SaaS・オンプレミス・セルフホストのAIツール選択 ― 規制と機密度で判断する

「金融業界なんだけどClaude Code使えるかな」「機密データを扱うのでSaaSは怖い」「セルフホストすると運用が大変そう」 ― 規制業界・大企業から多く受ける相談だ。AIコーディング基盤を「SaaSで利用するか」「自社インフラでセルフホストするか」「ハイブリッドで使い分けるか」の判断は、組織の規制要件・データ機密度・運用力に大きく依存する。「みんなSaaSを使っているから」では判断できない領域で、自社の事情に応じた構造的な評価が必要だ。本稿では、3つの基盤タイプの概要、8項目の比較マトリクス、SaaSとセルフホストのメリット・デメリット、規制業界の選択、データ機密度別の選択、ハイブリッド構成、セルフホストの3実装オプション、経営判断5ポイント、多くの企業の現実を整理する。

要点：「規制要件・データ機密度・スケール・運用力」の4軸で判断する。一般企業はSaaS Enterpriseで十分、規制業界はセルフホスト or プライベートクラウド、ハイブリッド構成も現実解。

1. 3つの基盤タイプの概要

AI開発基盤は3タイプある。SaaS型はベンダーのクラウドで利用、例：Cursor / Copilot / Claude API。セルフホスト型は自社インフラで運用、例：オンプレLLM / VPC内デプロイ。ハイブリッドは一部はSaaS・一部はセルフホスト、業務によって使い分け。これら3タイプから自社に合うものを選ぶ。「SaaSが便利」「セルフホストが安全」という単純化された議論ではなく、自社の規制・機密・運用力・スケールを総合評価して判断する必要がある。「100%SaaS」「100%セルフホスト」ではなく「適切な組み合わせ」を選ぶハイブリッドが現実解になる組織も多い。

💡 ポイント：3タイプの選択肢を経営層に整理して提示する。「どれを選ぶか」ではなく「どう組み合わせるか」の議論にすると、判断が動く。

2. 比較マトリクス8項目

SaaSとセルフホストを8項目で比較する。初期コストはSaaS低・セルフホスト高、運用コストはSaaS中・セルフホスト中〜高、データ管理はSaaSベンダー側・セルフホスト自社側、機能更新はSaaS自動・セルフホスト手動、カスタマイズはSaaS限定的・セルフホスト自由、スケールはSaaS容易・セルフホスト設備依存、規制対応はSaaSプランによる・セルフホスト完全自由、運用負荷はSaaS低・セルフホスト高。これら8項目で見ると、SaaSは「便利・低コスト」「データ管理が外部」、セルフホストは「自由・安全」「運用負荷高」という対照的な特性が見える。

📊 経営判断のコツ：8項目のうち自社で重要な観点に重みづけする。「データ管理」が最重要なら結論はセルフホスト寄りになる。

3. SaaSのメリット・デメリット

SaaSのメリットは4つ。最新機能を即利用できる。運用負荷が低い。初期コスト抑制。自動アップデート。デメリットも4つ。データが外部に出ることへの懸念。規制対応に限界。ベンダーロックイン。ネットワーク依存。これら8項目の総合評価で、自社にとってSaaSが適合するか判断する。「データが外部に出る」がどうしても許容できない組織には、SaaSは選択肢にならない。一方、「最新機能を即利用したい」「運用負荷を増やしたくない」を重視する組織にとっては、SaaSが最適解だ。一般的な企業の8〜9割はSaaSで十分という現実がある。

⚠️ 注意：「データ漏洩リスク」は契約とPrivacy Modeで多くは制御可能。Enterprise契約なら学習データに使われない条項が標準。

4. セルフホストのメリット・デメリット

セルフホストのメリットは4つ。データを完全に自社管理。規制要件への自由対応。ネットワーク独立。カスタマイズ自由。デメリットも4つ。初期コスト・運用コスト高。機能・モデルが古くなりがち。運用専門人材が必要。スケールに設備が必要。これらメリット・デメリットを総合評価すると、セルフホストは「特殊要件がある場合のみ」が現実的な選択になる。「便利だから自社で持ちたい」という単純な動機では運用負荷の重さに耐えられず、半年〜1年で挫折する組織も多い。「規制対応上どうしても必要」という明確な要件があるなら検討に値する選択肢だ。

