何が発表されたか
OpenAIは2026年4月27日、ChatGPT EnterpriseとOpenAI API PlatformがFedRAMP 20x Moderate authorizationを取得したと発表しました。これは米連邦機関が求めるセキュリティ、プライバシー、ガバナンス要件に沿って、OpenAIのAI機能を導入しやすくするための重要な節目です。
公式発表では、対象としてChatGPT EnterpriseとOpenAI API Platformが示されています。また、FedRAMP ChatGPT Enterprise workspaceからCodex Cloud環境へアクセスできるようにする予定にも触れられています。つまり、単なるチャット画面の話ではなく、政府・公共部門でAIアプリケーションや開発支援を本番利用へ近づける発表です。
FedRAMP 20x Moderateとは何を見るべきか
FedRAMPは米政府向けクラウドサービスの認可枠組みです。FedRAMP 20xは、Key Security Indicators（KSI）や自動検証を重視し、認可データを再利用しやすくする方向の取り組みとして説明されています。開発者目線では、調達やセキュリティ審査の負荷を下げ、複数機関で導入判断を進めやすくする意味があります。
FedRAMP Marketplaceにも、ChatGPT Enterprise and API Platformのページが用意されています。政府・規制業界でAIを扱う場合、製品サイトだけでなくMarketplaceやTrust Portalで認可範囲を確認するのが実務上重要です。
5分で試す：API利用を環境で切り替える
実際のFedRAMP環境の利用可否やエンドポイントは契約・管理画面・公式案内に従う必要があります。ここでは、商用環境と規制環境を混同しないための設定分離だけを示します。
type OpenAIEnv = 'commercial' | 'fedramp';
type OpenAIConfig = {
env: OpenAIEnv;
apiKey: string;
baseURL?: string;
};
function loadConfig(): OpenAIConfig {
const env = (process.env.OPENAI_ENV || 'commercial') as OpenAIEnv;
return {
env,
apiKey: process.env.OPENAI_API_KEY || '',
baseURL: process.env.OPENAI_BASE_URL,
};
}
const config = loadConfig();
console.log(`Using OpenAI environment: ${config.env}`);
5分で試す：機密度でAI利用を制御する
政府・金融・医療のような領域では、AIに渡すデータを用途ごとに制御する必要があります。まずはコード上でデータ分類を明示します。
type DataClass = 'public' | 'internal' | 'regulated';
function canSendToAI(dataClass: DataClass, humanReview: boolean) {
if (dataClass === 'regulated') {
return humanReview ? '要承認: 認可範囲と監査ログを確認' : '禁止: 人間レビューなしでは送信不可';
}
if (dataClass === 'internal') {
return '可: 最小データ化し、ログを残す';
}
return '可: 公開情報として処理可能';
}
console.log(canSendToAI('regulated', true));
console.log(canSendToAI('public', false));
実装時の注意点
FedRAMP認可は「何でも自由に使える」という意味ではありません。OpenAI Help Centerでも、FedRAMP向けのChatGPTとAPIは商用版の全機能を初期から含むわけではないと説明されています。利用前には、対象プロダクト、対象機能、データ保持、ログ、管理者設定、利用可能モデル、ネットワーク要件を確認する必要があります。
また、APIを既存システムへ組み込む場合は、認可環境と通常環境を混ぜないことが重要です。環境変数、シークレット、監査ログ、データ分類、レビュー体制を分けて設計してください。
まとめ
今回のOpenAIのFedRAMP 20x Moderate認可は、政府領域で生成AIを本番利用に近づける発表です。開発者にとっては、モデルを呼び出すコードだけでなく、環境分離、データ分類、監査、権限管理を含めた設計が重要になります。