結論から書きます。社内AIの入出力を検閲する「門番モデル」は、4Bパラメータまで小さくなり、自社サーバーに置ける現実味が出てきました。日本語も明示的な訓練対象に入っています。ただし公開されている性能数値はすべて提供者であるNVIDIA自身の自己申告で、比較条件は示されていません。今日から使う施策ではなく、設計論点の材料です。

Nemotron 3.5 Content Safetyは何をするモデルか

Nemotron 3.5 Content Safetyは、生成AIに入るプロンプトと、生成AIが返した出力の両方について「安全か／安全でないか」を判定する専用モデルです。チャットボットや業務エージェントの前後に挟み、危ない入力を止め、危ない出力を外に出さないための「門番」として動くことを想定しています（出典：NVIDIA（著者：Varun Singh、Isabel Hulseman、Anuj Doshi、Shyamala Prayaga、いずれもNVIDIA所属）、2026-06-04、https://huggingface.co/blog/nvidia/nemotron-3-5-content-safety）。

先に立場を明示します。この記事はNVIDIA社自身による発表であり、同社は当該製品（Nemotron 3.5 Content Safety）の提供者であるという関係です。掲載されている性能数値、競合との比較、レイテンシの優位性は、いずれも開発した当事者が自ら測って自ら公開したものです。第三者による独立検証の結果は示されていません。読者が数字の出どころを判断できるよう、この前提を最初に置きます。

技術的な骨格は次のとおりです。

項目 内容 条件
モデルサイズ 4Bパラメータ Google Gemma 3 4B IT をベースに構築。比較条件の記載なし
文脈ウィンドウ 128Kトークン ベースのGemma 3由来
明示的な訓練言語 12言語 英・仏・西・独・中・日・韓・アラビア・ヒンディー・露・ポルトガル・伊
ゼロショット対応言語 約140言語 ベースモデル由来。精度検証条件の記載なし
分類体系 13コア＋10細粒度サブカテゴリ 出力モード2（判定＋カテゴリ）での分類
入力形式 テキストおよび画像 マルチモーダル安全判定に対応
ライセンス オープンモデルライセンス（商用利用可） 詳細条件は一次資料を参照

4Bという小ささが、この話の中心です。生成そのものを担う大規模モデルとは別に、判定専用の小型モデルを自社側に置く、という構成が取れるようになります。ローカル運用の考え方は手元のPCで動かすローカルLLMは実務でどこまで使えるのかでも扱っています。

一次資料の実測：96.5%、88.8%、92.7%、約85%

公開されている主要な数値は次のとおりです。いずれもNVIDIAによる自社評価です。

  • 多言語Aegisベンチマークでの有害コンテンツ判定F1は96.5%でした。対象は明示訓練済みの12言語です。n数・評価件数の記載はありません。
  • RTP-LXベンチマークでの有害コンテンツ判定F1は88.8%でした。こちらも12言語対象で、n数の記載はありません。
  • 上記2ベンチマークの複合平均F1は92.7%です。同じくn数の記載はありません。
  • 画像付き（マルチモーダル）の安全判定は、複数ベンチマークの平均で約85%でした。VLGuard、MM-SafetyBench等の平均値で、個別スコアと件数は公開されていません。
  • 多言語Aegisにおけるプロンプト分類の文化的適応F1は97%でした。n数の記載はありません。

処理性能については、推論レイテンシが「競合マルチモーダル安全モデル」の3分の1（3倍低い）、推論（THINKモード）時の生成トークン数が「別の推論型安全モデル」比で最大50%削減と報告されています。THINKモードの推論チェーンは最大3文まで圧縮されており、これはQwen 397B→Qwen 80Bという2段階の蒸留プロセスによって実現したとされています。

訓練データについては、マルチモーダル訓練データの99%が実写画像、総訓練量に占める合成データの比率は約10%と説明されています。総枚数・総量は公開されていません。

この数字をそのまま信じてはいけない理由

一次資料には、都合の悪い記述もはっきり書かれています。ここを飛ばすと数字を読み違えます。

第一に、レイテンシ「3倍低い」とトークン「最大50%削減」は、比較対象のモデル名、実行ハードウェア、バッチ条件のいずれも明示されていません。したがって第三者が再現・検証することはできません。「3倍速い」という表現だけが独り歩きする形の数字です。

第二に、各ベンチマークのn数・評価件数・評価期間がいずれも記載されていません。96.5%や88.8%という数値が、何件の判定にもとづくもので、どの程度の統計的な安定性を持つのかを、読み手側で判断する手段がありません。

第三に、記事自身が既存の安全性評価インフラに「大きな隙間」があると認めています。既存の安全性ベンチマークはテキストのみを対象とするものが多く、実運用の条件を反映しきれていない、という指摘です。

第四に、これが最も重要ですが、VLGuardやMM-SafetyBenchといった主要なマルチモーダル安全ベンチマークは、SDXLで生成された合成画像に大きく依存しており、実写コンテンツの複雑さを過小評価していると、一次資料が明記しています。つまり「約85%」というマルチモーダルのスコアそのものが、実務環境の難易度を反映していない可能性があります。訓練データの99%を実写にした、という設計判断は、この問題への対処であると同時に、評価側がまだ追いついていないことの裏返しでもあります。

