個人情報チェックリストをAIで作るプロンプト 社内確認を抜け漏れなく始める書き方
このテンプレートは、問い合わせフォーム、採用応募、イベント申込、メール配信、社内アンケートなどで扱う個人情報について、確認項目を整理するためのプロンプトです。
法務担当だけでなく、総務、人事、マーケティング、開発、営業企画の担当者が、専門家に相談する前のたたき台を作る場面で使えます。
先に大事な点を言うと、AIに実名、メールアドレス、電話番号、履歴書、顧客リストなどを貼り付ける必要はありません。入力するのは、情報の種類、利用目的、保存場所、共有先、保存期間、担当部署などの概要です。
- 目的: 個人情報の取り扱いチェックリストを作る
- 想定出力: Markdownのチェックリスト、リスク、確認質問、担当者欄
- 使う前提: ChatGPT、Claude、Geminiなどの汎用LLMで利用可
- 注意点: AIの出力は法的判断そのものではなく、社内確認の下書きとして扱う
2026年7月時点で、個人情報保護委員会は生成AIサービスの利用について注意喚起を出しており、OpenAI、Anthropic、Googleもそれぞれデータ利用やレビュー、設定に関する説明を公開しています。業務で使う場合は、プロンプトの書き方だけでなく、利用中のAIサービスの契約プランと管理設定も確認してください。
何をチェックリスト化するプロンプトか
このプロンプトの役割は、個人情報を扱う業務を「収集、利用、保存、共有、削除、問い合わせ対応」に分け、確認すべき点を表に近い形で出すことです。
たとえば、イベント申込フォームを作るとき、担当者はフォーム項目や告知文に目が向きがちです。しかし実務では、次のような確認が後から問題になります。
- その項目は本当に必要か
- 利用目的は申込者に伝わっているか
- 名簿を誰が見られるか
- 外部ツールに保存されるか
- イベント終了後にいつ削除するか
- 問い合わせや削除依頼が来たとき誰が対応するか
個人情報保護委員会のガイドラインでも、利用目的、取得、個人データの管理、委託先の監督、第三者提供、漏えい等への対応などが整理されています。プロンプトでは、このような観点を直接コピペするのではなく、自社業務に合わせて「確認すべき質問」に変換させます。
ここがポイント: AIには個人データそのものではなく、業務の流れとデータの種類を渡す。出力は最終判断ではなく、担当者が確認するための一覧にする。
コピペ用プロンプトテンプレート
以下をそのままコピーし、{} の部分だけ自社の業務に置き換えて使います。個人名や実際のメールアドレスは入れず、情報の種類だけを書いてください。
あなたは、社内業務の個人情報取り扱いを点検するためのチェックリスト作成を支援するアシスタントです。
法的な最終判断ではなく、担当者が確認すべき観点を整理してください。
前提:
- 対象業務: {例: ウェビナー申込フォームの作成}
- 担当部署: {例: マーケティング部}
- 取得する情報の種類: {例: 氏名、会社名、部署名、メールアドレス、参加希望日}
- 取得しない情報: {例: 生年月日、住所、決済情報、健康情報}
- 利用目的: {例: 申込受付、参加URL送付、開催後アンケート案内}
- 保存場所: {例: フォームツール、社内共有ドライブ、メール配信ツール}
- 共有先: {例: 社内担当者、イベント運営委託先}
- 保存期間の想定: {例: 開催後3か月で削除}
- 利用するAIサービスや外部ツール: {例: ChatGPT Business、Google Forms、メール配信サービス}
- 社内ルールや参照すべき文書: {例: 個人情報管理規程、委託先管理ルール}
出力してほしい形式:
1. 最初に、入力情報から見た主な注意点を5つ以内で要約
2. 次に、Markdownのチェックリストを作成
3. チェックリストの列は「確認項目」「確認する理由」「担当候補」「証跡・確認資料」「未確認時のリスク」にする
4. リスクが高そうな項目には「要確認」と付ける
5. 不足している情報があれば、最後に「追加で確認したい質問」として列挙
6. 実名、メールアドレス、電話番号などの入力を求めない
7. 最終確認は法務、情報システム、個人情報管理担当に回す前提で書く
このテンプレートは、法務レビューの代わりではありません。価値があるのは、担当者が見落としやすい点を先に並べ、社内の確認先に渡しやすくするところです。
入力時に変える部分と固定する部分
プロンプトは、毎回全部を書き換える必要はありません。変える部分と固定する部分を分けると、出力が安定します。
毎回変える部分
業務ごとに変えるのは、AIが判断材料として使う具体情報です。
- 対象業務
- 取得する情報の種類
- 利用目的
- 保存場所
- 共有先
- 保存期間
- 外部ツール名
- 社内で確認すべき規程名
ここで重要なのは、実データではなく「種類」を書くことです。たとえば「山田太郎、taro@example.com」ではなく、「氏名、メールアドレス」と書きます。
固定した方がよい部分
固定するのは、出力の役割と制約です。
- 法的な最終判断ではない
- 実名や連絡先の入力を求めない
- チェックリスト形式にする
- 担当候補と証跡を出す
