「返信が遅れがちになっている」「スパムに埋もれて本物の問い合わせを見落とした」。サイト運用の相談で、日本とオランダの両方の事業者からよく聞く声です。
自動化というと「AIに返信を書かせる」ことを考えがちですが、効果が大きいのはその手前です。届いた問い合わせを確実に受け止め、種類を見分け、担当と期限を付けて渡す。ここが仕組みになっていれば、返信は人が書いても、対応は目に見えて速くなります。
この記事では、受付→スパム除外→自動返信→分類→振り分け→期限（SLA）の監視→人が見る場面の自動化を、IETF、Google、W3C、欧州委員会・EDPB・オランダの個人データ保護当局（AP）・日本の個人情報保護委員会の一次情報と、Gartner などの調査をもとに整理します。
問い合わせを生むまでの導線は日本と欧州のB2B問い合わせ導線の記事で、運用全体のどこを自動化するかはサイト運用の棚卸しの記事で扱いました。本記事は問い合わせが届いたあとに集中します。
この記事が主に根拠にした情報
- IETF「RFC 3834」と Google「メール送信者のガイドライン」（2024年2月から適用）
- W3C「CAPTCHAのアクセシビリティの問題」と Google reCAPTCHA v3 の公式文書
- GDPR、欧州委員会のGDPR解説、AP の保存期間の解説と警告、個人情報保護委員会の注意喚起（2023年6月）
- Gartner の顧客調査（2024年7月・2026年8月・9月）と HBR の論文（2011年）
| この記事で分かること | 答えの要点 |
|---|---|
| なぜ問い合わせ対応を自動化するのか | 返信の速さで結果が変わる。一方、顧客は人に届く道を求めている（第1章） |
| 全体の流れは | 受付・選別・自動返信・分類・振り分け・期限監視の6段階（第2章） |
| スパムと自動返信の作り方は | CAPTCHAに頼り切らない多層の対策と、悪用されない自動返信（第4〜5章） |
| AIに何を任せるか | ルールで拾えないものの分類だけ。確信度が低いものは人へ（第6・10章） |
| GDPRで気をつけることは | 根拠と通知、保存期間、委託契約と学習の設定、1か月の回答期限（第9章） |
| 費用と始め方は | API費用は月数ドル規模。かかるのは設計と確認の時間（第11・13章） |
1. いま何が起きているか：速さが問われ、人への道も問われる
問い合わせ対応には、返信の速さと、AIだけで済ませることへの抵抗という2つの圧力がかかっています。両方を満たす設計が要ります。
返信が遅い会社は、いまも少なくない
よく引用されるのが、Harvard Business Review の2011年の論文「The Short Life of Online Sales Leads」です。米国の2,241社にウェブから問い合わせを送ったところ、1時間以内に返信したのは37%、24時間超が24%、返信なしが23%で、返信した会社の平均は42時間でした。同じ論文の別の分析では、1時間以内に連絡した会社は、それより1時間遅れた会社に比べて、見込み客として確かめられる確率がおよそ7倍だったと報告されています。
15年前の米国の数字で、今の日本や欧州にそのまま当てはめることはできません。それでも、4社に1社近くが返信すらしなかったという結果は、問い合わせが「気づいたときに処理するもの」になっている会社の多さを示しています。
顧客は、AIの奥にいる人を求めている
一方、AIだけの顧客対応には、顧客の側にはっきりした抵抗があります。Gartner の調査を3本並べます。
| 調査（Gartner） | 公表 | 主な結果 |
|---|---|---|
| 顧客5,728人（2023年12月） | 2024年7月 | 64%が「顧客対応にAIを使わないでほしい」 |
| 顧客3,566人（2026年2〜3月） | 2026年8月 | 87%が「人の担当者に代われる選択肢は必須」 |
| 同上 | 2026年9月 | 悪い体験のあと、チャットボットを再び試す人は27% |
この表から言えるのは、AIは表に出すより、裏で仕分けに使うほうが反発を招きにくいということです。2026年の調査では50%が「生成AIを使う会社とのやり取りは楽になった」とも答えており、役に立つことは認められています。ただ、人に届く道を塞ぐと信頼を失います。
