オンプレミスとクラウドの違い機器を自社で持つか、事業者の設備を借りるか。SaaSはクラウドの一種で、AIを自分のPCで動かす話との関係もIPA・NIST・各社の原文で整理【2026年10月版】

2026年10月8日・日本時間時点の情報です。 オンプレミス（オンプレ、on-premises）とクラウドの違いは、システムの機器とソフトを自社で持って運用するか、事業者の設備をネット経由で借りて使うかです。SaaS（サース）はクラウドの3つの分類の一つで、オンプレミスやクラウドと並べて選ぶ別の仕組みではなく、クラウドの中の、完成したソフトをそのまま使う形を指します。どちらにも決まった値段はなく、払い方と責任の分け方が違います。クラウドそのものの定義とSaaS・PaaS・IaaSの原文はクラウドとは何かを書いた記事に書いたので、この記事はオンプレミスとの違いと選び方に絞ります。

3行まとめ

• IPA（情報処理推進機構）が2026年6月に出した資料の図では、オンプレミスはアプリケーション・OS・ミドルウェア・ハードウェアのすべてを自社が調達・運用・保守し、SaaSはそのすべてをクラウド事業者が担う（2026年10月8日に取得）。
• 「オンプレミス」「クラウド」「SaaS」は比べる軸が一つではない。IPAは分類を「利用形態」（パブリック・プライベートなど）と「サービス提供形態」（SaaS・PaaS・IaaS）の2つの観点で示している。
• AIを自分のPCで動かす「ローカル」とクラウドのAIは、計算する場所の違い。Ollamaの公式ページは、同じアプリでローカルとクラウドの両方が使え、ローカルだけにするにはクラウド機能を無効にすると書いている（筆者が2026年10月8日に画面で確認）。

オンプレミスとクラウドは、何を自社でやるかが違う

IPAのDX SQUAREは、クラウドの記事でオンプレミスをこう説明しています。

企業が業務用のIT環境が必要になった場合、以前はコンピューター（サーバーやホストコンピューター）とそこで利用するソフトウェアなどを購入して、自社に設置して利用することが一般的でした。これを「オンプレミス（on-premises）」と呼びます。自社の社屋には置かずに外部のデータセンターに置いてネットワークでつなげる場合もありますが、設備を自分たちで所有・管理しないといけない点は同じです。

ここで大事なのは最後の一文です。機器を置く場所が自社の建物かどうかではなく、設備を自分たちで所有・管理するかどうかが、IPAの説明の分かれ目になっています。

IPAの「中小企業のためのクラウドサービス安全利用の手引き」説明資料（2026年6月・32ページ）の3ページ目には、「クラウドサービスの形態」という図があります。オンプレミス・IaaS・PaaS・SaaSの4つを並べ、アプリケーション・OS・ミドルウェア・ハードウェアの3段について、「自社が調達・運用・保守」するか「クラウド事業者が調達・運用・保守」するかを色分けしています。筆者がPDFの3ページ目を画像にして開き、色分けを読み取った結果を表にします。

出典はIPAの図（表にしたのは筆者）です。右に行くほど、自社でやることが減り、事業者に任せる部分が増えます。オンプレミスがいちばん自由で、いちばん手間がかかる側、SaaSがいちばん手間が少なく、いちばん自分で変えられない側です（筆者の読み）。IPAのDX SQUAREも、SaaSでは「アプリケーションの機能自体のカスタマイズはできないことが多いです」と書いています。

SaaSとクラウドは別のものか。オンプレミス・クラウド・SaaSを並べると混ざる理由

「オンプレミス クラウド SaaS 違い」と検索して分かりにくい理由は、この3つが同じ軸の選択肢ではないことにあります。

総務省の「国民のためのサイバーセキュリティサイト」は、「クラウドサービスは、主に以下の3つに分類されます。」と書き、SaaS・PaaS・IaaSを挙げています。つまりSaaSはクラウドの分類の一つです。一方、オンプレミスは、IPAがDX SQUAREの「クラウド以前は？」の見出しの下で説明し、2026年6月の資料の図でも「自社保有」としてクラウドサービスと対に置いている言葉です。

IPAは、クラウドの分類を2つの観点で示しています。

「SaaS」は下の行、「パブリック」「プライベート」は上の行の言葉です。たとえばGmailのようなメールはSaaSで、同時にパブリッククラウドで提供されている、というように、両方の行の言葉で同じものを呼べます（この例は筆者の整理です。IPAはGmailやYahoo!メールをクラウドサービスの例に挙げています）。オンプレミスは、この表のどの区分にも入らない「自社で持つ」側の言葉です。

