機密を扱う生成AIの構成は 3 つ オンプレミスでも安全とは限らない

機密を扱う生成 AI の構成は、大きく 3 つに分かれます。外部のクラウドのサービスをそのまま使う形、国内のクラウドや閉域の回線でつなぐ形、自社のサーバーで動かすオンプレミスで、社外に出るデータの範囲はこの順に狭くなります。ただし、オンプレミスにしても穴は残ります。

だれが何を読めるか、記録をどこまで残すか、AI エージェント(AI が自分で手順を考え、ツールを使って作業する仕組み)に何をさせるかは、どの構成でも自社で決めるしかありません。国の指針や金融庁の資料も、こうした対策を、AI をどこで動かすかに関係なく求めています。

たとえば製造業の設計部門なら、取引先から預かった金型の図面や、自社で何年もかけて詰めた樹脂の配合表を AI に読ませて、設計の見直しを早めたい、という声が出ます。銀行の審査部門なら、取引先の決算書から融資の稟議書の下書きを作らせたい、という相談です。どちらの場面でも、最初に決めるのはモデルの名前ではなく、AI をどこで動かすかです。

この回は、「オンプレミスにすれば機密の問題は片づくのか」「自社のどの情報を、どこで扱えばよいのか」という迷いに答えます。3 つの構成を同じ物差しで並べ、オンプレミスでも残る 7 つの穴を公的な資料の項目と突き合わせ、情報の種類から構成を選べる早見表にまとめました。最後に、図面と稟議書の 2 つの場面に当てはめます。

AI に入れた情報がどこに残るか、法律と契約の上で入れてよいか、送る前にできる対策は、連載「機密情報とAI」の第 1 回・第 2 回・第 3 回で説明しています。ここでは、その一段上の「どこで動かすか」を扱います。

構成は 3 つ。分かれ目は、データがどこまで出るか

• ① 外部のクラウドの API・SaaS: 入力した文は、AI の会社のサーバーに届きます(API はシステムどうしをつなぐ窓口、SaaS はインターネットで使うサービス)。法人向けの契約と設定で変わるのは、学習に使うかと、どれだけ残るかです。
• ② 国内のクラウドと閉域の接続: データはクラウドに届きますが、処理する国(リージョン。クラウドのデータセンターがある地域)と、インターネットを通らない通信経路(閉域網)を選べます。
• ③ オンプレミス: 自社の建物やデータセンターに置いたサーバーで動かします。データは社外に出ません。

国産かどうかと、AI をどこで動かすかは、別の軸です。NTT の tsuzumi 2 は、デジタル庁の実証では国内のクラウドで、NTT 西日本の商品では社内のサーバーで動きます。Microsoft Azure でも提供されています。反対に、Google の Gemini には、外部のネットワークから切り離した環境で動かす版があります。

LLM-jp や Swallow のように重み(学習で決まったモデルの中身)を公開しているモデルは、ダウンロードして社内に置けます。製品として売られている国産モデルは違います。tsuzumi 2・cotomi・Takane・PLaMo の製品版の重みは、Hugging Face(AI のモデルを公開するサイト)で公開されておらず(2026年10月25日に確認)、使うときは各社との契約になります。

作り方も、ゼロから作ったもの(tsuzumi 2・PLaMo・LLM-jp)と、海外のモデルを元にしたもの(Swallow や、初版が Cohere のモデルを元にした Takane など)が混ざっています。国産モデルの作り方と提供の形は、第 1 回で整理しています。

3 つの構成を、5 つの物差しで比べる

① 外部のクラウド: 契約と設定で守る

最新のモデルを、いちばん少ない手間で使えます。法人向けのプランと API は、各社とも既定で入力を学習に使いません(連載「機密情報とAI」の第 1 回の表)。費用は、1 人あたりの月額か、使った分だけの従量です。たとえば Claude の Team のスタンダード席は、1 人あたり月 20 ドル(年払い)か 25 ドル(月払い)です(米ドル・税別・2026年10月25日に確認)。

