# 中小企業が生成AIプロンプトを社内共有する5項目：入力禁止データ・テンプレート・更新ルールのチェックリスト
生成AI研修や試験利用を始めると、現場ではすぐに「このプロンプトが便利だった」「この聞き方なら回答が安定した」といった知見が増えます。ところが、その知見が個人のチャット履歴、メモ、スプレッドシートに分散したままだと、誰が最新版を管理しているのか、どの情報を入力してよいのか、出力を誰が確認するのかが分かりにくくなります。
IPAはテキスト生成AIの導入・運用に関するガイドラインを公開しており、生成AIを使う際のルール策定・文書化・リスク管理は重要な論点として扱われています。個人情報保護委員会も、生成AIサービスの利用に関する注意喚起の中で、生成AIサービスがプロンプト入力等に応えて文章や画像等を生成するサービスであることを説明しています。つまり、プロンプトは単なる質問文ではなく、入力情報と出力利用のルールを含めて管理する対象として考える必要があります。
この記事では、中小企業が生成AIプロンプトを社内共有する前に確認したい5項目を、実務チェックリストとして整理します。ここで紹介する5項目は公的機関が定めた公式チェックリストではなく、Asobeが中小企業向けに整理した運用上の確認項目です。個別の法令対応やセキュリティ適合を保証するものではないため、個人情報・契約・専門判断を含む業務では、社内規程、利用サービスの条件、必要に応じた専門家確認と併せて判断してください。
社内共有前に確認する5項目チェックリスト
1. 入力禁止データを先に分類する
便利なプロンプト集を作る前に、まず「入力してよい情報」と「入力してはいけない情報」を分けます。特に、氏名、連絡先、顧客情報、相談内容、契約条件、未公開の売上・採用・人事情報、認証情報、社外秘資料などは、入力前に確認が必要になりやすい情報です。
| 区分 | 例 | 運用の考え方 |
|---|---|---|
| 公開済み情報 | Webサイト掲載済みのサービス説明、公開済みFAQ | プロンプト例に使いやすいが、出典や更新日を確認する |
| 社内一般情報 | 社内手順、汎用的な業務フロー | 機密性や共有範囲を確認してから使う |
| 要注意情報 | 顧客情報、契約、個人情報、未公開資料 | 原則として入力可否を個別に確認する |
| 入力禁止候補 | パスワード、秘密鍵、機密契約、未公開の重要資料 | プロンプトテンプレート内で禁止例として示す |
匿名化すれば常に安全、有料版なら問題ない、といった断定は避けます。利用する生成AIサービスの規約、社内規程、業務内容によって判断が変わるため、プロンプト共有の最初に入力データの分類表を置くと、現場の迷いを減らしやすくなります。
2. プロンプトテンプレートの目的と対象業務を書く
プロンプトを社内共有する時は、本文だけを配るのではなく、何の業務で使うのかを明記します。たとえば「問い合わせ返信案の下書き」「議事録要約」「求人文面のたたき台」「FAQ整理」「社内研修資料の構成案」のように、対象業務を1〜2行で書きます。
テンプレートには、テンプレート名、目的、対象業務、入力してよい情報、入力してはいけない情報、出力後の確認者、最終更新日、更新者、次回見直し日を入れると管理しやすくなります。生成AIの出力は完成物ではなく確認前の下書きとして扱い、医療、法務、労務、税務、契約、料金、採用、個人情報を含む内容では、AI出力だけで判断を終えない前提をテンプレートにも書いておきます。
3. 共有場所と版管理を決める
プロンプトが個人のチャット履歴やローカルメモに残るだけでは、担当者が変わった時に引き継ぎにくくなります。共有場所は、社内で既に使っているGoogleドライブ、社内Wiki、Notion、ナレッジ管理ツールなどで構いません。重要なのは、どこに置くかよりも、最新版・旧版・更新者・更新日・変更理由が分かる状態にすることです。
プロンプト一覧には、テンプレート名、用途、入力可、入力不可、確認者、最終更新日、更新者、廃棄条件を入れます。特定ツールを導入するだけで管理が解決するわけではありません。小さく始める場合でも、責任者と更新履歴を残すだけで、古いプロンプトを使い続けるリスクを下げやすくなります。
4. 出力確認の責任者と利用禁止パターンを明文化する
生成AIの回答は、自然な文章に見えても、事実誤認、古い情報、過度な断定、社外向けに不適切な表現を含むことがあります。そのため、プロンプトテンプレートには「誰が確認するか」「どの場面では使わないか」を入れておきます。
社内メモの要約は担当者確認で足りる場合があります。一方で、顧客へ送る返信、Web公開文、料金・契約条件、採用・人事、法務・労務・医療など専門判断を含む内容は、責任者や専門部署の確認が必要になる場合があります。利用禁止パターンとして、AI出力を確認せずに顧客へ送る、契約・料金・法務判断をAI出力だけで決める、個人情報や社内機密を入力して判断させる、出典不明の数字や制度説明をそのまま公開する、といった例を明文化します。
デジタル庁の生成AI利活用に関するガイドラインでも、利活用促進とリスク管理を合わせて考える視点が示されています。中小企業で使う場合も、使わないのではなく、どこまで使い、どこから人が確認するかを決めることが現実的です。
5. 更新・廃棄基準を決める
