Bonfy.AIで止めるべきはAIの出力｜社外に出る瞬間の検査

「生成AIへの入力は禁止事項を決めて監視もしているから、情報漏えいの対策は済んでいる」「AIに書かせた提案書を、別の取引先あてのメールに添付して送ってしまった」——この二つは、生成AIを業務に入れた会社の情シスとマーケ部門から、同じ時期に聞こえてくる声です。前者の安心と後者の事故は矛盾していません。AIをめぐる漏えいの多くは、入力の瞬間ではなく、AIが作った出力が社外に出る瞬間に起きているからです。この記事では、出力側を文脈で検査する海外の道具 Bonfy.AI を題材に、入力対策だけでは漏えいが止まらない理由と、出力の検査を社内に入れるかどうかを判断するための材料を整理します。

Bonfy.AI は、人とAIが作った「出す側」を検査する道具

Bonfy.AI は、イスラエル発の情報保護の会社で、製品名は ACS（適応型の内容保護と訳せる名前）です。公式サイトは、AIによる情報の流出、許可されていないAIの利用、機密・プライバシー・法令にかかわる事故を、リアルタイムに防ぐと説明しています。特徴は、人が書いたものとAIが書いたものを区別せず、外に出ていく内容そのものを検査する点にあります。顧客向けのやり取りを扱うページでは、送信の前に内容を確かめる仕組みを「防火壁のように」置くと表現しています。

つなぐ先は、社員が日常的に使う道具です。公式サイトでは、Microsoft 365 のメール（社外あて・社外から・社内のやり取りと添付ファイル）、SharePoint、Entra、Purview、Copilot、Google Workspace の Gmail と Drive、そして Salesforce、HubSpot、Slack が挙がっています。さらに、許可していない生成AIのサイトへ機密が送られるのを見つけるブラウザの拡張機能もあります。

公式サイトは保護の層を三つに分けています。AIに渡す前の入力の制御、AIが作ったものや人が送るものの出力の制御、そして使っている最中のデータの検査です。この記事が扱うのは二つ目の出力側で、公式サイトはここを「ほかの道具が見ていない第三の経路」と位置づけています。主張としては強い言い方ですが、出力側を主題に据えている製品であることは読み取れます。

会社の動き：2024年の創業、ACS 2.0、カイトワークスによる買収

会社の経緯を確かめておきます。Bonfy.AI は2024年に創業し、2025年6月26日に表に出てきました。米国のセキュリティ専門誌の報道によれば、TLV Partners が主導し、サバン・キャピタルが加わった950万ドルのシード資金を調達しています。共同創業者で最高経営責任者のギディ・コーエン氏は、以前にスカイボックス・セキュリティを創業した人物です。

2026年3月19日には ACS 2.0 を発表しました。報道によれば、AIエージェントを人のアカウントの延長ではなく独立した主体として扱い、どのエージェントがどのデータを読み、どう処理し、出力がどこへ行ったかを追うことを打ち出しています。エージェントが読む・共有する・作る内容を動作中に検査する仕組み、エージェントの基盤から問い合わせられるMCPサーバーとAPI、SharePoint や Google Drive、社内のファイル置き場のどこに機密があるかを示す画面が加わり、同じ発表で第三者による統制の監査である SOC2 の報告書を取得したとしています。

最も大きな動きは、2026年9月8日の発表です。機密ファイルの共有や送受信の基盤を手がける米国のカイトワークスが Bonfy.AI を買収しました。金額は公表されていません。カイトワークスは、自社の基盤への統合を進めながら、Bonfy.AI を単独の製品としても引き続き提供すると説明しています。提供終了や新規受付の停止の告知はなく、公式サイトも「カイトワークスの一部になった」と掲げたうえで更新が続いています。

• 単独の製品として提供を続ける期間、価格、更新の条件、サポート体制は、買収の発表では示されていません。検討する場合は、見積の段階で契約期間と更新の条件を書面にしてもらってください
• 資金や機能の説明は、提供元の発表と報道に基づくもので、第三者による性能の検証値ではありません

誤解：AIへの入力を止めれば、漏えいは防げる

生成AIの情報漏えい対策として、多くの会社が最初に整えるのは入力側です。機密を入力しないという規程、法人向けの契約に寄せて学習に使わせない設定、許可していないAIのサイトを止める仕組みなどです。こうした入力側の対策は必要ですが、入力を止めることと、漏えいが起きないことは同じではありません。入力側の持ち出し対策の一般論は別の記事で扱っているため、ここでは入力対策が済んだあとに残る穴に絞ります。