- 不足情報を質問として出す
- 最終確認先を明記する
個人情報チェックで使うプロンプトは、便利さよりも安全側の制約を先に固定するのがコツです。AIが気を利かせて追加情報を求める場合でも、実データを要求しないように先回りして指定します。
NG例と改善例
個人情報まわりのプロンプトで失敗しやすいのは、短すぎる依頼です。AIはそれらしい一般論を返せますが、自社業務で確認すべき項目には届きません。
NG例
個人情報の取り扱いチェックリストを作って。
この指示では、対象業務、情報の種類、保存場所、共有先が分かりません。結果として、「利用目的を確認する」「安全に管理する」のような一般的な項目だけになりやすくなります。
改善例
ウェビナー申込フォームで取得する個人情報について、社内確認用のチェックリストを作ってください。
取得する情報は、氏名、会社名、部署名、メールアドレス、参加希望日です。
利用目的は、申込受付、参加URL送付、開催後アンケート案内です。
保存場所はフォームツール、社内共有ドライブ、メール配信サービスです。
共有先はマーケティング部とイベント運営委託先です。
実名やメールアドレスの入力は不要です。
出力は「確認項目」「確認する理由」「担当候補」「証跡・確認資料」「未確認時のリスク」のチェックリストにしてください。
変えた点は明確です。業務、情報の種類、利用目的、保存場所、共有先、出力形式を入れました。これでAIは、フォーム項目の必要性、外部ツール利用、委託先共有、削除時期などを具体的な確認項目に落とし込みやすくなります。
出力を安定させるコツ
個人情報のチェックリストは、項目数が多いだけでは使いにくくなります。社内で動ける形にするには、出力形式を細かく指定します。
1. チェック項目だけで終わらせない
「確認項目」だけだと、誰が何を見ればよいのか分かりません。次の列を入れると、担当者に渡しやすくなります。
- 確認する理由
- 担当候補
- 証跡・確認資料
- 未確認時のリスク
- 要確認フラグ
特に「証跡・確認資料」は実務で効きます。プライバシーポリシー、申込フォーム画面、委託契約、アクセス権限一覧、削除手順など、確認すべき資料名が出れば、次の作業に移りやすくなります。
2. AIに入れてよい情報を限定する
OpenAIの説明では、個人向けサービスとビジネス向けサービスでデータ利用の扱いが分かれます。Anthropicも消費者向けと商用向けで説明を分けています。GoogleのGemini Apps Privacy Hubでは、人間のレビュアーが一部データを確認する場合や、機密情報を入力しないようにという注意が示されています。
そのため、プロンプト内に次の制約を入れておくと安全です。
実名、メールアドレス、電話番号、住所、履歴書、顧客リスト、問い合わせ本文など、個人を識別できる具体データは入力しません。
必要な場合は「氏名」「メールアドレス」「応募書類」「問い合わせ内容」のようなデータ種別として扱ってください。
3. 最後に不足質問を出させる
チェックリスト作成では、AIが断定しすぎるより、「ここが分からない」と返す方が役に立ちます。
判断に必要な情報が不足している場合は、推測で埋めずに「追加で確認したい質問」として出してください。
この一文を入れるだけで、保存期間、委託先、海外移転、削除手順、問い合わせ窓口などの未確認点が見えやすくなります。
業務別の使い分け例
同じテンプレートでも、業務によって重視する確認点は変わります。入力欄を少し変えるだけで、社内の複数部署に使えます。
人事・採用
応募者情報を扱う場合は、履歴書、職務経歴書、面接評価、選考結果の保存期間が論点になります。
追加するとよい入力項目:
- 応募書類の種類
- 面接官の閲覧範囲
- 採用管理システム名
- 不採用者データの削除時期
- 外部採用支援会社への共有有無
マーケティング
資料請求、ウェビナー、メール配信では、利用目的と配信停止の導線が重要です。
追加するとよい入力項目:
- メール配信の目的
- 配信停止方法
- 広告連携ツールの有無
- セミナー後フォローの範囲
- 委託先や共催企業への共有有無
開発・分析
ログ、問い合わせ、アンケートを分析する場合は、個人を識別できる情報を分析対象から外せるかがポイントです。
追加するとよい入力項目:
- 分析に使うデータ種別
- 匿名化・仮名化の方針
- 開発環境への持ち込み有無
- アクセス権限
- 分析後の削除手順
最後に使う確認チェックリスト
AIで作ったチェックリストをそのまま完了扱いにせず、次の5点を人が確認してください。
- 実データをAIに貼り付けていないか
- 利用目的と取得項目が対応しているか
- 保存場所とアクセス権限が明確か
- 外部ツール、委託先、第三者共有の有無を確認したか
- 削除時期、問い合わせ対応、漏えい時の連絡先が決まっているか
このテンプレートの使いどころは、最終判断をAIに任せることではありません。個人情報を扱う前に、担当者、法務、情報システム、個人情報管理担当が同じ一覧を見て話せる状態を作ることです。
次に見るべき分岐点は、自社で使っているAIサービスが個人向け設定なのか、ビジネス向け契約なのかです。ここが曖昧なままなら、プロンプトを改善する前に、入力してよい情報の範囲を社内で決める必要があります。