AI開発の内製・外注を決める方法｜3年要員費と責任分担で判断

業務ルール、データの利用可否、受入基準、最終承認は社内に残し、専門性の高い実装や一時的な増員は外部を使うのが基本です。 ただし、継続的に改善するAI製品を競争力の源泉とするなら内製比率を上げ、常時監視を自社で持てないなら運用委託を組み合わせます。工程ごとのmake-or-buy判断へ分解します。

プロジェクト単位の二者択一をやめる

「AI開発を内製するか外注するか」という問いは範囲が広すぎます。社内検索サービスでも、利用目的、文書整備、画面、検索、モデル接続、評価、監視、問い合わせ対応が含まれます。すべてを外へ渡すと受入判断まで委託先に依存し、すべてを内製すると採用できていない専門職の仕事まで計画へ入ります。

内製を優先するのは、業務上の差別化に直結し、週次・月次で改善が続き、判断根拠を社内に蓄積したい工程です。外注に向くのは、期限が決まった構築、希少な専門技術、第三者によるセキュリティ試験、夜間を含む運用などです。共同運営は、社内が製品責任と評価を持ち、外部が実装や運用能力を補う形です。

結論を出す前に、社内が絶対に手放せない四項目を決めます。業務目的、入力データの権利と分類、合否の基準、例外を受容する役割です。これらを委託先が原案として支援することはできますが、最終決定まで任せると、契約終了時に「なぜこの品質でよいとしたか」を説明できません。

内製化率を目標にせず、会社が自分で説明し、止め、次の供給者へ移せる範囲を増やすことを目標にします。

六つの工程へ分けて内製範囲を決める

最小でも、製品管理、データ、アプリケーション、AI評価、セキュリティ、運用の六工程に分けます。工程ごとに成果物、必要能力、変更頻度、障害時の影響を記録します。「設計一式」のような一括表現では、どの判断が外へ出たか追えません。

例えば、問い合わせ回答AIを共同運営するなら、回答方針、知識の公開可否、重大誤りの定義は内製します。委託先は検索基盤と画面を作り、夜間の基盤監視を担います。固定評価セットは社内が正本を保管し、委託先は本番前に実行します。こう分けると、技術実装を外注しても品質判断は社内に残ります。

ISO/IEC 42001:2023は、AIマネジメントシステムを確立、実施、維持し、継続的に改善するための要求事項を定める国際規格です。ISO公式ページでは2023年12月発行の第1版と示されています^[5]。認証取得の有無とは別に、外注した作業も組織の管理対象から消えないという前提を置く材料になります。

社内能力は人数ではなく代替可能性で測る

エンジニアが五人いるという数だけでは内製可能性を判断できません。業務責任者、データ管理者、AI評価者、アプリ開発者、運用担当について、主担当と代替者、週に確保できる時間、過去の実務経験を確認します。兼務者の空き時間を100％稼働として足さないことが重要です。

内製準備度は、各能力を0から3で評価できます。0は担当なし、1は外部支援下で実行、2は標準案件を単独実行、3は例外対応と他者育成まで可能、という証拠付きの尺度です。平均2点でも、事故停止を担う運用が0点なら本番内製へ進めません。最低能力がボトルネックになります。

採用予定者を現在能力へ含める場合は、入社確率と時期を別欄にします。採用できなければ外注へ切り替える条件、外部要員が離任したら社内担当がどこまで引き取るかも決めます。担当一人へ集中する計画は、内製というより個人への外注に近い状態です。

内製・外注・共同運営を九つの軸で比べる

比較は、内製案だけ理想の採用が完了した状態にせず、現在確保できる要員で置きます。外注案も提案書の最上位要員ではなく、契約期間に実際に配置される役割と稼働率で評価します。共同運営案では境界の調整費を忘れないようにします。

配点例は業務理解20、統制15、改善頻度15、供給継続15、専門性10、三年費用10、退出10、初動5です。データの無断二次利用禁止、重大誤りの停止、ソース・評価データの引渡しは必須条件にし、点数で補いません。方式別に一案ずつではなく、内製の要員数や委託範囲を変えた複数シナリオを比較します。