残る穴は大きく三つあります。一つ目は、会社が正式に配ったAIが、社内の資料を正しく読み込んだうえで作った出力です。たとえば Copilot に提案書を作らせると、社内の共有フォルダから別の顧客の価格や事例を拾ってくることがあります。入力は正規の操作なので、入力側の監視では止まりません。二つ目は、中身は正しいのに、送る相手を間違える事故です。三つ目は、人の確認を通らずに出力を外へ送るエージェントです。

三つに共通するのは、危険が「AIに何を渡したか」ではなく、「できあがったものを誰に出したか」で決まる点です。Bonfy.AI の公式サイトが出力の制御の例として挙げているのも、誤った宛先への送信、気づかれないままの流出、AIのもっともらしい作り話に紛れた機密の混入といった、出口で起きる事故です。入力の対策は前提として残しつつ、出口に別の検査を置くというのが、出力側の道具を検討する出発点になります。

課題：マーケと営業の出力で起きている事故

出力側の事故が起きやすいのは、社外に出す文書を量産する部署です。BtoBのマーケ部門と営業部門は、提案書、見積の添付メール、事例の資料、メルマガ、展示会のお礼メールと、社外あての出力を毎日作っています。生成AIで作る速さが上がるほど、一本あたりの見直しの時間は短くなり、事故は作成の段階ではなく送信の段階で表に出ます。

典型的なのは次のような事故です。どれも、送った本人に悪意はなく、入力側の監視にも引っかかっていません。

• AIに作らせた提案書に、似た案件の別の顧客の社名や価格が残ったまま、社外に送られる
• 見積の添付メールを、名前の似た別の担当者に送ってしまう。宛先の候補表示から選んだだけで、中身には問題がない
• AIに要約させた商談の記録を、営業の共有チャンネルではなく、社外の人も参加しているチャンネルに投稿する
• メルマガの差し込みの設定を誤り、別の配信先の会社名や担当者名が入ったまま送られる
• 営業支援のエージェントが、社内の価格表を引用した返信の案を作り、担当者が中身を見ずに送信する

これらの事故は、個人情報の漏えいだけでなく、取引先との守秘の約束や、自社の営業上の秘密の流出にもつながります。とくに個人データが含まれる場合、誤送信は漏えいとして扱われ、一定の条件に当たれば、個人情報保護委員会への報告と本人への通知が必要になります。事故のあとの対応まで含めると、送信前に一度止める仕組みの価値は、作る速さが上がった会社ほど大きくなります。

原因1：AIの出力には、元の資料の出どころが残らない

出力側の事故が起きる一つ目の原因は、AIが作った文章には「どの資料から来たか」の印が残らないことです。社内の資料には、機密の区分を示す表示や、Purview の秘密度の印が付いていることがあります。ところが、AIがその資料を読んで要約や提案書の文面を作ると、できあがった文章は新しいファイルになり、元の資料の印を引き継がないことがあります。

印を頼りにした持ち出し対策は、ここで効かなくなります。「社外秘」の印が付いたファイルを外へ送ろうとすれば止められても、その中身をAIが書き直した文章は、印のない普通の文章として外へ出ていきます。Bonfy.AI が中身そのものを読み、社名・人名・価格・契約条件といった要素が誰の情報かを文脈から判断する方式を取っているのは、この穴を埋めるためです。公式サイトは、Purview の印付けを補う形で、検査した内容に印を付ける連携にも触れています。

ただし、中身から出どころを推定する判断は、印を読むより不確かです。同じ社名が公開の事例記事にも社外秘の提案書にも出てくるように、中身だけでは機密かどうか決まらない場面は多くあります。この不確かさをどう扱うかは、後の対策で触れる「止める・保留する・知らせる」の段階の設計に直結します。

原因2：危険かどうかは、中身と宛先の組み合わせで決まる

二つ目の原因は、出力の危険が中身だけでは判断できないことです。同じ価格表でも、社内の営業あてなら問題はなく、契約を結んだ代理店あてならおそらく問題はなく、競合と取引のある相手あてなら事故になります。従来の持ち出し対策の多くは、中身に決まった型の文字列が含まれるかどうかで判定してきたため、宛先との組み合わせまでは見ていませんでした。

報道によれば、Bonfy.AI は送り手、受け手、相手との取引関係、使う経路、やり取りの業務上の目的を合わせて判断すると説明しています。公式サイトでも、業務の道具から社内のつながりや決まりを学ぶ仕組みを持つとしています。たとえば、CRMに登録された取引先と、その取引先にかかわる案件の資料をつなげておけば、A社あての提案書にB社の情報が入っているという組み合わせを見つけられる、という考え方です。