筆者のたとえでいえば、「クラウド」が「果物」、SaaSが「りんご」にあたります。「果物かりんごか」と聞かれても答えにくいのと同じで、「クラウドかSaaSか」は問いの立て方がずれています。比べるなら「オンプレミスかクラウドか」、クラウドを選んだあとで「SaaSかPaaSかIaaSか」という順になります。

費用の払い方はどう違うか

オンプレミスとクラウドは、お金の出方が違います。ここでは金額の優劣ではなく、公式資料が書く払い方の違いを並べます。

• オンプレミス。IPAは、社員や業務やデータが増えた場合、サーバーのCPUやディスク装置の増設、場合によっては新しいサーバーの買い足しが必要で、「増設だけでも時間も費用も手間も掛かって、情報システム担当には一大イベントでした」と書いています。
• クラウド。AWSの日本語ページは、「固定支出 (データセンターや物理サーバーなど) を変動費の支出に置き換え、消費した分の IT サービスについての料金のみを支払うことができます」と書いています。同じ段落で「規模の経済により、変動費は自社で構築して支払いを行うよりもはるかに低額となります」とも書いていますが、これはクラウド事業者自身の説明です。Google Cloudの日本語ページも、「使用した分だけ支払う」ことで物理データセンターやサーバーを購入して維持する必要がなくなる、と書いています。

一方で、利用側の注意もあります。IPAの説明資料は、「クラウドサービス利用上留意すべき事項」として、次の項目を並べています。

利用量・処理量の異常な増加や意図せぬ増大に伴う使用料の急増のリスク

使った分だけ払う仕組みは、使いすぎた分も払うということです。また、同じ一覧には「利用できるアプリケーションのカスタマイズの制約」「アプリケーション間のデータ連携実現への制約やコスト増の可能性」も入っています。

AIを自分のPCで動かす場合とクラウドのAIの費用の分かれ目は、クラウドとローカルの費用を比べた記事に計算の式があります。

セキュリティの責任はどう分かれるか

「クラウドは安全か」という問いは、「だれが何を守るか」に直して読むと整理できます。

IPAのDX SQUAREは、クラウドの注意点を次のように書いています。

システムを所有する場合には自社で対応すればよかったセキュリティ対策について、『利用するだけ』のクラウドサービスでは、事業者に委ねる部分が出てきます。

続けて、「事業者に委ねる部分は、利用者は直接管理することができません」と書いています。クラウドのリスク3つを挙げたあとには、こう書いています（IPAが挙げるリスク3つと、ID・パスワードの管理の話はクラウドとは何かの記事に書きました）。

クラウドサービスのセキュリティは、事業者と利用者の両方がそれぞれの役割・責任を分担します。利用者だからといって責任を持たなくていいわけではありません。

AWSの「責任共有モデル」のページは、この分担を次のように説明しています。

セキュリティとコンプライアンスは AWS とお客様の間における共有責任です。

同じページは、AWSの責任を「クラウドのセキュリティ」、お客様の責任を「クラウドにおけるセキュリティ」と呼び、サービスによって分担が変わることも書いています。仮想サーバーを提供する Amazon EC2 は IaaS にあたり、お客様はゲストOSの管理（更新やセキュリティパッチを含む）やアプリケーションの管理などを行います。Amazon S3 のような抽象化されたサービスでは、AWSがインフラ・OS・プラットフォームを運用し、お客様は「データの管理 (暗号化オプションを含む)、アセットの分類、IAM ツールでの適切な権限の適用」に責任を負う、と書いています。前の節の表で、右に行くほど事業者の担当が増えることと同じ向きの説明です。

クラウドのほうが安全だという見方もあります。Google Cloudの日本語ページは、「クラウド コンピューティングのセキュリティは通常、企業のデータセンターより強力であると認識されています」と書いています（事業者自身の説明です）。IPAのDX SQUAREも、OS・ミドルウェア・アプリケーションの修正版がタイムリーに適用されることなどを理由に、自社で個別に対策するよりクラウドのほうが効率的にセキュリティレベルを確保できる、と書いています。上の「直接管理することができません」と合わせて、両面から読む必要があります。