💡 ポイント：セルフホストは「特殊要件がある場合のみ」が現実解。一般企業がSaaSを避けてセルフホストに行くと、運用負荷で挫折する。

5. 規制業界での選択

規制業界では選択肢が限定される。金融・医療・防衛ではセルフホスト or プライベートクラウドが必須、データ主権・監査が要件。一般企業ではSaaS Enterpriseで十分、機密保護モードを活用する形だ。規制業界の中でも、銀行・保険・証券の金融、病院・製薬の医療、防衛産業・公的機関の防衛と、それぞれ要件の細かい違いがある。「業界平均」だけ見ずに「自社の規制状況」を確認する必要がある。法務・コンプライアンス担当が規制要件を整理し、それを基に基盤選定を行う順序が望ましい。「便利だから」ではなく「規制を満たすか」が選定の決定要素になる。

⚠️ 注意：規制業界では「外部AI禁止」のルールがある場合が多い。法務・コンプライアンスが先に確認することが必須。

6. データ機密度別の選択

データ機密度別の推奨は4階層。一般・公開情報はSaaS Standard、社外秘・通常業務はSaaS Enterprise（機密保護モード）、機密・個人情報はSaaS（強化設定）or VPC専有、最高機密はセルフホスト。これら4階層で組織のデータを分類し、適切な基盤を選ぶ。「全データを最高機密扱い」する必要はなく、「ほとんどは社外秘レベル」「一部だけ機密」という現実を反映した分類が、コストと安全性のバランスを取る鍵だ。データ分類自体が組織のデータガバナンスの整備につながり、AI活用と並行してデータマネジメントの成熟度も上がる効果がある。

📊 経営判断のコツ：データ機密度の分類を組織で行うと、AIだけでなくクラウド利用全般のガバナンスが整理される。データガバナンスとAI活用は表裏一体。

7. ハイブリッド構成 ― 利便性と安全性のバランス

ハイブリッド構成は「一般タスク→SaaS（Cursor等）、機密タスク→セルフホストLLM」のように業務によって使い分ける構成だ。メリットは利便性と安全性のバランス、過剰投資を回避。デメリットは運用の二重化、利用者教育が必要。「全部SaaS」「全部セルフホスト」よりも、「適材適所」が現実的な多くの組織にとって、ハイブリッドは魅力的な選択肢になる。切り替えはガイドライン化することで、現場の判断ミスを防ぐ。「機密データを扱うときはセルフホスト」「公開コードならSaaS」のような明確な切り分けルールが、ハイブリッド運用の前提条件だ。

💡 ポイント：ハイブリッド構成は中規模以上の組織に向く。小規模組織は運用負荷が見合わないため、SaaS一本化が現実的。

8. セルフホストの3実装オプション

セルフホストは3実装オプションがある。オープンソースLLMはLlama / Mistral / Qwen等を vLLM・TGI等で運用、自由度最大だが運用負荷も最大。ベンダー提供のオンプレ版はWindsurf Enterprise / 一部ベンダーが提供、ベンダーサポート付きで運用負荷が比較的軽い。プライベートクラウドはAWS Bedrock / Azure OpenAI（VPC）等で、パブリックではないがクラウドの便利さは享受できる。これら3オプションから組織の運用力・規制要件・予算に応じて選ぶ。「100%自社運用」を目指すなら1番、「サポートも欲しい」なら2番、「クラウドの便利さは活かしたい」なら3番が適合する。

⚠️ 注意：「OSS LLMを自社で運用」は技術力・運用力が必須。安易に手を出すとMLOps人材が枯渇する。

9. 経営判断の5ポイント

経営判断のポイントは5つ。規制要件の確認で業界規制を最優先確認。データの機密度で入出力データの機密度評価。運用力で自社で運用できる体制があるか。将来拡張でスケール・モデル更新の容易さ。ROIで初期＋運用コスト vs 効果の試算。これら5ポイントを経営会議で議論することで、SaaS・セルフホスト・ハイブリッドの選択判断が構造的に進む。「他社事例」だけで判断せず、自社の5項目を構造的に評価する姿勢が必要だ。CTOと法務・情シス・経営層の連携で、判断材料を整える運用が望ましい。