プロンプトは一度作って終わりではありません。商品・料金・社内ルール・利用サービスの条件・業務フローが変わると、古いテンプレートが誤った出力を誘導する可能性があります。
更新・廃棄基準は、月次または四半期で棚卸しする、サービス内容や料金が変わったら該当テンプレートを更新する、担当者が不明なテンプレートは利用停止候補にする、終了したキャンペーン用プロンプトは廃棄またはアーカイブする、最終更新日が古いものは利用前に確認を必須にする、といった形で決めておくと運用しやすくなります。
入力禁止データは「情報の種類」と「業務場面」で分ける
入力禁止データを決める時は、情報の種類だけでなく、業務場面も合わせて見ます。同じ顧客情報でも、公開済みの導入事例として扱う場合と、未公開の相談内容を要約する場合では判断が変わります。
特に、個人情報・顧客情報・契約情報・未公開の経営資料を扱う業務では、プロンプト共有の前に、利用サービスの条件、社内規程、アクセス権限、保存期間、出力確認の責任者を確認します。研修やテンプレート検証では、架空データやマスキング済みデータを使う運用を検討すると、初期の学習やテストを進めやすくなります。ただし、マスキングをすれば常に安全と断定せず、元データの性質と再識別リスクも確認対象にします。
プロンプトテンプレートに入れる項目例
社内で共有するテンプレートには、プロンプト本文の前に使い方を添えます。
```text テンプレート名：問い合わせ返信案の下書き 目的：顧客問い合わせへの一次返信案を作る 対象業務：公開済みサービス内容に関する一般的な問い合わせ 入力してよい情報：問い合わせカテゴリ、公開済みサービス説明、回答したい要点 入力してはいけない情報：氏名、連絡先、契約内容、個別の相談内容、社外秘資料 出力後の確認者：担当者。料金・契約・個別対応を含む場合は責任者 最終更新日：YYYY-MM-DD 次回見直し日：YYYY-MM-DD ```
この形式にしておくと、便利な文面だけが独り歩きしにくくなります。Hermes AgentのようなAIエージェントでSEO記事作成、問い合わせ整理、社内ナレッジ更新などを効率化する場合も、プロンプト本文だけでなく、入力データ、実行権限、確認者、ログ、公開前チェックを一緒に設計することが重要です。
よくある失敗と公開前チェック
失敗1. 便利なプロンプト集だけ作り、入力禁止データを決めていない
プロンプト本文だけを共有すると、利用者は手元の情報をそのまま入力しがちです。テンプレートの先頭に入力可・入力不可の例を置き、迷う情報は相談するルールにします。
失敗2. 誰が更新したか分からず、古いプロンプトが残る
更新者、更新日、次回見直し日、廃棄条件がないと、古い料金、終了したサービス、退職者が作ったテンプレートが残りやすくなります。一覧管理で棚卸しできる状態にしておきます。
失敗3. AI出力を誰も確認せず、そのまま顧客対応や公開文に使う
AI出力は確認前の下書きとして扱い、顧客送信前、Web公開前、契約・料金・専門判断を含む前に確認者を置きます。
失敗4. 生成AI研修とプロンプト管理が別々に進む
研修で使ったプロンプトは、終了後にテンプレート一覧へ整理し、継続利用するもの、修正するもの、廃棄するものを分けます。研修後の運用整理まで含めると、属人的なプロンプト利用から社内資産としての管理へ移しやすくなります。
Asobeに相談できること
Asobeでは、生成AI研修後の運用整理、プロンプトテンプレート設計、入力禁止データの業務別整理、社内AI活用ルール、AI Agent導入前の承認フロー・ログ設計、問い合わせ対応や資料作成の自動化範囲整理を相談できます。
まずは、どの業務でAIを使い、どの情報を入力せず、誰が出力を確認するかを一緒に整理するところから始められます。社内プロンプトの共有ルールやAI活用の運用設計を見直したい場合は、Asobeのお問い合わせフォームからご相談ください。
FAQ
生成AIプロンプトを社内共有する前に、まず何を決めるべきですか？
まず、入力してよい情報・入力してはいけない情報を分けます。そのうえで、テンプレートの目的、対象業務、確認者、共有場所、更新・廃棄基準を決めると整理しやすくなります。
便利なプロンプトをそのまま共有してもよいですか？
そのまま共有する前に、入力例の中に個人情報・顧客情報・社内機密が含まれていないか、対象業務と確認者が分かるかを確認します。
入力禁止データにはどんなものがありますか？
一般には、個人情報、顧客情報、契約情報、未公開の社内情報、機密資料、認証情報などは慎重に扱います。具体的な可否は利用サービス、社内規程、業務内容、必要に応じた専門家確認に基づいて判断します。
プロンプトテンプレートはどこで管理するとよいですか？
既に社内で使っている共有ドライブ、社内Wiki、ナレッジ管理ツールなどで構いません。重要なのは場所そのものより、最新版、責任者、更新日、廃棄基準が分かることです。
AI出力は誰が確認すべきですか？
業務内容によります。顧客対応、料金、契約、採用、法務・労務・医療など専門判断を含む場合は、担当者だけでなく責任者や専門部署の確認を前提にします。
一度作ったプロンプトはどのくらいの頻度で見直すべきですか？
固定の正解はありません。業務フロー、商品・料金、社内ルール、利用サービスの条件が変わった時、または月次・四半期などの棚卸し時に見直す運用が現実的です。