クラウドを使う前に、何を確かめればよいか

IPAの手引きの説明資料は、確認点を15項目のチェックシートにしています（選ぶとき6項目・運用するとき4項目・セキュリティ管理5項目）。オンプレミスとの違いが出る項目を、資料の見出しのまま抜き出します。

• 「取扱う情報の重要度を確認する」。漏えい・改ざん・消失・サービス停止の影響を確認する。
• 「セキュリティのルールと矛盾しないようにする」。例として「社外に置くことを禁止しているデータ（例）マイナンバー、お客様から預かった情報」が挙がっている。
• 「クラウドサービスの安全・信頼性を確認する」。稼働率、障害時の回復目標時間、SLA（サービスレベル合意書）など。
• 「バックアップに責任を持つ」。重要情報を手元に確保して必要なときに使えるようにしているか。
• 「利用終了時のデータを確保する」。全データの返却や、残留データの完全消去など。
• 「データ保存先の地理的所在地を確認する」。どの国や地域のサーバーに保存されているか。

オンプレミスなら自分で決めていたこと（データをどこに置くか、バックアップをどうするか）を、クラウドでは事業者の仕様や契約の中から読み取って確認する、という構図になっています（筆者の整理）。

「プライベートクラウド」はオンプレミスと同じか

ここは資料によって言い方が分かれるので、3つの原文を並べます。

NISTの訳は次のとおりです（筆者訳）。「クラウドの基盤が、複数の利用者（たとえば事業部）からなる単一の組織の専用として用意される。その組織・第三者・両者の組み合わせが所有・管理・運用でき、敷地の内にあっても外にあってもよい。」

3つを並べると、「1つの組織の専用」という点は共通です。違うのは、それをオンプレミスと呼ぶか（Google Cloud）、クラウドの特徴を満たさないことが多いと注意するか（IPA）、敷地の内外や運営者を問わず含める（NIST）か、という扱いです。ほかの資料で「プライベートクラウド」「オンプレミス」を見かけたら、そこでの使い方がどれに近いかを読み取る必要があります。

なお、オンプレミスとクラウドは二択とも限りません。NISTは「ハイブリッドクラウド」を、2つ以上の別々のクラウド基盤（private・community・public）を、データやアプリの移し替えができる技術で結びつけた形、と定義しています。Microsoft Learnの記事は、Azure Localについて、「オンプレミスまたはエッジの場所にある独自の検証済みハードウェアで、ワークロードと、仮想マシン (VM)、Azure Kubernetes Service (AKS)、選択したAzure Arc対応サービスなどのAzure サービスを実行できます」と書いています。自社の機器の上でクラウド事業者のサービスを動かす形も、事業者の製品として用意されている、ということです。

自社の場合はどちらを選ぶか（筆者の提案）

この記事で引いた公的資料が書いているのは「確認点」までで、本記事が読んだ範囲では「あなたはこちら」と決める文章はありませんでした。以下は、ここまでの原文を踏まえた筆者の目安です。公式の推奨ではありません。

AIを自分の環境で動かす（ローカル）のと、クラウドのAIは何が違うか

ここまでの「オンプレミス」「クラウド」は、一般のITの言葉です。AIの話になると、同じ区別が少し形を変えて出てきます。筆者は次のように整理しています（出典の文言ではありません）。

Appleがクラウド側で処理する仕組みと、GoogleがAndroidの端末内で処理する仕組みは、クラウドとは何かの記事に公式の原文つきで書きました。ローカルでAIを動かす手順と必要な機器はローカルLLMの解説記事にあります。

企業の側では、MicrosoftのAzure Localの説明に、「ローカル制御または低待機時間を必要とする AI 推論の場合は、プレビュー段階の Azure Local で Foundry Local を評価します」という一文があります（2026年10月8日に取得した版）。クラウド事業者の製品でも、AIの計算を自社の機器側に置く選択肢が用意されている例です。国がAIの計算資源やデータを自国管理で持とうとする考え方はソブリンAIの記事に書いています。

注意したいのは、同じアプリの中にローカルとクラウドの両方がある場合です。Ollamaはその一例で、公式トップページには次の文があります。

Access the latest open models with complete privacy locally or in the cloud. Your prompts are never stored or trained on.