守れないのは、データが AI の会社に届くことそのものです。どの国に保存するか、裁判所の命令にどう応じるかは、事業者の側で決まります。金融庁も「AI ディスカッションペーパー」第 1.1 版(2026年3月3日)で、海外にサーバーを置くサービスでは「データの海外移転の管理も重要な課題」としています。

② 国内のクラウドと閉域の接続: 場所と通信経路を選ぶ

処理する国は、提供元が用意した経路で選びます。Amazon Bedrock の日本向けの経路なら、東京と大阪の中で Claude を動かせます(設定は「機密情報とAI」の第 3 回)。AWS は、データを処理・保存する場所に決まりがあるなら転送先のリージョンをすべて確かめるよう、ドキュメントで注意を呼びかけています。

通信経路は、AWS なら PrivateLink(社内の仮想ネットワークからサービスへ、インターネットを通らずにつなぐ仕組み)や Direct Connect(専用線)で閉域にできます。Azure では、初期の状態ではどのネットワークからも接続を受け付けますが、既定の規則を「拒否」に変え、決めた仮想ネットワークだけを通す設定ができます。金融庁も、専用線で閉域につないで生成 AI を使う金融機関があることを確認しています。

国産モデルを国内のクラウドで動かす例もあります。デジタル庁は 2026年7月、ガバメント AI「源内」で試す国産モデルのうち、tsuzumi 2・Takane 32B・PLaMo 2.0 Prime の 3 つを、「さくらのクラウド」で動かすと発表しました。8月までに環境を作り、9〜11月に源内で使っている既存のモデルと比べる計画です(源内の全体は第 2 回)。

デジタル庁の技術ブログによると、モデルごとに、NVIDIA H100 を積んだ仮想マシンを 1 台使っています。さくらのクラウドの料金表では、この H100 1 枚の仮想マシンは月 385,000 円(税込)です。

同じブログには、設計で迷った所も書かれています。API ゲートウェイを使う案は、ゲートウェイを迂回して仮想マシンに届く経路ができてしまうため、採用を見送りました。モデルのデプロイ(サーバーに配置して動かせるようにすること)に使うスクリプトは、アクセスできる人を絞った別のリポジトリ(コードの保管場所)で管理しています。国内のクラウドでも、通信経路と権限は自分で設計します。

③ オンプレミス: 外に出さないが、全部を自社で受け持つ

NTT 西日本とエフサステクノロジーズは 2026年8月26日、クラウドを介さずに tsuzumi 2 を社内のサーバーで動かす動作検証を終えたと発表しました。対象は官公庁・研究機関・金融機関・製造業で、NTT 西日本が 9月から提供する予定としていました。

tsuzumi 2 は NTT がゼロから作ったモデルで、300 億パラメーター(モデルの大きさを表す数)です。GPU(AI の計算を受け持つ半導体)1 枚で動くと、NTT は説明しています。試算の条件は、40GB の GPU 1 基で、8 ビットに量子化(重みを少ない桁の数で表し直して小さくすること)した場合です。

製品ページの参考価格の表には 5 つの構成が並び、GPU 1 枚(NVIDIA L4)で 673 万円から、2 枚(RTX PRO 6000)で 4,146 万円からです(税別。設置・保守・導入支援を含む。2026年10月25日に確認)。tsuzumi 2 を含めた価格は公表されていません。同じ基盤では、PFN の PLaMo 2.2 Prime や富士通の Takane 112B Vision、Google の Gemma 4 も選べます。

インテックも 2026年1月29日、オンプレミスに最短 1 か月で構築する導入支援を始めました。参考価格は 500 万円からで、初期導入費用は別です(税の表記なし)。

機器を買う場合、費用の形は ① と逆になります。はじめに大きくかかり、使う人が増えても増えにくいのが特徴です。常陽銀行と開発を進める Athena Technologies は、閉域で動く議事録作成の機能を「利用ユーザー数に応じた費用の増加を伴うことなく」使える構成だと説明しています。