欧州では、AI法（AI Act）の第50条が2026年8月2日から適用され、チャットボットのようにAIが人と直接やり取りする仕組みは、AIだと分かるようにする必要があります。裏で分類するだけのAIはこれに当たりにくいものの、AIが書いた文章を人の確認なしに送るなら、自動送信であることを明記するのが安全です。
2. 全体像：問い合わせの一次対応は6つの段階に分かれる
問い合わせが届いてから担当者が返信を書き始めるまでは、おおむね6つの段階に分かれます。段階ごとに任せる部分と人が見る場面を決めると、失敗したときに直す場所が分かります。
6段階それぞれで、自動化に使う手段と、人が見る場面を表にしました。
| 段階 | 自動化の手段 | 人が見る場面 |
|---|---|---|
| 1. 受付 | フォームとメールを共有の受け箱に集約 | なし（届いたことの確認だけ） |
| 2. 選別 | 隠し項目、送信速度の制限、スパム判定 | 隔離されたものを週1回見直す |
| 3. 自動返信 | テンプレートの送信、受付番号の発行 | 文面の改定時 |
| 4. 分類 | キーワードのルール、AIによる分類 | 確信度が低いもの、抜き取り確認 |
| 5. 振り分け | 分類ごとの担当表、言語と国による拠点の割り当て | 担当の不在時 |
| 6. 期限の監視 | 期限切れの通知、上長への引き上げ | 引き上げられたもの全件 |
自動化で効くのは、2・4・5・6の段階です。特に6の期限の監視は、AIを使わなくても設定一つでできるうえ、図1の「返信なし」を確実に減らします。最初に入れるならここです。
「回答を書く」はこの6段階に入っていない
表に「AIが回答を書いて送る」がないのは意図的です。価格・納期・契約・苦情が混じると、誤りの損が大きくなるためです。AIに回答の下書きを作らせ、人が直して送る使い方はできますが、それは担当者に届いた後の話です。棚卸しの記事で「全自動」とした振り分けとスパム除外の中身を、段階ごとに具体化したのが本記事です。
3. 受付：フォームで取るもの、取らないもの
自動化の精度は、受付で何を取るかでほぼ決まります。
分類に効く1問を足す
本文だけからAIに種類を当てさせるより、「ご用件」を選ぶ項目を1つ置くほうが正確で安く済みます。選択肢は5〜7個と「その他」にします。
利用者は正しく選ぶとは限らず、応募が「見積もり」で、売り込みが「既存のお客様」で届きます。選択肢は分類の初期値とし、ルールやAIで直します。
| 項目 | 取る理由 | 注意 |
|---|---|---|
| 氏名・メールアドレス | 返信に必要 | 確認用の再入力は不要 |
| ご用件（選択式） | 分類の初期値 | 5〜7個と「その他」 |
| 本文 | 内容の把握 | 文字数の上限を示す |
| 会社名 | B2Bの優先度の判断 | 個人向けなら任意に |
| 言語（自動取得） | 拠点への振り分け | ページの言語から取る |
| 送信元ページ（自動取得） | 関心のある商品の推定 | 利用者に見せなくてよい |
この表の下2行は、利用者に入力させずに取れる情報です。どのページから、どの言語で送ってきたかが分かるだけで、振り分けの多くはルールで決まります。
取らないものを決める
GDPRの「データの最小化」（第5条第1項(c)）の原則に沿い、電話番号・住所・役職などの必須項目は返信に必要かどうかで見直してください。日本向けで規模や役職を聞くなら任意にし、理由を添えます。本文欄に、健康状態などの要配慮個人情報を書かないよう注意書きを置くのも有効です。
入力のしやすさも、自動化の前提になる
フォームが使いにくいと、問い合わせはメールや電話に流れ、自動化の網から漏れます。W3C の「フォームのチュートリアル」は、ラベルと入力欄の結びつけ、必須項目の明示、エラーの具体的な表示（WCAG 2.2 の達成基準 3.3.1）を挙げ、web.dev の「Learn Forms」は autocomplete 属性の活用を勧めています。入力の質が上がるほど、分類も正確になります。
4. スパム対策：CAPTCHAに頼り切らない
公開したフォームには、スパムと売り込みが必ず届きます。人が毎日手で消していると、本物の問い合わせを見落とす原因になります。
