ソブリンクラウドとは

ソブリンクラウドとは何ですか？

ソブリンクラウド（sovereign cloud）は、データとその扱いを、自国（または自分の地域）の法律と管理の下に置けるクラウドのことです。「主権を持てるクラウド」と訳されることもあります。

ただし、決まった定義はありません。調査会社の Gartner も、事業者や利用者のあいだで共通に受け入れられた定義はないとしています。そのため、ある会社が「ソブリンクラウド」と呼んでいるサービスと、別の会社の「ソブリンクラウド」とでは、守っている範囲が違うことがよくあります。

比べるときは、次の3つに分けて考えると混乱しにくくなります。

• データ主権: データがどの国にあり、どの国の法律の下で扱われるか
• 運用主権: 誰が運用していて、誰がデータにアクセスできるか
• 技術主権: ソフトウェアやハードウェアを、特定の外国企業に頼らずに動かし続けられるか

この3つの分け方は業界でよく使われているもので、法律や公的な基準で決まったものではありません。Google Cloud は「データ・運用・ソフトウェア」、富士通は「テクノロジー・データ・運用・法的・セキュリティ」の5つに分けるなど、会社ごとに少しずつ違います。

なお、HANAMII株式会社（沖縄県名護市）が運営する国産 PaaS の hanamii は、さくらインターネットの日本国内データセンター上で動き、日本の会社が運用しています。この3つのうちどこまで当てはまるかは、このページの最後に書いています。

データ主権・運用主権・技術主権は、具体的に何を確認すればいいですか？

外資系の大手クラウドも、データ主権と運用主権の一部に対応した「ソブリン」向けのサービスを出しています（後で紹介します）。一方、技術主権まで満たせるのは、ソフトウェアも自分の国で持っている事業者に限られます。どこまで必要かは案件によるので、3つを全部満たさないと意味がない、という話ではありません。

なぜ「日本リージョンに置けば十分」ではないと言われるのですか？

理由は主に二つあります。

一つ目は、米国の CLOUD Act です。 2018年に成立した米国の法律（18 U.S.C. §2713）で、米国の管轄に服する事業者は、自社が管理しているデータについて、そのデータが米国内にあっても国外にあっても、米国の捜査当局の求めに応じて開示する義務を負うと定めています。条文の基準は「データの保存場所」ではなく「事業者が管理しているか」です。このため、東京や大阪のリージョンに置いたデータでも、条文上は対象になりえます。

事業者側も対策をとっています。AWS は、開示を求められたときに顧客へ通知することや、請求を精査して異議を申し立てること、顧客が暗号鍵を管理できることを説明しています。それでも完全には防げないことを、事業者自身が認めた例もあります。2025年6月、Microsoft France の担当者はフランス上院の委員会で、フランス市民のデータがフランスの同意なく米国当局に渡らないと保証できるかを問われ、「保証できない（ただし、これまでに起きたことはない）」と答えました。

なお、CLOUD Act は犯罪捜査のための仕組みで、諜報のための外国情報監視法（FISA）702条とは根拠も手続きも別です。欧州でデータ移転が問題になったのは主に後者です。FISA 702条は2026年6月に期限が切れましたが、既存の裁判所の認証にもとづく情報収集は続いていると報じられており、延長をめぐる議論が続いています。

二つ目は、日本の個人情報保護法です。 個人データを外国の事業者のクラウドに保存する場合、利用する側は、その国の個人情報保護の制度を把握したうえで安全管理措置をとり、事業者の所在国などを本人が知ることができる状態にしておく必要があります（ガイドライン通則編の「外的環境の把握」）。個人情報保護委員会の FAQ（Q10-25）は、この点について「日本国内に所在するサーバに個人データが保存される場合においても同様です。」と書いています。つまり、外資系クラウドの日本リージョンを使っていても、プライバシーポリシーには事業者の所在国（たとえば米国）とその制度への対応を書く必要があります。詳しくは個人情報保護法「外的環境の把握」とサーバー所在を参照してください。

日本の政府は、ソブリンクラウドをどう扱っていますか？

日本の政府文書では、「ソブリンクラウド」という言葉はほとんど使われていません。2026年7月に閣議決定された「骨太の方針2026」も、この言葉は使わず、「開かれたＡＩ主権を確立しながらＡＩ・データ基盤を整備する」「自律的な運営・管理を確保した上で、機密性の高い情報を扱うために必要な情報保全・秘密保全措置を講じたクラウドの導入を進める」と書いています。同じ方針の中で、そのための調達方法について2026年中に結論を出すとしています。

これより前から、クラウドは経済安全保障の対象になっています。2022年12月、経済安全保障推進法の「特定重要物資」にクラウドプログラムが指定されました。このとき政府は、クラウドの海外依存度が約7割（2021年時点）であること、行政や重要インフラのデータを「自律的に管理可能な基盤クラウド」を国内に確保することが重要であることを説明しています。この枠組みで、さくらインターネットや KDDI などの国内事業者が、GPU クラウドや基盤クラウドの開発に助成を受けています。

ガバメントクラウドはソブリンクラウドですか？

同じものではありません。ガバメントクラウドは、国の機関や地方公共団体が共通で使うクラウドを、デジタル庁が要件を決めて選ぶ仕組みです。2026年3月27日時点で対象になっているのは次の5つです。

• Amazon Web Services（AWS）
• Google Cloud
• Microsoft Azure
• Oracle Cloud Infrastructure（OCI）
• さくらのクラウド（さくらインターネット）