（訳：最新のオープンモデルに、完全なプライバシーで、ローカルでもクラウドでもアクセスできる。あなたのプロンプトは保存も学習もされない。）

これはOllama自身の説明です。公式ドキュメント「Cloud」には、使い分けに関する記述が複数あります。

• 「In the Ollama app or CLI, use gemma4:cloud. Cloud models do not need to be downloaded.」（訳：Ollamaのアプリまたはコマンドでは gemma4:cloud を使う。クラウドモデルはダウンロードする必要がない。）
• 「Ollama processes cloud prompts and responses to answer your requests. We do not use them to train models.」（訳：Ollamaは、リクエストに答えるためにクラウドのプロンプトと応答を処理する。それらをモデルの学習には使わない。）
• 「To use only local models, disable cloud features.」（訳：ローカルのモデルだけを使うには、クラウド機能を無効にする。）

料金ページでは、Free（0ドル）のプランに「Run models locally」が含まれ、「Use any cloud model with pay-as-you-go usage credits.」（訳：どのクラウドモデルも、従量課金のクレジットで使える）と書かれていました。つまり「Ollamaを使っている＝手元で動いている」とは限らず、どのモデルを選んだかで計算する場所が変わります。公式ドキュメントの例では、アプリやコマンドで使うクラウドモデルの名前に「:cloud」が付いています（gemma4:cloud。筆者はアプリの画面は見ておらず、ほかのアプリがどう表示するかも確かめていません）。

ChatGPT・Gemini・ClaudeのアプリのAIの計算がどこで行われるかは、この記事では公式の原文で確かめていません。入力した内容を事業者がどう扱うかは、学習への利用を止める設定を調べた記事にまとめています。

公式ページを開いて、オンプレミスとクラウドの記述を確かめた結果

2026年10月8日の5時04分から5時07分（日本時間）に、アカウントを作らず、ログインもせず、筆者のMacで公式ページの原文を取得し、5時06分からは画面を出さない設定（ヘッドレス）のブラウザで開きました。PCの大きさ（1280×800）で撮影し、IPAとOllamaのトップはスマートフォンの大きさ（390×844）でも撮影しています。

• IPA DX SQUARE（5時06分）。2025年4月21日掲載の記事が開き、「クラウド以前は？」の見出しの下にオンプレミスの説明がありました。
• IPAの手引きの説明資料（5時06分に取得）。PDFは32ページで、表紙に「2026年6月」とありました。3ページ目の図を画像にして開き、オンプレミス・IaaS・PaaS・SaaSの4列が、自社の担当（黄色）とクラウド事業者の担当（橙色）に塗り分けられているのを確かめました。上の表はこの図の読み取りです。
• AWSの責任共有モデル（5時06分）とGoogle Cloudのクラウド解説（5時06分）。どちらも日本語のページが開き、本文で引いた文がありました。AWSのEC2・S3の例の文は、撮影した画面の文字には出ておらず、同じページのHTMLで確かめました。
• Ollama（5時06分）。トップページに「locally or in the cloud」の文がありました。料金ページは Free が $0、Pro が $20/mo. または年払い $200/yr、Team が $500/mo.（Early access）、Enterprise が Custom と表示され（Proの欄には Max への切り替えもありました）、そのあとに各クラウドモデルの100万トークンあたりの料金の表が続いていました。公式ドキュメントの「Cloud」の画面には、「Data handling」の項と、ローカルだけにする場合の説明がありました。

オンプレミスとクラウドの比較で、確かめられなかったこと

• どちらが安いかは、使う規模・期間・必要な機能で変わります。本記事は費用を計算せず、払い方の違いを原文で並べるところまでにしました。
• AWS・Google Cloud・Microsoft・Ollamaの文は、各社が自社の製品について書いたものです。クラウドの安全性や費用の利点の記述は、第三者が検証した結果ではありません。
• NIST SP 800-145は2011年の文書です。2026年の個々のサービスにそのまま当てはまるかは確かめていません。
• 筆者が開いたのは、ログインせずに見られる公式ページだけです。AWSやAzureの管理画面、Ollamaのアプリとログイン後の画面、クラウドモデルの実際の動作は見ていません。
• 日本の法令（個人情報保護法など）がクラウド利用に課す条件は調べていません。IPAの資料が確認項目として挙げているところまでです。

オンプレミスとクラウドの違いを調べた資料と取得日

本文で名指しした資料は、すべて出典欄に載せています。取得日は2026年10月8日です。公的機関はIPA（DX SQUAREの記事と2026年6月の手引き説明資料）・総務省・NIST、事業者はAWS・Google Cloud・Microsoft Learn・Ollamaです。引用は、保存した原文と、ヘッドレスのブラウザで撮影した画面の文字から確かめています。