Boltの学習・プライバシー・セキュリティ

Boltへsource codeやpromptを送る場合、最も確認したいのは、

「codeがAI学習に使われるのか」

「secretや顧客dataを入れてよいのか」

という点です。

Privacy Policyは2026年9月14日公開、9月22日更新で、既存accountには2026年10月7日（またはTermsがaccountに適用されるそれ以降の日付）から有効と表示されています。

個別accountではTermsが適用されるそれ以降の日付となる場合があるため、accountに適用されるTermsも確認します。

日付だけで一律に判断せず、accountにTermsが適用される日、利用地域、組織管理の有無、通常modeかForgeかを分けて確認します。

結論

重要な点は次の通りです。

• Bolt projectはbrowserのWebContainerでisolateして実行

• data at restはAES-256以上、通信はTLS 1.2以上

• third-party AI providerはrequest処理のためInputを受け取る

• provider自身がそのInputをtrainingへ使うことは禁止されている

• EEA / UK / Switzerland等を除き、対象となる新しいBolt contentにはmodel development / dataset licensingの条件が適用される

• 通常のBolt modeでは無料opt-outがあるが、Forge利用中のForge Contentは別のconsent扱い

• eligible dateは2026年10月7日またはaccountのTerms発効日の遅い方

• 2026年9月14日以降のForge Contentは、未撤回のForge consentがある場合に限り別途対象となり得る

• Bolt Forgeは別途affirmative consentが必要な特殊mode

WebContainerでbrowser内にisolateされる

BoltのSecurity pageでは、project codeはWebContainerを使いbrowser内のisolated environmentで実行すると説明しています。

build中のcodeをshared remote development infrastructureで直接実行する方式とは異なります。

各projectはbrowser-level sandboxで分離されます。

これはdevelopment runtimeのisolationについての説明であり、AI prompt処理やcloud databaseまで「すべてlocal」という意味ではありません。

encryption

Boltは、

• data at rest：AES-256以上

• data in transit：TLS 1.2以上

を案内しています。

さらに24/7 monitoring、automated scanning、annual third-party assessmentを実施するとしています。

企業利用では必要に応じてpentest report summary等を確認します。

AI処理ではprompt / codeがproviderへ送られる

BoltのAI機能を動かすには、

• prompt

• code

• config

• attached file

• error / correction trace

等が処理されます。

third-party AI providerを使う場合もあります。

Privacy Policyでは、providerはStackBlitzへAI inferenceを提供する目的でInputを処理し、provider自身のmodel trainingへ使うことをcontractually禁止していると説明しています。

2026年10月7日以降のmodel development policy

2026年9月22日更新のPrivacy Policyでは、Bolt Model Development Contentについて、

• StackBlitz自身のAI modelのtraining / fine-tuning / evaluation

• de-identified datasetをthird-partyへlicense

する仕組みを定めています。

StackBlitzのTermsは既存accountについて2026年10月7日から有効と表示しています。accountごとのTerms発効日も確認してください。

Privacy Policy / Termsでは、対象contentを2026年10月7日またはTermsがaccountに適用される日の遅い方より前にはこの目的で使用しないとしています。

この記事の確認日2026年10月7日時点では、改定Termsの既存account向け発効日です。

対象contentと利用開始日

対象となるのは、Bolt AI機能に送信または処理された次のcontentです。

• AI Input（prompt、code、configuration、添付file等）

• AI Output

• interaction data

• Bolt AI機能へ送信・処理されたproject file / code / configuration

等です。

通常のBolt Model Development Contentは、2026年10月7日とaccountにTermsが適用される日のうち遅い日より前には利用されず、その日以降に作成・生成されたものだけが対象です。対象日前から保存されているだけのproject contentは対象になりません。ただし、対象日以降に既存projectのcontentをBolt AIへ送信・処理させた場合、その時点の送信・処理contentと生成物・interaction dataは対象になり得ます。

まずは使ってみる

記事の文脈に合うToolへ進めます。報酬の有無で見た目は変えていません。

• 

  Bolt.new

  公式サイトを見るTool詳細を見る

opt-outできる

通常の対象accountでは、model developmentとdataset licensingを無料でopt-outできます。組織管理accountや別契約accountは適用範囲が異なり、Forgeを有効にしている間のForge Contentには通常のopt-outが適用されません。

Privacy Policyでは、

• account settings

• privacy@stackblitz.com

から無料でopt-outでき、通常accountではplanによらないとしています。

opt-out後は新しいtraining runやdatasetへの選択を止める処理を開始し、適用system全体への反映はrequest受領後15日以内に完了するとしています。

ただし、すでにtraining済みmodelや既にdelivery済みdatasetを自動的に巻き戻すわけではありません。

EEA / UK / Switzerlandは対象外

Boltは、EEA、United Kingdom、Switzerlandと判断されるaccountのcontentを、model development / dataset licensingへ使わないとしています。

StackBlitzはbilling address、account country、network location等からaccount locationを判断し、位置を特定できない場合もEEA / UK / Switzerlandに所在すると扱うとしています。locationはcontent選定時に評価され、別地域にいた時点で選定されたcontentがそのまま使われ続ける可能性は残ります。

地域でprivacy handlingが同じではありません。

Bolt Forgeは通常のopt-outと別のconsent

Bolt Forgeは対象planで利用できる別modeです。Forge利用開始時に表示されるdata useへの明示的consentが条件になります。

2026年9月14日以降に作成・生成され、未撤回の明示的consentがあるForge Contentは対象となり得ます。通常contentとは適用開始日が異なります。Forge利用を停止しても、過去のconsentは自動撤回されません。Forge Contentは、

• AI model development

• de-identified dataset licensing

へ使う条件がForgeの提供条件に含まれます。

通常modeのopt-outとは別扱いです。

Forgeを使う場合はconsent画面を必ず確認します。

secretはpromptへ入れない

Privacy Policyも、public / shared contentへ、

• API keys

• passwords

• secrets

• confidential information

を含めないよう注意しています。

Bolt Cloudにはsecret managementがあります。

API keyをsource codeへhard-codeせず、secret / environment variableで管理します。

AI-generated codeはsecurity reviewが必要

TermsではAI Outputについて、

• inaccurate

• incomplete

• insecure

• outdated

• third-party rightsを侵害する可能性

があると明記しています。

productionへ出す前に、

• auth

• authorization

• input validation

• dependency

• secrets

• database policy

• payment

• license

を人間がreviewします。

企業・client案件で確認すること

1. 自分のaccountに適用されるTermsの発効日を確認

2. model development opt-outが必要か

3. Bolt Forgeをenableしていないか

4. secretをenvironmentへ分離

5. client contractでexternal AI processingが許可されているか

6. sensitive dataをpromptへ直接入れない

7. generated codeをsecurity review

8. public / private project設定を確認

AIものさしの判断

Boltはbrowser isolationやencryptionなどsecurity設計を明示しています。

一方、通常modeのBolt AI Input等は、accountにTermsが適用される日以降、opt-outしない場合にmodel development / dataset licensingの対象となり得ます。

適用開始日、組織管理account・別契約・地域の例外、通常modeのopt-out、Forgeの明示的consentを分けて確認し、機密コードや未承認の顧客情報は入力しないでください。