Replitの学習・プライバシー・セキュリティ

Replitではsource code、prompt、database、API key、deployment情報など、開発上重要なdataを扱います。

そのため「codeが非公開か」だけではなく、

• Customer ContentがAI学習に使われるか

• opt-outできるか

• public projectにした場合どうなるか

• third-party AI providerへdataが渡るか

• Secretsはどう扱うか

• Enterpriseでは何が変わるか

を分けて見る必要があります。

Pro AgreementではAI学習に使う場合がある

現行Replit Pro Agreementでは、Customer Contentをplatformの提供・改善に利用し、AI Featuresやmodelの開発・training・改善にも使う場合があると記載されています。

同時に、settings pageからCustomer Contentのmodel training利用をopt outできることも明記されています。

したがって、個人・Pro利用で「入力したcodeやpromptは絶対に学習へ使われない」と考えるのは正確ではありません。

機密projectを扱うならtraining settingを確認します。

Commercial Agreementでは条件が異なる

ReplitのCommercial Agreementでは、Customer Contentを機械学習modelのtrainingやproduct improvementへ使わないことが明記されているversionがあります。

つまり個人向け、Pro、Business / Enterprise契約を同じdata handlingとして扱わない方が安全です。

会社導入では、Web上の一般説明だけでなく、自社に適用されるAgreementとDPAを確認します。

public projectは別扱い

Commercial Agreementではprojectはprivate by defaultと説明されています。

一方、userが意図的にpublic projectとして公開したcontentは、他人から閲覧・copy・利用される可能性があります。

public化は「URLを知っている人だけ」程度の共有とは意味が違うため、source codeやsecretが含まれていないかを確認します。

third-party providerも確認する

ReplitはAI機能やinfrastructureを提供するため複数のsubprocessorを利用しています。

2026年8月更新のSubprocessors listにはAnthropicやAI infrastructure providerなどが掲載されています。

「Replitへ送る」ことと「Replitだけで処理される」ことは同じではありません。

会社のsecurity reviewではsubprocessor listも確認します。

API keyはSecretsへ

Replit SecurityではAPI keyなどをpromptへ直接貼らず、Secretsを使う設計を案内しています。

Secretsはapplicationから参照できますが、source codeへhard-codeしないことが基本です。

またReplitはprompt内のAPI key exposureを検知し、Secrets利用へ誘導する仕組みを案内しています。

security機能

Replitはsecurity pageで、

• pre-deployment security scanning

• Secrets

• resource isolation

• DDoS protection

• SSO

• SOC 2

• Private Deployments

• role-based access control / SCIM

などを案内しています。

ただし、security機能があることと、generated appが自動的にsecureであることは別です。

Agentが書いたcodeについてもauth、authorization、input validation、dependency、database permissionをreviewします。

source codeをAIに任せる場合の注意

AI codingではpromptだけでなくproject全体がcontextになる場合があります。

そのため、

• 顧客source

• NDA対象code

• production data

• private key

• credential

• personal data

を入れる前に、planとcontractを確認します。

「非公開projectだからtrainingされない」とは限らず、privacyとvisibilityは別の設定です。

契約・公開範囲・学習利用は別々に確認する

まずは使ってみる

記事の文脈に合うToolへ進めます。報酬の有無で見た目は変えていません。

• 

  Replit

  公式サイトを見るTool詳細を見る

Replitの利用条件は「privateかpublicか」だけでは決まりません。契約、AI学習設定、project visibilityは別の確認項目です。

• 個人利用：Terms of ServiceとPrivacy Policyを確認。public Appは公開条件と学習利用の記載を確認し、privateなら自動的に全ての処理から除外されるとは考えない

• Pro：Pro AgreementではCustomer ContentをAI Featuresの学習・改善に使う場合がある。settings pageからopt outする方法が記載されているため、現アカウントの設定と適用契約を確認

• Commercial / Teams：Commercial AgreementはCustomer ContentのAI学習・製品改善を行わない条件を示す。ただしpublic project、製品固有条件、別途合意の範囲を契約本文で確認

• 公開App：第三者が閲覧・copyできる状態になり得る。public projectへ機密codeを置かない

個人契約と法人契約を「Replitのprivacy」と一つにまとめると、適用条件を取り違えます。請求画面のplan名だけでなく、実際に同意したagreementを確認してください。

入力データを3段階に分ける

導入前に、開発へ渡す情報を次のように分けます。

• 公開情報・架空データ：機能検証の初回入力候補。source codeや出力がpublic設定になっていないかも確認する

• 社内限定の仕様・通常のsource code：契約、学習opt-out、workspaceのmember範囲を確認してから投入する

• 顧客情報、NDA対象code、credential、個人情報：個別の書面条件と社内承認が確認できるまで入力しない。API keyはpromptやrepositoryへ貼らずSecretsで管理する

「private project」は公開範囲の設定であり、契約上の学習利用や第三者providerへの処理を置き換えるものではありません。

導入前に残す確認記録

小さな架空データで一度試し、管理者と利用者の両方から確認します。

1. 契約名、適用plan、確認日、学習設定の現在値を記録

2. projectがprivateか、誰がworkspace / project memberかを確認

3. Agentや連携機能が利用するthird-party providerを現行subprocessor情報で確認

4. Secretsにcredentialを置き、公開出力・log・repositoryに値が現れないか確認

5. privacy notice、契約、管理者、memberが変わったときに再確認する担当を決める

確認記録にはsecret値や実データをコピーせず、設定名、適用範囲、確認者、次回確認の契機だけを残します。

導入を止める条件

適用契約を特定できない、学習利用の設定が組織方針と一致しない、public/privateの境界を説明できない、顧客データの許可がない。このいずれかが残るなら本番codeや顧客情報を入力せず、架空データの評価に留めます。契約ごとの例外や法的判断は、組織の管理者・法務へ戻します。

契約を確認したと言える記録

「管理者が確認した」だけでは、後から同じ条件をたどれません。少なくとも契約名・version、workspace、projectの公開範囲、training設定の名称と状態、third-party provider、確認日を残します。API keyや顧客code、account識別情報などのsecretは記録へ貼らず、必要なら保管場所の管理番号だけを参照します。

たとえば個人Proから法人workspaceへ移るときは、以前のopt-out設定が新しい契約やworkspaceにも引き継がれたと仮定せず、管理者画面と適用Agreementをあらためて照合します。設定と契約が一致しない場合は、機密dataを投入する前に管理者へ戻します。

AIものさしの判断

Replitのprivacyは、plan / contract / training opt-out / project visibilityを分けて確認するのが重要です。

Pro AgreementではAI trainingへの利用とopt-outが明記されています。

一方Commercial Agreementではno-training条件が示される場合があります。

会社で使うなら、一般accountの設定ではなく契約ベースで判断します。

またcode privacyだけでなく、Secrets、subprocessor、deployment visibilityまで含めて確認すると運用riskを減らせます。