案件の反復性と失敗影響で方式を変える

同じ会社でも、AI案件を一つの調達方針へ統一する必要はありません。判断に使うのは、変更が何年続くか、誤作動が顧客や権利へ及ぼす影響、社内固有データの比重、専門技能を使う期間です。短期の検証と、毎週改善する顧客向け製品では、適切な要員構成も知識移転の深さも異なります。

例えば、八週間の検証にフルタイムの採用計画を置くと、検証終了後に固定費が残ります。一方、顧客向け機能を三年間すべて準委任へ出すと、毎回の仕様変更に発注調整が入り、製品判断の履歴も散らばります。前者は外部専門家へ検証作業を絞り、後者は社内プロダクト責任者と評価者を先に固定する方が整合します。

高影響の判断補助は、内製なら安全になるわけでも、第三者へ任せれば中立になるわけでもありません。社内は利用目的と救済手段を決め、開発チームとは別の評価者に属性別の誤りを調べてもらいます。自動確定を禁止し、人の承認記録を残す条件は、方式の点数より上位の必須条件にします。

既製サービスで十分な定型業務まで独自内製すると、認証、監視、更新対応を重複して抱えます。反対に、競争上重要な判断ロジックを設定変更できない外部サービスへ閉じ込めると、改善速度を供給者へ委ねます。案件類型表は年一回の全社方針ではなく、各案件の企画時と対象範囲の変更時に更新します。

3年要員費と委託費を同じ前提で試算する

内製費には給与だけでなく、採用、教育、管理、クラウド、監視、休暇時の代替を入れます。外注費には初期構築、月次保守、仕様変更、社内の発注・受入時間、クラウド、契約更新を含めます。共同運営では、会議や境界調整の時間も独立費目にします。

以下は顧客支援AIを36か月運営する架空の試算です。金額は税込・税別の実見積ではなく、計算方法を示す万円単位の想定です。内製案はプロダクト責任者0.5人、開発者2人、データ担当0.5人、運用・セキュリティ0.5人を置きます。

内製の社内要員11,700万円は、年3,900万円×3年です。外注案にも社内責任者0.5人分を年600万円として1,800万円計上しています。発注だけして社内工数をゼロにする試算は、要件、受入、事故判断を誰も行わない計画になります。この前提では共同運営が最安ですが、150人月の追加改修が生じるなら結果は変わります。

感度分析では、利用件数50％、想定どおり、150％の三ケースに加え、内製者一人の退職、委託単価15％上昇、モデル費40％低下を置きます。差額が全体の5％未満なら、費用だけで方式を決めず、業務理解と退出可能性を優先します。会計上の資産・費用区分や税務処理は自社の経理・税務担当へ確認してください。

委託先は提案力より供給継続性を調べる

委託先調査では、デモの精度と担当営業の説明だけで決めません。実際の開発責任者、再委託階層、利用するモデル・OSS・クラウド、脆弱性対応、財務・供給継続、事故実績、要員交代の方法を確認します。提案時の主要人物が契約後に配置されるかは、氏名または同等要件を契約へ入れます。

NIST SP 800-161 Rev.1 Update 1は、製品・サービスのサプライチェーンに関するサイバーリスクを組織のリスク管理へ組み込むための実務を示し、2022年5月発行、2024年11月1日までの更新を含みます^[3]。米国政府向けの背景を持つ文書であり、日本企業への法的義務ではありませんが、再委託を含む可視性と供給継続を質問する枠組みに使えます。

さらにNIST SP 1326「Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide」は2026年7月に最終版が公開され、ICT供給者調査の構成要素として外国所有・支配・影響、来歴、レジリエンス、基礎的なサイバー対策、供給階層を挙げています^[4]。自社リスクに関係する項目だけを採用し、国籍だけで機械的に可否を決めないようにします。

