はじめに
「AIで作ったシステムなんて信頼できるの？」
エンジニアなら一度は聞いたことがあるこの言葉。私も最初はそう思っていました。
しかし、Claude Code（Anthropic公式CLI）を使って自社SaaSを開発する中で、AIこそが品質基準を厳格に適用できることに気づきました。
本記事では、Claude Codeに「IPA非機能要求グレード2018に対応して」とお願いしたら、6大項目すべて100%対応してくれた実際のやり取りを公開します。
対象読者
- Claude Code / Cursor / GitHub Copilotなどを使ったAI駆動開発に興味がある方
- 「AIで作ったコードの品質は大丈夫？」と不安な方
- IPA非機能要求グレードって何？という方
- エンタープライズ品質のSaaS開発を目指す方
IPA非機能要求グレードとは
IPA（情報処理推進機構）が策定した、システムの品質を評価するための指標です。
6大項目：
- 可用性 - システムが止まらずに動き続けられるか
- 性能・拡張性 - 十分な速度で動作し、成長に対応できるか
- 運用・保守性 - 運用しやすく、問題があれば対処できるか
- 移行性 - データの移行やバックアップができるか
- セキュリティ - 不正アクセスやデータ漏洩を防げるか
- システム環境・エコロジー - 適切なインフラで運用されているか
参考: https://www.ipa.go.jp/archive/digital/iot-en-ci/jyouryuu/hikinou/ent03-b.html
実際のプロンプトと流れ
Step 1: 監査依頼
https://www.ipa.go.jp/archive/digital/iot-en-ci/jyouryuu/hikinou/ent03-b.html
非機能要求グレードの観点から監査して不足がないかチェックして
Claude Codeの動き：
- URLからIPA非機能要求グレードの情報を取得
- プロジェクト構造を探索（Explore agentを使用）
- 既存のドキュメント・コードを分析
- 6大項目それぞれの充足率を算出
出力された監査結果：
| カテゴリ | 充足率 | 主な不足 |
|---|---|---|
| 可用性 | 50% | RTO/RPO未定義、SLA未策定、DR計画なし |
| 性能・拡張性 | 60% | 負荷テスト未実施、キャパシティ計画なし |
| 運用・保守性 | 70% | インシデント対応手順なし、運用マニュアル不足 |
| 移行性 | 75% | 移行リハーサル手順なし |
| セキュリティ | 90% | 脆弱性管理プロセス未文書化 |
| システム環境 | 85% | 環境構成の文書化不足 |
ポイント： セキュリティは既にコードレベルで実装済み（AES-256-GCM暗号化、OAuth 2.0 PKCE認証など）だったため90%。**不足していたのは「ドキュメント」**でした。
Step 2: 一括対応依頼
では不足書類をまとめて全てクリアして
Claude Codeの動き：
- 不足している5つのドキュメントを新規作成
- 既存の2つのドキュメントを拡充
- すべてIPA基準に沿った形式で作成
作成されたドキュメント：
| ドキュメント | 内容 |
|---|---|
SLA-AVAILABILITY.md |
稼働率99.5%目標、RTO/RPO定義、エスカレーションマトリクス |
INCIDENT-RESPONSE.md |
P1-P4インシデント分類、対応フロー、ロールバック手順 |
BACKUP-DR.md |
日次バックアップ、30日保持、リージョン切替手順 |
OPERATIONS-MAINTENANCE.md |
日次/週次/月次タスク、監視設定、リリース手順 |
NFR-COMPLIANCE.md |
IPA 6大項目対応表（本ドキュメント） |
Performance-Specification-v1.0.md |
負荷テスト計画、データ増加計画を追記 |
SECURITY.md |
脆弱性管理、開発者ガイドライン、GDPRを追記 |
Step 3: 既存ドキュメントへの反映
/Users/5dmgmt/プラグイン/foundersdirect/docs/FDC-GRAND-GUIDE.md
の必要なところや他のドキュメントにも反映してね
/Users/5dmgmt/プラグイン/foundersdirect/docs/CHANGELOG.md
Claude Codeの動き：
- メインガイドにIPA対応セクションを追加
- CHANGELOGにバージョン履歴を追記