さくらのクラウドは2023年11月に「2025年度末までにすべての技術要件を満たすこと」を条件に採択され、2026年3月27日に、すべての技術要件を満たしたことが確認されました。国内事業者のサービスとしては初めてです。

5つのうち4つは米国企業のサービスで、データは国内で保管するという要件はありますが、事業者の国籍は問われていません。ガバメントクラウドは「国内に置く」ことは満たしていても、上で書いた3つの主権を全部満たすことを目的にした仕組みではありません。また、ガバメントクラウドの枠組みを使えるのは国や自治体で、民間企業がこの枠組みで契約することはできません。

海外では、ソブリンクラウドはどう動いていますか？

欧州の動きがいちばん具体的です。

• 欧州委員会の調達: 2026年4月、欧州委員会は EU の機関が使うソブリンクラウド（6年間で最大1億8,000万ユーロ）の調達先として、欧州企業4つの連合を選びました。評価には「Cloud Sovereignty Framework」という8つの観点（戦略・法律・運用・サプライチェーンなど）と、SEAL-0〜4 の5段階の評価が使われています。
• 法案: 2026年6月、欧州委員会はソブリンクラウドの定義と公共調達の基準を決める「Cloud and AI Development Act」を提案しました。2026年10月時点では、まだ成立していません。
• 米国の大手の対応: AWS は2026年1月、EU 域内で完結し、EU 居住者だけが運用する「AWS European Sovereign Cloud」の提供を始めました。Microsoft は2025年6月に「Microsoft Sovereign Cloud」を発表し、欧州の人員による運用やアクセスの承認、顧客が持つ暗号鍵の利用などを打ち出しています。Google Cloud も、データの保管場所を限定する形から、外部のネットワークにつながない形まで、3つの形で提供しています。

Gartner は、2026年のソブリンクラウド向け IaaS の支出が世界で800億ドル（前年比35.6%増）になると予測しています。

日本で「ソブリンクラウド」をうたうサービスには、どんなものがありますか？

日本で「ソブリン」をうたうサービスは、大きく2つの形に分かれます。国内の会社が自社で開発したクラウドを自社のデータセンターで動かす形と、米国企業の技術を国内の会社が自社のデータセンターで運用する形です（2026年10月時点）。

さくらインターネットは、データセンターの運用からクラウドのソフトウェアまで国内の会社が持っているので、3つの層のうち技術主権まで含めて国内で説明できます。Oracle Alloy や Google Distributed Cloud を使う形は、データの保管場所と運用を国内に置くことで、データ主権と運用主権に対応しています。ソフトウェアの供給元は米国企業なので、技術主権については別の評価になります。その代わり、米国の大手と同じ機能やサービスの幅を国内で使えます。どちらがよいかは、何を守りたいかで変わります。

自分の案件に、ソブリンクラウドは必要ですか？

多くの Web アプリでは、「ソブリンクラウド」という名前のサービスを探す必要はありません。先に、案件で求められていることを次の順に確かめてください。

1. データの保存場所が決まっているか: セキュリティチェックシートや委託契約に「国内に保存」とあるなら、データ・ログ・バックアップまで国内にあるかを確かめます（国内データ所在が要件のとき）。
2. 事業者の国籍や準拠法が問われているか: 「国内法の適用」「国内の裁判所を管轄裁判所にできること」を要件にしている自治体もあります。この場合、東京リージョンでは足りず、日本の会社と日本法で契約できるかが条件になります。
3. 個人データの扱いを説明する必要があるか: プライバシーポリシーに事業者の所在国を書くことになります。国内の事業者を使えば、外国の制度について書くことはなくなります。
4. 機密性の高い行政情報や重要インフラのデータか: ISMAP（政府情報システムのためのセキュリティ評価制度）への登録などが要件になる領域で、本来の意味でのソブリンクラウドの議論が当てはまるのはここです。対応している大手の事業者と要件を詰めてください。

1〜3 で止まる案件が大半で、その場合は「日本の会社が、日本のデータセンターで運用しているか」を確かめれば足ります。

hanamii はソブリンクラウドですか？

hanamii は、Web アプリを公開するための PaaS で、大規模な行政システムを載せるためのクラウドではありません。そのため、自らソブリンクラウドとは名乗っていません。上の3つの層に当てはめると、次のとおりです。

• データ主権: アプリの実行環境は、さくらインターネットの日本国内データセンターにあります。運営する HANAMII株式会社は日本の会社で、契約は日本語・円建てです。
• 運用主権: hanamii の運用は HANAMII株式会社が日本で行っています。
• 技術主権: アプリを動かす基盤はさくらインターネットのクラウドで、外国企業のクラウドには頼っていません。ただし、GitHub 連携（GitHub は米国企業のサービスです）など、一部の周辺機能では海外のサービスを使っています。GitHub を使わずに ZIP で公開することもできます。

向いているのは、上の 1〜3 に当たる案件です。たとえば、取引先から「データの保管場所は国内か」「運営会社はどこの国か」と聞かれる Web アプリや、個人情報を扱う小さなサービス、自治体の特設サイトや実証実験などです。一方、ISMAP 登録が要件の案件や、マイナンバー・LGWAN 系のシステムには向いていません（自治体・公共案件で使うとき）。

日本国内で Web アプリを公開する方法全体の比較は、Web アプリを日本国内で公開したいときにまとめています。個別の案件で説明が必要な場合はお問い合わせください。

本ページは2026年10月時点の公開情報（各国の法令・政府文書、各社の公式発表）にもとづく一般的な説明で、法的な助言ではありません。法令や各社のサービスは変わることがあるため、最終的な判断の前に一次情報を確認してください。