官公庁がClaudeを使うにはISMAP登録がどう関わるか

ISMAPとは何か、なぜ官公庁のクラウド調達で重要なのか

ISMAP(政府情報システムのためのセキュリティ評価制度)は、政府が求めるセキュリティ要求を満たすクラウドサービスをあらかじめ評価・登録する制度です。政府情報システムでクラウドサービスを利用する際は、原則としてISMAP(または影響度が比較的低いシステム向けのISMAP-LIU)に登録されたサービスから選定することが求められます。

制度の運営は国家サイバー統括室・デジタル庁・総務省・経済産業省が担い、独立行政法人IPA(Information-technology Promotion Agency)が評価の技術的支援を行います。登録はクラウドサービス全体ではなく「言明対象範囲」という単位で評価されます。使いたい機能がその範囲に含まれているかどうかの確認が欠かせません。AWS・Microsoft Azure・Google Cloudといった主要クラウド基盤はすでに登録済みですが、その上で動く個々のサービスやAIモデルが同じ扱いを受けるとは限りません。ここに、Claudeのような生成AIサービスを官公庁で使う際の論点が生まれます。

生成AIサービスは原則ISMAP登録が必要というルール

2026年1月9日、ISMAPポータルサイトに「生成AIサービスに関する留意点について」(KB0011070)が掲載されました。原則は明快です。クラウドサービス事業者が生成AIサービスをSaaSとして提供する場合、そのSaaS自体がISMAP等クラウドサービスリストに登録される必要があります。外部連携で生成AIサービスを利用する場合も同様に扱われます。

重要なのは、ISMAPに登録されていない生成AIサービスを、ISMAP登録済みのIaaS・PaaS上で提供しても、その生成AIサービス自体が登録済みサービスと同等とはみなされないという点です。「基盤がISMAP対応だからその上のAIも自動的に対応」という理解は成り立ちません。

原文はさらに踏み込んで、「提供される生成AIモデルは必ずしもISMAPに登録されている必要はない」と明記しています。基盤側の登録があれば、その上のモデル単体は無登録のままでも要件を満たすという整理です。この一文が、Amazon BedrockのようなIaaS/PaaS型の提供経路と、Anthropicが自社ブランドで直接提供する経路とを分ける分水嶺になります。

Amazon Bedrock経由のClaudeがISMAP個別登録なしで使える仕組み

この例外に当てはまるのが、Amazon Bedrockです。AWSジャパンの公式ブログ(2026年1月9日公開)によれば、Amazon BedrockはISMAPの言明対象範囲に含まれています。Bedrock上で動作する個々の生成AIモデル(Claudeを含む)は、個別のISMAP登録なしにセキュリティ要件を満たしているとみなされます。生成AIモデルがAWSの内部環境に配置されており、顧客データがモデル開発事業者(Anthropicを含む外部事業者)に提供されることはないという構造が、この位置づけを支える根拠です。

つまりBedrock経由でClaudeを使う場合、データセキュリティを管理する責任はAmazon Bedrock(生成AI開発基盤)側が担い、その上で動くClaudeモデル自体は個別のISMAP登録なしにISMAPのセキュリティ要件を満たした状態とみなされます。政府情報システムでBedrock経由のClaudeが選択肢に入るのは、この整理があるからです。Bedrock自体の一般的な使い方や直接APIとの違いはAmazon BedrockでClaudeを使うにまとめています。

Anthropicとの直接契約はISMAPの例外を使えない

一方、Claude.aiやClaude Enterprise、Anthropicの1st Party APIをAnthropicと直接契約して使う経路は事情が異なります。この経路は「登録済みIaaS/PaaS上の生成AI開発基盤」を経由しないため、原則に従えばAnthropic自身が提供するSaaSとしてISMAP等クラウドサービスリストへの登録が必要になります。

ISMAPポータルの検索結果や公開情報を確認した範囲では、Anthropicが自社サービスを単独でISMAPクラウドサービスリストに登録しているという情報は見当たりません。登録状況は随時更新されるため、官公庁での採用を検討する担当者は、最終判断の前に必ずISMAPポータルのクラウドサービスリストで最新の登録状況を直接確認してください。確実にISMAP対応の経路と言えるのは、AWS・Google Cloud・Microsoft Azureといった登録済みクラウド基盤の生成AI開発基盤を経由する利用形態です。Claude Enterpriseの契約自体はこの制度とは別枠の話で、料金体系やセキュリティ設定はClaude Enterpriseとはで解説しています。