- ドキュメント構造の可視化ツリーを更新
Step 4: 品質確認
ちなみに コードは何も問題なく対応していたということ？
Claude Codeの回答：
はい、コードレベルでは既に高い水準で対応していました。特にセキュリティ（90%）は以下が実装済みでした：
- AES-256-GCM暗号化（2層構造）
- Google OAuth 2.0 PKCE認証
- RBAC（役割ベースアクセス制御）
- Zod v4による入力検証
- OWASP Top 10対策（XSS、CSRF、SQLi等）
不足していたのは「ドキュメント」であり、コード品質の問題ではありませんでした。
Step 5: LPへの反映（オプション）
LPにセキュリティページを加えて あとQ＆Aにももう少し詳しいものを
Claude Codeの動き：
- セキュリティセクションを新規作成（6つのカード）
- IPA非機能要求グレード対応バナーを追加
- FAQ拡充（技術者向け詳細回答7件追加）
追加されたFAQ例：
- セキュリティはどのような基準で設計されていますか？
- AIで開発されたシステムは信頼できますか？
- 技術スタックを教えてください
- 障害発生時の対応体制はどうなっていますか？
- データのバックアップ・復旧体制は？
完成した対応状況
| カテゴリ | 対応状況 | ドキュメント |
|---|---|---|
| 1. 可用性 | ✅ 100% | SLA-AVAILABILITY.md, BACKUP-DR.md |
| 2. 性能・拡張性 | ✅ 100% | Performance-Specification-v1.0.md |
| 3. 運用・保守性 | ✅ 100% | OPERATIONS-MAINTENANCE.md, INCIDENT-RESPONSE.md |
| 4. 移行性 | ✅ 100% | BACKUP-DR.md |
| 5. セキュリティ | ✅ 100% | SECURITY.md |
| 6. システム環境 | ✅ 100% | NFR-COMPLIANCE.md |
学んだこと
1. AIは「網羅性」が強い
人間は見落としがちな項目（例：RPO定義、エスカレーションマトリクス）も、AIは基準に沿って漏れなくカバーしてくれます。
2. コードよりドキュメントが不足しがち
開発者はコードを書くのは得意でも、ドキュメント整備は後回しになりがち。AIはドキュメント作成も淡々とこなしてくれます。
3. 「AIで作ったから危険」は誤解
むしろAIを使うことで、人間以上に網羅的な品質チェックが可能です。重要なのは：
- 人間による最終レビュー
- CI/CDでの自動テスト
- 定期的なセキュリティ監査
プロンプトまとめ
# Step 1: 監査
https://www.ipa.go.jp/archive/digital/iot-en-ci/jyouryuu/hikinou/ent03-b.html
非機能要求グレードの観点から監査して不足がないかチェックして
# Step 2: 一括対応
では不足書類をまとめて全てクリアして
# Step 3: 既存ドキュメント反映
[ファイルパス]の必要なところや他のドキュメントにも反映してね
# Step 4: 品質確認（オプション）
ちなみに コードは何も問題なく対応していたということ？
# Step 5: LP反映（オプション）
LPにセキュリティページを加えて あとQ＆Aにももう少し詳しいものを
技術スタック
参考までに、本プロジェクトの技術スタック：
- フロントエンド: Next.js 15、React 19、TypeScript、Tailwind CSS
- バックエンド: Next.js API Routes（Serverless）、Zod
- データベース: Supabase（PostgreSQL 17.6）
- インフラ: Vercel（Edge Network、自動スケーリング）
- 認証: NextAuth.js + Google OAuth 2.0 PKCE
- 監視: Vercel Analytics、Speed Insights、Pino
おわりに
「AIで作ったシステムは信頼できない」という先入観は、もはや過去のものです。
適切なプロンプトと人間によるレビューを組み合わせれば、IPA非機能要求グレードのようなエンタープライズ品質基準も満たすことができます。
Claude Codeを使ったAI駆動開発、ぜひ試してみてください。
関連リンク：
タグ: Claude AI駆動開発 IPA 非機能要求 品質管理 SaaS Next.js