ここで注意したいのは、この判断がCRMや社内の名簿の正しさに依存することです。取引先の登録が古い、案件と担当の紐づけが抜けている、子会社が別の名前で登録されている、といった状態では、組み合わせの判断も外れます。道具を入れる前に、判断の材料になる社内のデータがどこまで整っているかを確かめる必要があります。日本の会社名の表記揺れ（株式会社の位置、略称、英字の社名）をどこまで同じ会社として扱えるかも、試行で確かめる項目です。

原因3：従来の持ち出し対策は、決まった型しか見ていない

三つ目の原因は、既存の持ち出し対策が想定している事故の形です。従来の対策は、クレジットカードの番号、マイナンバー、口座番号のように、決まった型を持つ文字列を見つけて止めることを得意としてきました。型のある情報には強い一方で、提案書の価格の考え方、未公開の製品計画、顧客との交渉の経緯のように、型を持たない機密には弱いのが実情です。

さらに、型で判定する方式は誤検知も多くなりがちです。番号に似た文字列を含む普通の資料が止められ、そのたびに社員が例外の申請をするうちに、止められること自体が日常になり、警告は読まれなくなります。Bonfy.AI の公式サイトも、従来の持ち出し対策が誤検知、見逃し、増え続ける運用の手間に苦しんでいると指摘し、AIによる絞り込みで誤検知を減らすと説明しています。どこまで減るかを示す数字は公開されていません。

ここから言えるのは、出力側の道具は従来の持ち出し対策の置き換えではなく、型のある情報は従来の仕組み、型のない機密と文脈の判断は出力側の道具という分担で考えるべきだということです。どちらか一方で全部を見ようとすると、見逃しか誤検知のどちらかが膨らみます。

原因4：エージェントは、人の確認を通らずに出力を外へ出す

四つ目の原因は、AIエージェントの広がりです。人がAIに下書きを作らせ、人が送信ボタンを押す流れであれば、少なくとも送る前に人の目が一度入ります。ところが、問い合わせへの返信、資料の送付、商談の記録の共有といった作業をエージェントに任せると、出力が作られてから外へ出るまでの間に、人の確認が入らない流れが生まれます。

ACS 2.0 の発表がエージェントを独立した主体として扱うと打ち出したのは、この流れを見るためです。人のアカウントの権限で動くエージェントは、記録の上では人の操作と区別がつかないことがあり、事故が起きても、人が送ったのかエージェントが送ったのかが分かりません。公式サイトは、エージェントが作業の途中でMCPサーバー経由で Bonfy.AI に問い合わせ、送る前にこの要約に個人情報が入っていないかを確かめるという使い方を例に挙げています。

ただし、エージェントが自分で検査を呼ぶ形は、エージェントの作り方に依存します。検査を呼ばないように作られたエージェントや、検査の結果を無視するエージェントは、この仕組みの外に出ます。エージェントの出力を検査する場合は、エージェントの判断で呼ぶ検査ではなく、出口の側で必ず通る検査を基本にし、エージェントからの問い合わせは補助として扱うのが安全です。

対策1：検査する出口を決め、出口ごとに止め方を変える

出力の検査を入れるときに最初に決めるのは、どの出口を見るかです。Bonfy.AI がつなげる出口は、メール、ファイルの共有、チャット、業務のクラウドサービス、生成AIのサイト、エージェントと幅広く、全部を一度につなぐと、検知の件数も、確認する人の手間も一気に増えます。事故が起きたときの影響が大きく、件数が多すぎない出口から始めるのが現実的です。

次の表は、マーケと営業の出力を例に、出口ごとの見方を整理したものです。止め方の欄は、最初の設定の例で、試行の結果を見て変えていきます。

出口	主に起きる事故	最初の止め方の例	人が見る範囲
社外あてのメールと添付	宛先の誤り、別の顧客の情報の混入	危険度の高いものは送信を保留	保留したメールの送信可否
共有リンクとファイル置き場	社外の人がいるフォルダへの保存	知らせるだけから始める	共有の範囲の見直し
チャットの社外参加の場	商談の要約や価格の投稿	投稿者に知らせる	繰り返す場の設定
生成AIのサイトへの貼り付け	許可外のAIへの機密の送信	警告して記録	利用を正式に認めるかの判断
エージェントの送信	人の確認なしでの社外送信	送信前に必ず検査を通す	エージェントの権限と停止