契約で成果物・データ・変更責任を確定する

契約書では、「AIシステム一式」を成果物とせず、ソースコード、インフラ定義、プロンプト、評価ケース、検索用変換処理、データ辞書、運用手順、既知の制約を列挙します。納品形式、利用権、編集権、第三者への再委託可否、契約終了後の利用可否をそれぞれ定めます。

経済産業省「AIの利用・開発に関する契約チェックリスト」は、インプット、アウトプット、学習用データ、追加学習済みモデル、サービス水準など、利用型と開発型の契約で検討する論点を整理しています。2025年2月18日公表、2月20日更新版です^[1]。チェックリストは契約条文そのものではないため、案件のデータと役割に合わせて法務担当が条文化します。

デジタル庁の生成AI調達・利活用ガイドライン第2.0版は、2026年6月12日に決定された政府情報システム向けの規範文書で、調達・契約チェックシートと役割別ルールを含みます^[2]。民間契約へ直接適用されるものではありませんが、企画者、提供者、利用者、統括責任者の分担を自社契約と照合する参考になります。

受入試験は委託先から独立して判定する

受入基準を委託先が作り、その委託先だけが試験する構造では、発注者の業務リスクが反映されません。社内の業務責任者が代表案件と重大誤りを定義し、委託先は実行を支援します。必要なら評価専門会社を別契約にし、開発成果と評価結果の利害を分けます。

架空の社内規程検索では、通常40件、版違い10件、アクセス不可8件、答えがない7件、指示注入5件の計70件を用意するとします。合格条件は、引用元一致率95％以上、アクセス不可文書の漏えい0件、根拠なし回答0件、95百分位応答15秒以内です。文章の好みは別の品質項目にし、漏えいと同じ平均点へ入れません。

数値閾値は本番の影響から決め、検収直前に緩めないよう契約前に固定します。入力ケースを委託先へ開示する版と、発注者だけが保持する抜き打ち版へ分けると、既知ケースへの過適合を見つけやすくなります。合格後もモデルや知識が変われば同じ評価を再実行します。

共同運営のRACIと承認境界を作る

共同運営では、社内と委託先の双方が「支援」と書かれた責任表は機能しません。RACIで、実行責任、最終説明責任、相談先、報告先を一つの活動ごとに決めます。最終説明責任者は活動ごとに一人にします。会社名だけでなく、役割名と代理者も記載します。

RACIだけでは承認条件が分からないため、金額、情報区分、顧客影響で境界を加えます。公開情報のテンプレート修正は製品責任者、社外秘データの追加は安全責任者、顧客への自動処理拡大は役員スポンサー、といった段階です。緊急停止は承認を待たず運用当番が実行し、再開には二者承認を必要とする設計も考えられます。

定例会は週次で障害と変更、月次で品質・費用・便益、四半期で対象範囲・契約・退出可能性を確認します。会議回数ではなく、未解決事項の所有者と期限が更新されたかを見ます。委託先の説明をそのまま記録せず、発注者の受容・差戻し・停止判断を別欄に残します。

知識移転と撤退を開始時点から進める

知識移転を契約最終月の研修へまとめると、設計判断と障害対応の経緯が抜けます。月次で一つの構成、評価、障害を社内担当が説明し直し、四半期ごとに委託先の助言なしで回帰評価または復旧を実行します。資料の受領ではなく、社内が再現できた時間を移転指標にします。

四半期の知識移転テスト例
対象: 検索索引の再構築
入力: 承認済み文書50件と削除対象5件
社内担当の作業: 設定確認、再構築、固定70件の評価
合格: 4時間以内、禁止文書表示0、重大誤り0
委託先の介入: 30分を超えたら未移転として記録
次回までの是正: 手順追記、権限追加、再演習日を決定

撤退条件には、重大事故、SLA未達の継続、主要要員の無断交代、再委託先の不開示、費用上限超過、知識移転の二回連続不合格を入れます。条件が成立したら、是正期間、縮小、他社移管、内製引取のどれへ進むかを契約別紙で定めます。

