificeerde OpenAI-compatibele gateway, met meer dan 1.000 modellen achter één API, maar u kiest waar deze draait: volledig beheerde SaaS, beheerde SaaS met uw eigen dataopslag, een hybride vorm waarbij het data-plane van de gateway in uw VPC staat, of een volledig zelfgehoste installatie inclusief air-gapped. In de VPC-modi verlaten prompts uw netwerk nooit, wat een antwoord biedt op het datasoevereiniteitsvraagstuk waar een gehoste dienst niet aan kan voldoen. De gateway voegt ongeveer 3 tot 4 ms overhead toe en verwerkt 350+ RPS op een enkele vCPU.

Wat betreft de specifieke governance-hiaten: TrueFoundry bevat een MCP-gateway en agent-gateway met RBAC op tool-niveau en guardrails voor en na de tool-aanroep, ingebouwde guardrails voor content en PII, en modelimplementatie binnen hetzelfde control-plane zodat een zelfgehost vLLM-, TGI- of Triton-endpoint een volwaardige route is. SOC 2-, HIPAA- en GDPR-ondersteuning, SSO, RBAC en audit-logging zijn ingebouwd. Als u gateways op dezelfde manier weegt als in deze review, past onze TrueFoundry vs Portkey vergelijking dezelfde insteek toe op een andere leverancier. Als u een overweging maakt voor een gereguleerde of platform-gestuurde implementatie, plan dan een demo en we lopen uw specifieke governance- en residentievereisten door.

Gerelateerde artikelen

• Beste AI-gateway, het bredere categorie-overzicht
• Observability in de AI-gateway, dieper ingaand op tracing en audit
• Wat is een LLM-gateway?, de basis achter dit artikel
• TrueFoundry vs Portkey, een directe vergelijking binnen dezelfde categorie
• LiteLLM-alternatieven, hoe TrueFoundry zich verhoudt voor productie-teams

Conclusie

Enterprise-ready is niet één enkele eigenschap, het is een checklist, en Vercel AI Gateway voldoet aan een groot deel daarvan. Het is een bekwame beheerde router met echte certificeringen, transparante prijzen en een standaardinstelling die prompt-inhoud buiten de logs houdt. De onderdelen die het niet afdekt, zijn de onderdelen die bepalend zijn voor gereguleerde en datasoevereine implementaties: het draaien van de gateway binnen uw eigen netwerk, door de klant beheerde residentie, native guardrails en agent-governance op tool-niveau. Staan die op uw checklist, beoordeel dan een gateway die u kunt implementeren waar uw compliance dat vereist, en plan een demo om te zien hoe TrueFoundry hiermee omgaat.