表の考え方は、すべての出口で送信を止めるのではなく、出口ごとに止める強さを変えることです。メールのように取り消しのきかない出口は強く、ファイルの共有のように後から範囲を直せる出口は弱く設定すると、業務を止める回数を抑えながら、取り返しのつかない事故を防げます。

対策2：止める・保留する・知らせるの三段で、誤検知に業務を止めさせない

出力の検査が社内で嫌われる最大の理由は、誤検知で業務が止まることです。営業が急いで見積を送ろうとしたときに、理由の分からない警告で送信が止まれば、次からは検査を避ける方法を探されます。そこで、判定の結果を止める・保留する・知らせるの三段に分け、確信が高いものだけを止める設計にします。

止めるのは、宛先と中身の組み合わせが明らかに誤っているもの、たとえば別の取引先の社名と価格が入った社外あてのメールです。保留するのは、判断に迷うもので、送信を一時的に預かり、上長や情シスの担当が数分以内に送るかどうかを決めます。知らせるのは、危険度の低いもので、送り手に注意を表示して送信は通します。公式サイトは、送信の前に内容を直す、関係者に直し方の提案付きで知らせるといった動きにも触れていますが、内容を自動で書き換える動きは、言葉の意味を変える可能性があるため、最初は使わないほうが無難です。

三段のどれに振り分けたかと、その理由は、必ず記録に残します。止めた理由が説明できない判定は、社員が納得できず、例外の申請が増えるからです。記録を月に一度見直し、誤検知が多い条件は知らせるだけに下げ、見逃しが見つかった条件は保留に上げる。この調整を続けることが、出力の検査を定着させる要になります。

対策3：従来の持ち出し対策と Purview との分担を決める

Microsoft 365 を使う会社では、Purview の秘密度の印と持ち出し対策の機能を、すでに使っているか、使う予定がある場合が多いはずです。Bonfy.AI は Purview と競合するのではなく、Purview の印付けを補う形でつなぐと公式サイトで説明しています。それでも、同じ送信に二つの仕組みが別々の判定を出す状態は避けなければなりません。

分担の考え方は次のとおりです。型のある情報（番号類）と、印の付いたファイルそのものの持ち出しは、Purview などの既存の仕組みで止めます。型のない機密、AIが書き直して印の消えた文章、宛先との組み合わせで初めて危険になる出力は、出力側の道具で見ます。どちらの仕組みが止めたのかが、社員の画面と記録の両方で分かるようにしておくと、問い合わせを受けた情シスが原因を追えます。

Google Workspace を使う会社でも考え方は同じで、Gmail と Drive の標準の共有制限と、出力側の道具の判定の範囲を分けます。両方の環境を使う会社では、どちらの環境の出力を先に検査するかを、社外とのやり取りの量で決めるとよいでしょう。分担を決めないまま入れると、同じ事故に二つの警告が出るか、どちらも出ないかのどちらかになります。

社内に入れてよいか：データの流れ・権限・費用・買収後の契約

出力の検査は、検査する中身を道具の側で読むことが前提です。つまり、社外あてのメールの本文と添付、共有されるファイル、チャットの投稿が、Bonfy.AI の処理に回ります。公式サイトは提供形態としてクラウドでの提供を挙げ、自社のクラウド環境に置く形にも対応するとしています。また、保存期間の設定、暗号化、伏せ字の選択肢で、Bonfy.AI 自身が持つデータを減らせると説明しています。処理する場所の国や地域、保存期間の初期値は公開情報では確かめられなかったため、契約前に確認が必要です。

日本の個人情報保護法の観点では、検査のために個人データを含むメールを海外の事業者の仕組みで処理する場合、委託先の監督や、外国にある第三者への提供にかかわる確認が必要になる場合があります。委託として扱うのか、どの国で処理されるのか、本人への情報提供が要るのかは、法務部門と提供元の契約書を照らし合わせて決めてください。権限の面では、検知の記録を見られる人を絞ることが大切です。記録には、社員が送ろうとした機密そのものが含まれるため、記録を見る権限を広く配ると、それ自体が新しい漏えいの経路になります。

費用は公開されておらず、デモの申し込みから見積になる形です。検査する出口と利用者の数で増える形か、検査の件数で増える形かは見積の段階で確かめます。そして今回特有の確認が、買収後の契約です。単独の製品として提供を続けると発表されていますが、期間や条件は示されていません。複数年の契約を結ぶ場合は、更新の権利、価格の据え置き、カイトワークスの製品へ移る場合の扱いを書面で確かめ、やめる場合に既存の持ち出し対策へ戻せるよう、検査の決まりを自社でも控えておきます。