📊 経営判断のコツ：5ポイントを1枚スコアリングシートにする。経営会議で「自社のスコア」を出すことで、判断材料が定量化される。

10. 多くの企業の現実

多くの企業の現実を3傾向で整理する。多くは SaaS Enterprise ― 機密保護モード活用、コストと利便性のバランス。規制業界は一部セルフホスト ― 機密タスク専用環境。完全セルフホストは少数派 ― リソース・専門性の壁。「セルフホストが理想」と考える組織は多いが、実際に運用できる組織は少ない。MLOps人材確保、GPU設備投資、モデル更新運用という3点が壁となる。「SaaS Enterprise + 機密保護モード + 利用ガイドライン」で十分というのが多くの企業の現実解だ。経営層は「特別な要件がない限りSaaS Enterprise」を基本路線として、必要に応じてハイブリッド・セルフホストを検討する判断が現実的だ。

💡 ポイント：「特別な要件がなければSaaS Enterprise」が基本路線。例外要件がある場合のみ、より複雑な構成を検討する。

まとめ

AIコーディング基盤の選択はSaaS・セルフホスト・ハイブリッドの3タイプから、規制要件・データ機密度・運用力・スケールの4軸で判断する。SaaSは便利だがデータが外部に出る、セルフホストは安全だが運用負荷が高いというトレードオフがあり、組織の事情に応じた選択が必要だ。データ機密度4階層（一般・社外秘・機密・最高機密）で適切な基盤を選び、ハイブリッド構成で利便性と安全性のバランスを取る選択肢もある。セルフホストは3実装オプション（OSS・ベンダー提供・プライベートクラウド）から運用力に応じて選ぶ。経営判断の5ポイント（規制・機密度・運用力・拡張・ROI）を経営会議で議論することで、構造的な選定が可能になる。多くの企業の現実は「SaaS Enterprise + 機密保護モード」が基本路線で、特殊要件がある場合のみセルフホスト・ハイブリッドを検討するのが現実解だ。

基盤選定チェックリスト

• [ ] 3タイプ（SaaS・セルフホスト・ハイブリッド）の特性を理解している
• [ ] 8項目比較マトリクスで自社に重要な観点を特定した
• [ ] 業界規制要件を法務と確認した
• [ ] データ機密度の分類（4階層）を行った
• [ ] 自社の運用力（MLOps人材・GPU設備）を評価した
• [ ] 経営判断5ポイント（規制・機密度・運用力・拡張・ROI）でスコアリングした
• [ ] 「特別な要件がなければSaaS Enterprise」を基本路線にしている
• [ ] ハイブリッド構成の場合、業務別ガイドラインがある
• [ ] セルフホストの場合、3実装オプションから適合を選定した
• [ ] 経営層・CTO・法務・情シスが選定に関与している

IT COMPASSのAI駆動開発支援

IT COMPASS では、CTO経験者が外部CTO・技術顧問として、SaaS / セルフホストの選定を伴走支援しています。

支援できること

• 🏗 基盤選定支援：SaaS/セルフホスト/ハイブリッドの比較選定、5ポイント評価
• 🛠 ツール選定とパイロット設計：Claude Code / Cursor / GitHub Copilot 等の評価・PoC設計
• 🛡 ガバナンス・セキュリティ整備：AI利用ポリシー、権限設計、知財・契約ルール
• 👥 開発組織の再設計：AIエージェントを前提としたチーム編成・役割定義・評価制度
• 📈 経営会議への定例参加：取締役会・経営会向けのKPI設計と進捗レポート

こんな方におすすめ

• 規制業界でSaaS / セルフホストを判断したいCTO・情シスの方
• ハイブリッド構成を設計したい技術責任者の方
• 経営層・取締役会向けに選定理由を整理したい経営企画の方

お問い合わせ

スポット相談（1回／契約不要・最短当日）から、月額契約での継続伴走まで、フェーズに応じて柔軟に対応します。
👉 IT COMPASS お問い合わせフォーム
経営と技術の両面から、御社のAI駆動開発を一緒に設計しましょう。

監修者

西脇　靖紘（lanitech合同会社 代表取締役CEO 兼 CTO）

「テクノロジーで人と社会をつなぐ」をミッションに、企業のDX推進・AI導入支援から、デジタル教育・地域共創まで幅広く活動。エンジニアとしての現場経験と経営視点を活かし、外部CTO・AIコンサルティングなどを通じて企業のデジタル変革を支援している。著書はオライリー・ジャパンから複数刊行。

 
lanitech合同会社 webサイト