Windsurfは商用開発で使える？利用条件を整理

Windsurf（現在のDevin Desktop）を商用開発へ使えるかは、単純な「有料なら仕事で自由に使える」という答えにはなりません。現行Platform TermsはServiceをinternal business purposesで利用する権利を定め、Outputの権利をCustomerへ譲渡するとしています。一方、clientとの契約、入力データを渡す権利、競合製品開発の制限、生成物の確認責任は別に残ります。社内開発か受託案件か、機密データを扱うかを分けて確認してください。

先に結論を用途別に分ける

表は横にスクロールできます

利用場面	最初に確認する契約	公開情報から言える範囲
自社の通常業務で使う	Platform Termsと社内policy	internal business purposesの利用権が明記
client repositoryを扱う	client contract、NDA、社内policy	clientのAI・subprocessor・外部処理条件が追加で関係
生成codeを納品する	Output rights、client契約、license review	Output権利の譲渡はあるが、独自性や適法性の保証ではない
Devin等と競合するAI製品を作る	Platform Terms / Enterprise MSA	競合product開発やmodel trainingの制限を要確認
個人情報を含むsourceを渡す	Terms、DPA、法令、契約	同意・処理根拠とsensitive data制限を確認

表は一般的な契約読みの入口であり、個別案件への法的結論ではありません。特にclientが作成したrepositoryを扱う場合、自社が開発ツールを契約しているだけでは、client情報を外部serviceへ送る権利まで得たことになりません。Termsを読んでもclient契約と矛盾する場合は、先に社内法務・security担当とclient条件を照合します。

Serviceの利用範囲と「商用利用」の意味

2026年6月30日更新のCognition Platform Termsは、ServiceとDocumentationをinternal business purposes onlyで使う権利を定めています。Enterprise MSAもCustomerとAuthorized Usersによる内部業務利用を前提にしています。これは、業務開発に利用することを想定した契約文言があることを示しますが、どのような販売形態・client delivery・データ処理も一律に許可されるという意味ではありません。

たとえば自社の社内toolを作る場合と、顧客から預かった秘密repositoryをagentへ読み込ませる場合では、確認事項が違います。前者は社内アカウント、利用規程、出力reviewが中心です。後者ではclient contractのAI利用条項、subprocessor承認、sourceの持ち出し、保存・削除、国や業界の規制が加わります。用途を「仕事で使う」と一語にまとめず、誰のデータをどのServiceへ渡すか書き出してください。

Outputの権利は独占性の保証ではない

Platform Termsでは、Serviceが生成するcode、suggestion、completion、response、result、action等をOutputとし、CustomerへOutputのright、title、interestを適用法で認められる最大限の範囲で譲渡しています。Enterprise MSAも契約条件の範囲でCustomer DataとOutputの所有を定めています。したがって「生成物の権利が常にCognitionに残る」と説明するのは正確ではありません。

同じ条項は、機械学習により他のCustomerへ同じまたは類似したOutputが提供される可能性も説明しています。権利譲渡は、Outputの唯一性、第三者権利を侵害しないこと、特定licenseへの適合、顧客が独占できることの保証ではありません。納品物へ取り込む前に、生成箇所のlicense、依存package、著作権表示、セキュリティ、既存コードとの整合を必要に応じて確認します。

依頼時に既存コードやclient資料を入力するなら、その内容をServiceへ処理させる権利があるかも確認します。Termsは、CustomerがCustomer Dataを処理させる必要な権利を持ち、第三者の権利やprivacyを侵害しないことを求めています。契約上Outputを受け取る権利と、Inputをアップロードする権利は別のチェックです。

まずは使ってみる

記事の文脈に合うToolへ進めます。報酬の有無で見た目は変えていません。

• 

  Windsurf

  公式サイトを見るTool詳細を見る

受託・client workで使う前の確認

受託開発では、clientとのNDA、業務委託契約、security addendum、AI利用policyを確認します。見るべき言葉は、source codeの外部処理、AI tool、subprocessor、confidential information、data location、retention、削除、再委託の承認です。契約に明示がない場合、それを許可とみなさず、担当窓口に確認するのが安全です。

会社内でも、client名や機密repositoryを個人accountへ渡してよいとは限りません。Enterpriseの管理設定が適用されるaccountか、会社がapproved serviceとして認めているか、adminがdata policyを設定しているかを確認します。組織契約と個人契約が混在する場合は、どの契約で利用しているかを明らかにします。

競合開発・model trainingには別の制約

Platform TermsはServiceを使った競合product / serviceの開発や、競合AI modelのtrainingを制限しています。Enterprise MSAにも、Cognitionと競合する製品の開発や、AI model trainingにOutputを使うことへの制限があります。通常のweb applicationや社内systemの開発と、AI coding agentそのものを競合する形で作る活動を同一視しないでください。

境界が曖昧な研究、benchmark、社内評価は、規約の目的や具体的な作業によって判断が変わる可能性があります。禁止領域に近い作業をする場合は、担当チームへ条項を示して書面確認を取ります。単に「社内利用だから問題ない」と結論づけないことが重要です。

Human reviewと納品責任

agentの出力をそのままproductionや納品物へ入れるのは避けます。Enterprise条件では、利用・共有する前にuse caseへの適合性を評価し、必要なhuman reviewを行う責任がCustomer側にあります。一般的な開発でも、型やtestが通るだけでlicense、security、performance、個人情報、architectureが正しいとは限りません。

レビューでは、変更の目的、変更file、依存の追加、権限やnetwork access、secretへの影響、testの範囲、rollback方法を確認します。agentが実行していないtestを通ったと報告していないか、実際の変更と説明が一致するかも見ます。人がレビューできない大きさの変更はtaskを分割し、機密情報に触れる前にaccess scopeを絞ります。

作業開始前の契約・データチェック

1. 依頼主とデータ所有者を特定し、repositoryの入力許可を確認する。

2. client契約、NDA、社内AI policyで外部service利用とsubprocessor条件を確認する。

3. account tierと適用契約（self-serve / Teams / Enterprise）を特定する。

4. Inputにsecret、個人情報、未公開情報、第三者license codeが含まれないか確認する。

5. Outputの納品前にlicense、security、test、client要件を人がreviewする。

6. 判断が不明ならアップロードを止め、法務・security・client窓口へ確認する。

このチェックの結果を記録するなら、顧客データや条文全文を複製せず、契約名、確認担当、適用範囲、承認日、禁止事項だけを管理します。案件ごとに承認が必要なら、過去の別案件の許可を横展開しないでください。

AIものさしの判断

社内の通常開発では、現行Termsが認めるinternal business purposesの範囲と社内policyを確認して利用します。client作業では、Cognitionの条文だけで決めず、client contractと入力権限が確認できるまでsourceを渡さない判断が安全です。Outputの権利譲渡は、独自性や無侵害の保証ではありません。契約境界が明確でない、または競合開発に近いなら、利用を開始する前に書面確認を取ってください。

判断を保留すべきケース

client contractがAI serviceへのuploadを明示的に禁止している、client approvalが必要なのに未取得、またはrepositoryに個人情報・secretが混在していて分離できない場合は、Terms上の業務利用条項だけで進めません。作業を止め、許可されたデータ処理経路へ切り替えるか、書面で例外承認を得ます。社内で使う場合も、個人契約と会社のapproved workspaceを取り違えていないか確認してください。