AIに判断させない範囲：根拠を残し、例外は人が決める

出力側の道具は、中身と文脈からAIで危険度を判定します。公式サイトは、判定を数値で示し、その理由を説明できる形にしていると述べています。ここで大切なのは、AIの判定を最終判断にしないことです。道具に任せてよいのは、危険の候補を見つけることと、その根拠を示すことまでで、送ってよいかを決めるのは人です。

具体的には、三つの線を引きます。一つ目は、保留したメールを送るかどうかの判断は、送り手本人ではなく上長か情シスの担当が持つこと。二つ目は、判定の根拠（どの語句が、どの取引先の情報と判断されたか）が表示されない判定は、止める段に置かないこと。三つ目は、例外を認めた場合に、誰がどの理由で認めたかを記録すること。この三つが守られていれば、道具の判定が外れても、事故と業務停止のどちらにも偏らずに済みます。

もう一つ、道具の判定を社員の評価に使わないことも決めておきます。検知の記録は、誰がどれだけ危ない送信をしようとしたかの一覧にもなります。これを人事評価に使い始めると、社員は検査を避けるようになり、出力の検査そのものが機能しなくなります。記録は事故を防ぐための道具の調整に使うと、導入の時点で社内に説明しておくのが賢明です。

小さく始める手順

出力の検査は、全社に一度に広げると、検知の件数と問い合わせで情シスが止まります。まずは、社外あての出力が多く、事故の影響が大きい部署から、知らせるだけの設定で始めるのが基本です。マーケと営業は、最初の対象として向いています。

試行の段階で確かめたいのは、日本語の文章での判定の精度です。公式サイトが挙げる初期設定の決まりは、EUの一般データ保護規則や米国の医療情報の規則など海外の法令が中心で、日本の個人情報保護法や、日本の取引慣行に合わせた決まりがどこまで用意されているかは、公開情報では分かりませんでした。日本語の提案書やメールで誤検知と見逃しがどの程度出るかは、試行で自社のデータを使って確かめるしかありません。

よくある質問

Q. 生成AIの法人契約で学習に使わない設定にしています。出力の検査は必要ですか

学習に使わない設定は入力側の対策で、AIが作った出力を誰に送るかには効きません。社内の資料を読めるAIを配っている会社ほど、別の顧客の情報が出力に混ざる事故は起きやすくなります。まず、社外あての出力でどんな事故が起きているかを、過去の誤送信の記録から洗い出してから判断してください。

Q. 誤送信を防ぐなら、送信を数分遅らせる機能で足りませんか

送信の取り消しや遅延の機能は、送った本人が気づける誤りには有効です。ただ、別の顧客の情報が提案書に混ざっている事故は、本人が気づかないから起きるので、遅らせるだけでは防げません。遅延の機能と、中身と宛先の組み合わせを見る検査は、別の事故に効くものとして組み合わせます。

Q. 買収されたばかりの製品を入れて大丈夫ですか

単独の製品として提供を続けると発表されていますが、期間や条件は示されていません。契約するなら、短い期間から始め、更新の条件と、カイトワークスの製品へ移る場合の扱いを書面で確かめてください。検査の決まりを自社でも控えておけば、乗り換えるときの負担を抑えられます。

Q. 社員のメールを道具が読むことを、社員にどう説明すればよいですか

何のために、どの出口の、どの範囲を検査し、記録を誰が見るかを、就業規則や情報管理の規程に合わせて事前に示します。記録を人事評価に使わないことも、あわせて明記しておくと、検査を避ける動きを減らせます。

まとめ

Bonfy.AI は、人とAIが作ったメール・文書・チャット・エージェントの出力を、社外に出る直前に宛先や業務の文脈と合わせて検査する道具で、2026年3月の ACS 2.0 でエージェントへの対応を広げ、9月にカイトワークスに買収されました。AIへの入力を止めても、AIが作った出力が誤った相手に出る事故は止まりません。出口ごとに止める強さを変え、止める・保留する・知らせるの三段で誤検知に業務を止めさせず、従来の持ち出し対策や Purview と役割を分けること。判定は根拠を残させ、例外の判断は人が持つこと。そして買収後の契約条件を書面で確かめること。この順で検討すれば、出力の検査を入れるかどうかを、自社の事故の実態に照らして判断できます。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。