ガバメントクラウドでClaudeを使うための3条件

ガバメントクラウド上で生成AIモデルを利用する場合、ISMAP要件だけでなく他の条件も重なります。NECが官公庁向けに公開したコラム(2026年5月29日公開、執筆者はNEC官公インフラDX事業部門の担当者)は、デジタル庁の講演資料「ガバメントクラウドでの生成AI活用とガバナンス」(2025年11月6日)をもとに3つの条件を整理しています。

条件①について、講演資料が2025年10月に挙げたモデル例では、AWSはAmazon Bedrock経由でClaude Sonnet 4.5・Claude Haiku 4.5を提供していました。その後もCSP各社の国内リージョン対応は更新が続いています。「最新モデルだから使える」のではなく「国内リージョンで提供されているモデルだから使える」という順序を取り違えないことが実務上のポイントです。

条件③が特に見落とされやすいポイントです。デジタル庁のGCASガイド「ガバメントクラウド利用概要(AWS編)」(2026年5月末時点の記載)は、Claudeの利用について次のように整理しています。ガバメントクラウドはマーケットプレイス利用の制約によりサードパーティー製AIモデルの利用が原則不可ですが、デジタル庁とAWSの契約に基づき、Amazon Bedrock経由でアクセス・利用されるClaudeの基盤モデルは例外的に利用可能とされています。ガバメントクラウドのAWS契約自体はデジタル庁とAWSの間で締結されますが、その上で動くClaudeモデルのライセンスは別の契約レイヤーとして扱われる可能性があるということです。

この契約レイヤーの分離を裏づける動きが2026年に入って民間向けにも表面化しています。Anthropicが提供する「Anthropic Authorized Reseller Program for Amazon Bedrock」に、国内のAWSパートナー各社が相次いで参画し、Bedrock経由でのClaudeライセンス再販を始めました。AWSとの基盤契約と、その上で動くAIモデルのライセンスが別の契約として扱われる構造は、ガバメントクラウドの文脈でも同じです。

官公庁がClaudeを検討する際の実務チェックリスト

利用経路ごとに、ISMAPと契約の両面での位置づけは次のとおりです。

Bedrock経由の利用がガバメントクラウドとの親和性で先行しているのは、ISMAPの言明対象範囲という制度上の位置づけに加えて、契約の枠組みがすでにデジタル庁とAWSの間で整理されているためです。ガバメントクラウドで使える生成AIモデルの候補は、NECのコラムが示す3条件をすべて通過して初めて確定します。Claude Sonnet・Opusのような話題のモデルであっても、条件①(国内リージョン)と条件②(ISMAP)をクリアしているだけでは足りず、条件③(契約関係)をデジタル庁に個別確認する手順が残ります。

自治体・省庁システムの担当者が最初に踏むべき順序は、①調達要件にISMAP対応が明記されているかを確認する、②明記されている場合はAWS・Google Cloud・Azureの生成AI開発基盤経由での利用に絞る、③ガバメントクラウド上で使う場合はモデルの国内リージョン提供状況とAIメーカーとの契約関係をデジタル庁に確認する、の3段階です。Anthropicとの直接契約を選ぶ官公庁・自治体の担当者は、ISMAP対応が調達要件に含まれるかどうかを先に確認し、含まれる場合はBedrock等の登録済み基盤経由での利用を検討するのが実務上の近道です。米国連邦政府向けのFedRAMP High・IL5のような認証体系は日本の官公庁には直接適用されないため、官公庁のClaude導入ガイドで扱う米国の枠組みとは別に、ISMAPという日本独自の制度を軸に判断する必要があります。

まとめ

生成AIサービスは原則としてISMAP等クラウドサービスリストへの個別登録が必要ですが、AWS Bedrockのように生成AI開発基盤自体がISMAPの言明対象範囲に含まれていれば、その上で動くClaudeモデルは個別登録なしにセキュリティ要件を満たしているとみなされます。一方、Anthropicとの直接契約によるClaude Enterpriseや1P APIの経路は、この例外の対象外です。ガバメントクラウドで使う場合はさらに、国内リージョン提供とAIメーカーとの契約関係という2つの条件が重なります。官公庁・自治体がClaudeの採用を検討する際は、ISMAP対応の要否をまず確認し、要否に応じて登録済みクラウド基盤経由の利用形態を選ぶ判断が求められます。