性能は、上の価格帯の基盤なら、GPU 1〜2 枚に載る大きさのモデルまでです。Epoch AI(AI の動向を分析する研究機関)によると、家庭用の GPU 1 枚で動く公開モデルは、最先端の 6〜12 か月前の水準です(2025年8月)。ただし Epoch AI 自身も、小さい公開モデルはベンチマーク向けに調整されがちで、実際の遅れはもう少し長いかもしれないと断っています。

一方で、業務を絞ると届く例もあります。みずほフィナンシャルグループは、海外の公開モデル Qwen3-32B を元に、金融特化の LLM(大規模言語モデル。文章を読み書きする AI の中身)を開発しています。銀行の実務テストの正答率は 89.0% で、推論を使わない条件の GPT-5.2 と同じだったと発表しました(2026年3月5日・自社の評価)。

海外の選択肢もあります。Google は 2025年8月、外部から切り離した環境で Gemini を動かす版の一般提供を始めました。OpenAI の gpt-oss-120b は、商用でも使える Apache 2.0 のライセンスで公開され、80GB の GPU 1 枚で動きます。外に出さないことだけが目的なら、国産に限る理由はありません。

金融と製造の会社が実際にどの構成を選んだかは、第 3 回で例を並べました。常陽銀行のように「業務の性質や求められるセキュリティ水準に応じて生成AIを使い分ける方針」を掲げる銀行もあり、構成は 1 社に 1 つとは限りません(開発した Athena Technologies の発表による)。

オンプレミスにしても、7 つの穴は自社でふさぐ

日本銀行が 2026年8月6日に公表した調査から、生成 AI を利用・試行中の 136 先の対策を並べると、差がはっきり出ます。調査の対象は日銀の取引先の金融機関 150 先で、保険会社と証券会社は入っていません。顧客に直接見せるための管理は第 3 回で見たので、ここでは、どの構成でも続ける対策に絞りました。

入出力を管理できるシステム環境は 90 先、機密情報の入力の制限は 84 先が「実施している」と答えています。一方、不正利用を見つけるための利用状況のモニタリングは 35 先、入出力や挙動を制限する技術的な対策は 29 先にとどまります。システム環境と入力を決める対策は進み、運用で続ける対策が遅れています。後者は、オンプレミスにしても自動では片づきません。

公的な資料が求めることを、7 つに分けて並べました。

• アクセス権限: 社内の文書をまとめて AI に検索させる RAG(検索した文書をもとに答えさせる仕組み)では、閲覧の権限がない人にも、答えの形で中身が届くことがあります。AI セーフティ・インスティテュート(AISI。IPA に置かれた組織)は、評価観点ガイドの第 1.20 版(2026年7月7日)で、RAG の検索先の権限の設定に不備がないかを、評価項目の例に入れています。
• 監査ログ: 総務省と経済産業省は、AI 事業者ガイドライン第 1.2 版(2026年3月31日)で、入出力や判断の根拠などのログを記録・保存し、記録の方法・頻度・保存期間を検討するよう求めています。
• 保存期間: 会話の記録には、図面の説明や顧客の名前がそのまま残ります。記録そのものが新しい機密になるので、同じガイドラインの別添では、ログについて検討する項目として、保存期間・保存場所・保護・開示する範囲までが並んでいます。常陽銀行の議事録の機能も、音声を端末に残さず、閉域の基盤に保存するかを選べる作りです。
• データの分離: 取引先 A の図面が、B 向けの答えに混ざってはいけません。部署や取引先ごとに、検索できる範囲を分けます。社内のデータでファインチューニング(追加の学習)をすると、学習した中身は権限ごとに出し分けにくくなります(編集部の見方)。