外注が向かないのは、発注者が目的、データ利用、合否のいずれも決められず、委託先へ「良いAIを作ってほしい」とだけ依頼する状態です。この場合は大型開発を始めず、社内責任者を任命し、10〜20件の代表案件から完成条件を作る支援に範囲を縮めます。

契約中の方式変更を数値で発動する

最初に選んだ方式を三年間固定すると、採用成功や利用増加といった前提変化を取り込めません。契約には解約条項だけでなく、内製へ引き取る、別会社へ移す、委託範囲を広げる、サービスを縮小する四方向の変更条件を入れます。感覚的な「依存が高い」では動けないため、月次資料から判定できる指標にします。

内製化は、一日に切り替えません。第一段階で社内担当が委託先と同じ作業を行い、結果を照合します。第二段階では社内を実行責任者に替え、委託先を相談先へ下げます。二回の配備と一回の復旧演習を社内だけで完了した後に、委託工数を減らします。順序を逆にすると、引取り直後の障害で元の要員を追加契約することになります。

再調達では、現行会社から候補会社へ直接引き継がせるだけでなく、発注者が成果物の完全性を照合します。ソースの最終版、クラウド資産、秘密情報、評価データ、未解決欠陥、ライセンスを台帳で突合し、旧会社のアクセスを無効化します。新会社が30日間運用した後も、旧会社の削除証明と請求終期を確認します。

切替えない判断にも条件が要ります。着手待ちが長くても、年一回しか変えない法定帳票なら内製移管の便益は小さい場合があります。月額費用が上がっても、重大事故対応を24時間確保する追加分なら単純削減は不適切です。指標の閾値を超えたら自動解約するのではなく、業務責任者、調達、IT、安全担当が原因と移行リスクを確認して決裁します。

採否記録には再評価条件まで書く

最終記録は、方式、内製工程、委託工程、三年費用、必須条件、選外理由、知識移転、撤退を含めます。次は共同運営を選ぶ架空例です。実在企業の契約や実績を示すものではありません。

対象: 顧客支援AIの構築・36か月運営
決定: 共同運営
社内保有: 製品方針、データ許可、固定評価、停止・再開承認
外部委託: アプリ実装、基盤監視、夜間一次対応
想定3年費用: 13,180万円
必須条件: 顧客データ二次利用なし、重大漏えい0、評価資産を編集可能形式で返却
内製単独を見送る理由: 夜間運用の代替要員を12か月以内に確保できない
外注単独を見送る理由: 業務評価とデータ判断を社内へ蓄積できない
知識移転: 四半期ごとに社内担当が索引再構築を4時間以内で実施
再評価: 社内運用能力が全項目2以上、または委託単価が15％上昇
撤退: 知識移転二回不合格、重大事故、主要再委託先の不開示

選定会議では、調達が価格と契約、業務部門が価値と受入、ITが構成と運用、安全・法務がデータと事故対応を確認します。採用案だけでなく、選外案を再び選べる条件を書けば、要員や技術が変わったときゼロから議論せずに済みます。

次の行動は、現在の案件を六工程へ分け、各工程について主担当、代替者、週の確保時間、外部補完を記入することです。担当の空欄が残る工程を外注候補とし、最終説明責任まで外へ出ていないかを役員スポンサーが確認します。

参考文献・出典

1. 経済産業省「AIの利用・開発に関する契約チェックリスト」（2025年2月18日公表、2025年2月20日更新、2026年7月30日参照）
2. デジタル庁「行政の進化と革新のための生成AIの調達・利活用に係るガイドライン（第2.0版）」（2026年6月12日決定、2026年7月30日参照）
3. NIST「SP 800-161 Rev.1 Update 1: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations」（2022年5月発行、2024年11月1日までの更新を含む、2026年7月30日参照）
4. NIST「SP 1326: Cybersecurity Supply Chain Risk Management: Due Diligence Assessment Quick-Start Guide」（2026年7月最終版、2026年7月30日参照）
5. ISO「ISO/IEC 42001:2023 Artificial intelligence — Management system」（第1版、2023年12月発行、2026年7月30日参照）