概念

入力データを外部に出さない設計

入力した住所・時給・音声・顧客情報などを外部クラウドやAI APIへ送らず自社サーバー内で完結させる設計方針

定義

利用者が入力したデータ（住所・時給・取引・音声・書類・顧客情報など）を、外部のクラウドサービスやAI APIへ一切送信せず、自社・自治体・施設のサーバー内だけで処理・保存する設計方針。kurage の製品群に共通する中核の設計思想であり、英語圏の概念としては no-external-data-egress に対応する。

なぜ重要か

kurage-products に並ぶ製品の多くは、次のような「外に出せない」データを扱う。

住民・相談者の住所や困りごと（陳情ナビ、制度ナビ）
被災状況・避難先の検討（防災判定セット、洪水・土砂・津波の各マップ）
従業員の時給・人件費（最低賃金チェック）
会議の録音音声（AI議事録）
取引先の連絡先・LINEの相談履歴（LINE CRM、名刺管理、CRM）
申請書の書式と会社情報（申請書記入アシスト）

これらは「外部クラウドに上げられない」という社内規定・契約・職務上の制約を持つことが多く、saas-subscription-replacement の文脈でも「月額をやめる」だけでなく「データの置き場所を取り戻す」ことが動機になる。

実現のしかた

1. 計算をブラウザ内で完結させる

判定だけを提供する製品では、サーバーに送る必要すらない。最低賃金・賃上げ助成金チェックや取適法チェックは「計算はブラウザの中だけで行い、入力した時給はサーバーへ送りません」と明記している。住所から判定する NISA 枠計算も「入力した取引はブラウザの外に出しません」。

2. 自社サーバーに置く（self-hosting）

self-contained-php-app として配布し、レンタルサーバーや VPS に FTP で置くだけで動かす。データはそのサーバーの SQLite ファイルに残り、外部の有料 API を使わないため追加費用もゼロになる。

3. ローカル LLM を使う（local-llm）

AI を使う製品でも、生成 AI を自社 GPU のローカルモデル（ollama 互換）に限定する。申請書記入アシストは「AI に文章は作らせず、入るのは今日の日付・保存した会社情報・あなたが書いた値の3つだけ」。AI 議事録も音声がサーバーの外に出ないことを売りにする。広聴AI のローカル導入キットは OpenAI キーなしで意見データを外に出さない構成を実測している。

4. 外部 AI・API に送らないことを仕様として書く

民泊チェックは「外部のAIやAPIに住所を送りません」、陳情ナビは「外部APIもLLMも使わず追加費用0円」、質問主意書アシストは「外部のAIやAPIには何も送りません」と、製品説明の level で明示する。

副次的な効果

データ持ち出し・漏えいのリスク面が減り、委託先管理も不要になる。
従量課金の API 費用が発生せず、月額ゼロで運用できる（saas-subscription-replacement）。
一度自社サーバーに置けば、AI エージェントによる改変の自由度を保てる（ai-modifiable-software）。

注意点

「外部に送らない」は、そのまま「完全にオフラインで動く」ことを意味しない。地図タイルやカレンダー同期など一部機能では外部サービスを参照する場合があり、そのときも入力データそのものを送らない設計が求められる。AI クローラー計測のように「外部の AI がこちらに来る」話と、こちらの入力を「外部の AI に送る」話は区別して扱う。