生成AIの使い方の選び方：SaaS・API・自社環境の違いと判断の目安

自社の「基盤とセキュリティ」の準備度は？10問・約3分で確かめる（無料・登録不要）

生成AIを業務に広げる段階になると、「どの製品を選ぶか」の前に「どの形で使うか」を決める必要が出てきます。形によって、情報の扱いや費用、社内で担う作業が変わるためです。この記事では、3つの使い方の違いと、選ぶときの判断の目安をまとめます。

3つの使い方は、何が違うのですか？

デジタル庁の「テキスト生成AI利活用におけるリスクへの対策ガイドブック（α版）」は、テキスト生成AIのリスクは利用の形によって変わるとし、特定のサービスに組み込まれた状態で使う形や、大規模言語モデルをWeb APIの形で使う形などを例に挙げています。ここでは3つに分けて整理します。

右へ行くほど自由度は高くなり、自社で担う作業も増えます。「どこまで自社で担えるか」と「どこまで自由に作り込みたいか」の釣り合いで選ぶと整理しやすくなります。

それぞれ、どんな場面に向いていますか？

SaaS：まず試す、全社で日常の作業に使う

文書の下書き、要約、翻訳、調べものなど、日常の作業で使う場合に向いています。契約してすぐに使え、全社員に広げやすい形です。法人向けのプランでは、管理者の機能や入力した情報の扱いの設定が用意されていることが多いため、契約と設定で確かめる点は「法人向けの生成AIツールの選び方」にまとめています。

一方で、機能は提供元が決めるため、業務の流れに細かく合わせにくい場合があります。

API：業務システムに組み込む

問い合わせ管理のシステムに回答の下書き機能を加える、社内の資料を検索して答える仕組み（RAG）を作る、といった業務への組み込みに向いています。画面や処理の流れを自社で設計でき、社内のデータとつなぐこともできます（「AIと社内システムをAPIでつなぐ基本」参照）。

利用料は、使った量に応じて払う従量課金が一般的です。費用の見積もりと管理は「生成AIの利用料の見積もりと管理」をご覧ください。また、提供元がモデルを更新したり、古いモデルの提供を終了したりすることがあります。ある提供元は、公開しているモデルの提供を終える場合、利用中の顧客に少なくとも60日前に知らせ、後継のモデルを示すと案内しています。

自社環境：外に出せない情報を扱う

社外に送ることが契約や社内の規程で認められない情報を扱う場合や、通信できない現場で使う場合に向いています。公開されているモデルを使えば、モデルを自社の目的に合わせて調整する自由度も高くなります。

ただし、機器や環境の用意、ソフトウェアの更新、アクセスの管理、性能の確保を自社で担います。利用者が少ないうちは、SaaSやAPIより割高になることもあります。考え方は「オープンウェイトのモデルを企業で使うときの考え方」と「ローカルLLM入門」も参考になります。

どう選べばよいですか？

用途ごとに、次の順で確かめると判断しやすくなります。

① 扱う情報を確かめます。 入力する情報に、個人情報、取引先から預かった秘密の情報、社外秘の技術情報が含まれるかを確かめます。社内のデータの分類がある場合は、その区分ごとに使ってよい形を決めます。

② 業務への組み込みが必要かを確かめます。 人が画面で使えば足りるならSaaS、業務システムの中で自動で動かしたいならAPI、と考えます。

③ 社内で担える作業を確かめます。 連携の開発や、環境の運用を担う人がいるか、委託するかを確かめます。担う人がいない形を選ぶと、使い始めた後の保守が止まりやすくなります。

④ 費用の総額を比べます。 利用料だけでなく、開発・運用・保守の手間も含めた総額（TCO）で比べます。

⑤ 乗り換えやすさを確かめます。 特定の提供元に依存しすぎないよう、データの持ち出し方や、モデルを替えるときの手間を確かめます（「ベンダーロックインを避ける考え方」参照）。

どの使い方でも確かめたいことは何ですか？

総務省と経済産業省の「AI事業者ガイドライン（第1.2版）」は、AIを使う事業者（AI利用者）に対して、提供者が示す利用上の留意点を守り、提供者が想定した範囲で使うこと、提供された文書を保管して活用し、規約を守ること、個人情報や機密情報を不適切に入力しないよう注意すること、提供者が示すセキュリティ上の注意点に従うことなどを求めています。使い方ごとに見るべき点を整理します。

• 入力した情報の扱い：入力した内容が、提供元のサービスの改善や学習に使われるかを確かめます。同じ提供元でも、プランによって扱いが違うことがあります。たとえば、ある提供元のAPIの料金の案内では、無料の枠では内容がサービスの改善に使われ、有料の枠では使われないとされています。
• データの保存場所と期間：入力や出力の記録が、どの国・地域に、どのくらいの期間保存されるかを確かめます。
• 提供元の信頼性：公的な評価や認証の取得状況も判断の材料になります。たとえば、ISMAP（政府情報システムのためのセキュリティ評価制度）は、クラウドサービスのセキュリティを評価し、基準を満たすと確認されたサービスを一覧に載せる制度です。
• 変更と終了の連絡：機能や規約、モデルが変わるときに、どう知らされるかを確かめます。
• 社内の管理：誰がどの使い方で、どの業務に使っているかを一覧にし、会社が把握していない使い方（シャドーAI）を減らします。

確かめる観点は、ひな形「AIの委託先・サービスの確認リスト」にもまとめています。

使い方は、途中で変えてもよいのですか？

変えて構いません。SaaSで試して効果が見えた業務をAPIで組み込む、費用や情報の扱いが課題になった業務を自社環境へ移す、といった流れはよくあります。見直す時期（たとえば半年ごと）を決めておくと、変化に合わせやすくなります。作るか買うかの判断は「AIは作るか買うか：判断の目安」もご覧ください。

チェックリスト

• 用途ごとに、扱う情報の種類（個人情報・秘密の情報など）を確かめている
• 人が画面で使えば足りるか、業務システムへの組み込みが必要かを分けている
• 連携の開発や環境の運用を担う人（または委託先）を決めている
• 利用料だけでなく、開発・運用・保守を含めた総額で比べている
• 入力した情報が学習やサービスの改善に使われるかを、プランごとに確かめている
• データの保存場所と保存期間を確かめている
• モデルや規約が変わるときの連絡の方法と、提供の終了の予定を確かめている
• データの持ち出し方や、モデルを替えるときの手間を確かめている
• どの業務をどの使い方で使っているかを一覧にしている
• 使い方を見直す時期を決めている