• AI エージェントの実行権限: AI にメールの送信やファイルの操作まで任せると、社内で動かしていても、だまされたときに外へ送る道ができます。AISI はガイドで、必要なツールだけに権限を付ける、許可のないファイル操作をさせない、書き込み・削除・権限の昇格などのリスクの高い操作を検知する、の 3 つを挙げています。AI 事業者ガイドラインの別添にも、エージェントが意図しない注文やファイルの削除をするおそれと、外部と連携する中で攻撃を受けて内部のデータが送られるおそれが書かれています。
• モデルやソフトの更新: 同じ別添では、利用する側にもアップデートと点検を求め、ほかの AI への影響も考えるよう促しています。公開モデルを動かすソフトの llama.cpp では、PLaMo 3 に合わせた修正(モデルの変換や、文章を区切るトークナイザーの処理)が、2026年9月27日から10月7日まで続きました。10月25日の時点でも、取り込み待ちの修正がありました。社内に置いたファイルとソフトは、置いた日のままでは古くなります。金融庁の資料には、開発者から独立した検証者が本番の前に確かめ、性能を見続ける金融機関の例も載っています。
• 内部不正(社内の人による持ち出し): 社内の AI は、散らばった資料を集めて要約するのが得意です。権限のある人が持ち出すときの手間も、小さくなります(編集部の見方)。金融庁の資料には、入力を自動で伏せる仕組みでも「完全にブロックできるわけではなく、最終的には従業員教育や運用ルールの徹底に頼らざるを得ない」という声が載っています。機密情報へのアクセスを検知して記録できるか(AISI)が、ここでも効きます。

金融機関向けには、FISC(金融情報システムセンター)が 2025年3月、安全対策基準に AI を対象とする基準項目を加えました。その前の 2024年9月にまとめた考察では、情報セキュリティの課題に、情報漏洩・仕様や設定・モニタリングの 3 点を挙げていました(どちらも金融庁の資料による)。基準の本文は、編集部では確かめられていません。

「国産をオンプレミスで」を事実で確かめる

「機密を扱うなら、国産の AI をオンプレミスで」という見方があります。ここまでの事実と照らすと、次のように分かれます。

• 合っている所: 構成が 3 つに分かれることは、金融庁が確認した導入の形(大手クラウドのサービス、専用線の閉域、オンプレミスの公開モデル)と一致します。オンプレミスでも権限やログの対策が要ることは、どの公的な資料も構成を問わずに書いています。
• 違う所: 国産とオンプレミスは結びついていません。国産モデルはクラウドでも動き、海外のモデルも閉じた環境で動きます。データを外に出さないことだけでは、国産を選ぶ理由として弱くなりつつある、と編集部は見ています。国産を選ぶなら、日本語の業務文書での精度・価格・サポート・学習データの説明と合わせて比べます。
• まだ分からない所: 金融機関のうち、どれだけがオンプレミスや国産モデルを使っているかは公表されていません。日本銀行の 2025・2026 年度の調査に内訳はなく、2024年10月の初回に「7割前後の先が、クラウドにおける自社専用区画を利用」とあるだけです。tsuzumi 2 を含めたオンプレミスの価格と、9月に提供が始まったかも、公式の発表では確かめられませんでした。

情報の種類から、構成を選ぶ

1 つの会社でも、構成は 1 つに決めなくてかまいません。表に当てはまらない情報は、次の流れで確かめます。

③ を選ぶ前には、GPU 1〜2 枚に載る大きさのモデルで、その業務が足りるかを確かめます。実際の業務に近い文書(社外に出してよいものか、名前や数字を伏せたもの)と、ふだん出る質問を少し用意します。① のモデルの答えと並べて、差を許せるかを業務の担当者が見ます。

足りなければ、② で国内の経路を使う手もあります。編集部も第 5 回で、外と通信しない環境で、国産の公開モデルを試しました(GPU の無いサーバーと、GPU 8GB の PC)。

図面と審査の 2 つの場面に戻ると

はじめに挙げた金型の図面なら、まず取引先との契約を読みます。外への提供を禁じていれば、③ か、AI に中身を見せない作りにします。自社の配合表は営業秘密なので、② か ③ に置き、検索できる人を設計部門に絞ります。

融資の稟議書には、取引先の決算書と個人の情報が混ざります。② か ③ に置き、だれが何を聞いたかのログを残し、最後の判断は人がします。日本銀行の調査でも、重要な判断に人が関わる体制は、136 先のうち 80 先が「実施している」と答えました。

次の回は、外に送らずに、国産の AI で社内の問い合わせ窓口を作れるかを、編集部が試した記録です。