第五に、ストックフォトのライセンスがAIデータセットへの再配布を禁じているため、本番環境と研究条件のあいだに乖離があります。訓練画像の一部はライセンス上の理由で公開できず、公開されるのはWikimedia由来と合成生成のサブセットのみです。完全な再現検証はできません。

第六に、約140言語のゼロショット対応は明示的な訓練対象外であり、日本語以外を含めて精度の裏付けは示されていません。ベンチマーク評価の対象はあくまで明示訓練済みの12言語です。

評価指標そのものを疑う姿勢についてはベンチマークの点数を自社の判断材料に変換するには何を見ればいいのかも合わせて読んでください。

中小企業にとって何を意味するのか

中程度に有効、というのが編集部の評価です。理由は3点あります。

(1) 社内データを外に出さずに済む選択肢が現実味を持つ。 判定モデルが4Bと小さく、オープンモデルライセンスで商用利用が可能です。外部の安全判定APIに社内の質問文や生成結果を送らずに、自社サーバー上で入出力チェック役を動かす構成が取れます。「AIに社外秘を入れていいのか」という社内論争に対して、判定レイヤーだけでも内製する、という中間解を持てるのは実務的です。

(2) 自社ルールを自然言語で書ける点が、業種特有の誤爆に効く。 カスタムポリシーを自然言語で記述でき、不要なカテゴリの判定を抑制できます。ここが汎用フィルタとの決定的な差です。たとえばDevOpsの現場で日常的に使う「プロセスを終了する（kill）」という表現が、汎用の暴力フィルタで有害判定される、といった誤爆は珍しくありません。製造業なら「切断」「破壊試験」「爆破」、医療系なら症状の記述そのものが引っかかります。汎用フィルタが使い物にならず、結局フィルタごと外してしまう——という最悪の運用を避ける手段になります。

(3) 日本語が明示的な訓練対象12言語に含まれている。 ゼロショットの「約140言語対応」ではなく、訓練とベンチマーク評価の対象に日本語が入っています。これは日本の中小企業にとって実質的な差です。

一方で、限界もはっきりしています。GPUを用意して自社運用する体力がない企業にとっては、これは「今すぐ使える施策」ではありません。 4Bとはいえ推論環境の準備、モデルの更新、誤判定が出たときのポリシー調整と、運用工数は確実に発生します。情シスが1人か0.5人という規模の会社が、明日から門番モデルを立てる話ではない。むしろ「AIを導入するとき、安全チェックを誰がどう担保するのか」という設計論点が、外部サービス任せ以外にも選べるようになった、という段階の理解が正確です。

安全性を運用でどう担保するかという論点はAIエージェントの安全な展開を誰が担保するのかでも整理しています。

TOEの読み筋

TOEでは、Nemotron 3.5 Content Safetyの検証・導入をまだ実施していません。 以下は一次資料を読んだうえでの見立てであり、自社での実測にもとづくものではありません。

読み筋は3つです。

ひとつめ。この種のモデルの本命価値は「精度」ではなく「ポリシーを自分で書けること」だと見ています。 F1が96.5%か93%かの差より、自社の業務用語で誤爆が起きたときに、自分たちで直せるかどうかのほうが運用上は重い。汎用フィルタの誤爆に耐えかねて全部オフにする、という選択が現場では実際に起きます。カスタムポリシーを自然言語で書ける設計は、その一点で意味があります。

ふたつめ。マルチモーダルの約85%は、実務ではもっと低いと見ておくべきだと考えます。 評価に使われたベンチマークが合成画像に依存していると一次資料自身が認めている以上、実写を扱う現場の難易度は反映されていません。画像の安全判定を全面的に自動化する前提で設計するのは危険です。人の確認を残す設計から始めるのが妥当だと見ます。

みっつめ。中小企業がまず考えるべきは、モデルの導入ではなく「誰がどの基準で危ないと判断するか」の言語化だと考えます。 カスタムポリシーを書けるということは、書く内容を持っていなければ意味がない、ということでもあります。自社にとって何が出てはいけない出力なのか。それを文章にする作業は、GPUがなくても今日できます。順序としては、そちらが先です。

まとめ

  • Nemotron 3.5 Content Safetyは、AIの入出力の安全性を判定する4Bパラメータの専用モデル。ベースはGoogle Gemma 3 4B IT、文脈ウィンドウは128Kトークン、オープンモデルライセンスで商用利用可
  • 公開数値は多言語AegisでF1 96.5%、RTP-LXで88.8%、両者の複合平均で92.7%、マルチモーダル平均で約85%。いずれも12言語対象で、n数・評価件数の記載はない
  • この記事はNVIDIA社自身による発表であり、同社は当該製品の提供者である。 レイテンシ「3分の1」やトークン「最大50%削減」は比較対象モデル名・ハードウェア・バッチ条件が非公開で、再現検証はできない
  • 一次資料自身が、主要なマルチモーダル安全ベンチマークがSDXL生成の合成画像に依存し実写の複雑さを過小評価していると認めている。訓練画像の一部はライセンス上公開できず、完全な再現検証は不可能
  • 中小企業にとっては、日本語が明示的訓練12言語に含まれ、自社ルールを自然言語で書けることが実務価値。ただしGPU運用の体力がなければ今すぐの施策ではなく、安全チェックの担保方法という設計論点にとどまる。TOEでは未実施