大手クラウドの生成AI、推論はTEEで動いていますか

法人でAIを導入するとき、「大手クラウドを使っていれば機密は守られる」と整理されることがあります。 コンプライアンス上はそれで通ることも多いと思います。

ただし本サイトの軸は「技術的に確認できるか」です。その軸で見たとき、 あなたが呼んでいるマネージドなLLM推論が、TEEの中で動いているかは別の問題になります。 編集部で3社の公式資料を当たりました。

Azure — 挙がっているのは Whisper

Microsoft の公式ページ「Azure Confidential Computing Products」には、 機密コンピューティングを使ったサービスが列挙されています。そのAI推論の項目はこれです。

Confidential inferencing with the Azure OpenAI Whisper model supports protected inferencing with TEEs, encrypted prompt protection, user anonymity, and OHTTP.

Whisper モデルでの confidential inferencing が名指しされています。 一方で、Azure OpenAI Service の GPT系モデルの一般的な推論について、 同じようにTEEで実行されると記載された項目は、この一覧にはありません。

基盤側は充実しています。AMD SEV-SNP と Intel TDX の機密VM、機密AKSワーカーノード、 ACI上の機密コンテナ、そして CPU と GPU の TEE を結びつけた NCCadsH100v5（機密GPU VM） が挙げられています。 つまり「載せる場所」はあり、「マネージドな推論APIが既定でそこに載る」とは書かれていません。

AWS — 公式ブログの構成は Bedrock ではない

Bedrock を Nitro Enclaves の中で動かす公式機能は、編集部では確認できませんでした。 よく引用される AWS 公式ブログ「Large language model inference over confidential data using AWS Nitro Enclaves」を読むと、 実際の構成は顧客が自分でモデルを持ち込むものです。

We are using the open-source Bloom 560m LLM for natural language processing to generate responses.

記事中に Bedrock への言及はありません。アテステーションはエンクレーブのPCR測定値 （PCR0/PCR1/PCR2など）を KMS のキーポリシーに条件として書き、 測定値が一致したエンクレーブだけが復号できるという形で使われています。 仕組みとしては強力ですが、これは利用者が自分でワークロード運用者になる構成です。

Google — Vertex AI Workbench の preview

Google Cloud の公式ブログはこう書いています。

Vertex AI Workbench customers can now use Confidential Computing to enhance their data privacy needs, and is now in preview.

対象は Vertex AI Workbench（ノートブック環境）で、しかも preview 段階です。 マネージドなオンライン推論やLLM APIがTEE内で実行される、とは書かれていません。 また Confidential Space は、共同データ分析・共同学習・独自モデルの安全な共有といった 用途向けのエンクレーブとして説明されています。

共通しているのは「基盤はある、既定ではない」

3社に共通する構図です。

基盤は揃っています。 足りないのは、日常的に呼ぶマネージド推論APIが、 既定でその基盤の上に乗るという保証のほうです。

法人でも、選ぶのは同じ段になる

そうすると、選ぶ先は本サイトが整理している段の上2つに戻ります。

1. 自分でTEEの上に置く — 上のAWSブログのような構成。自由度は高いが、 実質的に自社がワークロード運用者になる（モデル配置・鍵管理・測定値の運用まで持つ）
2. 既定でTEEのAPIを使う — 推論そのものがTEE内で動くことを製品として掲げている事業者を選ぶ

2番目に該当する事業者は本サイトで比較しています。

証明が何を対象にしているか（窓口単位かモデル単位か）は 「TEE対応」の裏で誰がエンクレーブを動かしているのか、 考え方の全体像は AIに機密を入れるとき、守り方には4つの段がある にまとめています。

編集部が確認していない範囲

この記事で一次情報を確認したのは Azure・AWS・Google Cloud の3社です。 IBM watsonx.ai、NVIDIA NIM、Red Hat OpenShift AI についても同種の調査対象にしていますが、 編集部で公式資料を確認できていないため、本記事では何も主張しません。

よくある質問

Q大手クラウドを使っていれば、入力データは保護されますか？

契約や規約による保護と、TEEのように技術的に検証できる保護は別の軸です。3社とも機密VMや機密GPUの基盤は提供していますが、マネージドなLLM推論が既定でその中で実行されると公式資料に挙げられているものは限られていました。要件があるなら文書で確認してください。

QAzure OpenAI の GPT系モデルはTEEで動きませんか？

そう断定はできません。編集部が確認したのは、Azureの公式製品一覧でAI推論として挙がっているのが Whisper モデルであり、GPT系の一般的な推論が同じ形で挙げられていない、という点です。個別提供の有無は公開情報では判断できません。

Q自社でNitro Enclavesを使う構成とTEE付きAPIはどちらがよいですか？

自社構成は自由度が高い一方、モデル配置・鍵管理・測定値の運用まで自社の責任になります。TEE付きAPIはその運用を事業者に任せられますが、証明が何を対象にしているかを確認する必要があります。どちらも「確認できる」側の選択肢です。

本記事で引用した3社の公式資料の最終確認日: 2026-08-22（7日前）

出典

• https://learn.microsoft.com/en-us/azure/confidential-computing/overview-azure-products
• https://aws.amazon.com/blogs/machine-learning/large-language-model-inference-over-confidential-data-using-aws-nitro-enclaves/
• https://cloud.google.com/blog/products/identity-security/how-confidential-computing-lays-the-foundation-for-trusted-ai