CAPTCHAは、利用者を選別してしまう
W3C は2021年のノート「Inaccessibility of CAPTCHA」で、歪んだ文字の CAPTCHA は視覚・聴覚・認知に障害のある人を締め出し、機械にも解かれやすくなっていると指摘しています。代わりに挙げるのは、スパムフィルター、振る舞いからの推定、ハニーポット（人には見えない入力欄）、利用回数の制限などです。利用者に何もさせない対策を重ねるのが基本です。
| 手段 | 利用者の負担 | 効き目 | 個人データ |
|---|---|---|---|
| ハニーポット（隠し項目） | なし | 単純なボットに効く | 外部に送らない |
| 送信までの時間の判定 | なし | 自動送信に効く | 外部に送らない |
| 送信回数の制限 | なし | 大量送信に効く | IPアドレスを短期保存 |
| スパム判定サービス | なし | 文面のスパムに効く | 本文を外部に送る |
| reCAPTCHA v3 / Turnstile | ほぼなし | 高度なボットに効く | 外部サービスに送る |
| 文字・画像の CAPTCHA | 大きい | 下がりつつある | 外部サービスに送る |
上の3行は、サイトの中だけで完結し、利用者にも外部にも負担をかけません。まずここを入れて、それでも残る分だけ外部サービスを足す順にすると、プライバシーの説明も簡単になります。
スコアで判定するなら、しきい値は「隔離」に使う
Google の reCAPTCHA v3 は、操作を求めずに 0.0（ボットらしい）〜1.0（人らしい）のスコアを返します。公式文書は既定のしきい値 0.5 を示しつつ、まずスコアを集め、自分のサイトの傾向を見てから決めることを勧めています。
低いスコアを拒否すると、誤判定された人の問い合わせが消えます。隔離して週1回人が見る運用にしてください。図3は、しきい値2本で3つに分ける例です。
Cloudflare の Turnstile も、パズルを解かせない代替手段で、公式文書はフォームの入力内容にアクセスしないと説明しています。どちらを使う場合も、外部サービスにデータが送られることをプライバシーポリシーに書いてください。
なお、人が書いた営業の売り込みはスパム判定では落ちませんし、落とすべきでもありません。取引先候補の提案が混じるためです。「営業・提案」という分類を作り、期限のない受け箱に入れます。
5. 自動返信：何を書き、何を書かないか
受付の自動返信は「届いた」ことを伝える最も安い手段ですが、作り方を誤るとスパムの踏み台やメールのループの原因になります。
書くもの、書かないもの
| 区分 | 項目 | 理由 |
|---|---|---|
| 書く | 受付番号 | 追加の連絡で同じ件と分かる |
| 書く | 受け付けた日時 | 期限の起点を共有する |
| 書く | 返信の目安 | 「2営業日以内」など営業日で |
| 書く | 急ぎの連絡先 | 電話や別窓口へ逃げ道を |
| 書く | 個人データの扱いへのリンク | 通知の義務を補う |
| 書かない | 送られた本文の全文 | 他人宛てのスパムの踏み台になる |
| 書かない | 確約できない約束 | 「必ず本日中に」などは避ける |
| 書かない | 広告・メルマガの案内 | 同意のない宣伝になりうる |
特に大事なのは、本文を返さないことです。メールアドレス欄に他人のアドレスを入れて送信すれば、本文入りのメールが正規のドメインから他人に届きます。これがスパムに使われます。控えは、ご用件の種類と送信日時だけにします。
メールのループを防ぐ：RFC 3834
自動返信どうしが反応すると、メールが延々と往復します。IETF の RFC 3834 の推奨は次のとおりです。
- 自動返信には
Auto-Submitted: auto-repliedヘッダーを付ける Auto-Submittedがno以外のメールには自動で返信しない- 差出人が空（
<>）のメールには返信しない - 同じ相手への「不在」などの通知は、既定で7日に1回までにする
フォームからの自動返信は RFC の想定と少し違いますが、問い合わせ用アドレスにも自動返信を設定している場合はループが起きます。ヘッダーを付け、自動送信のメールには返さない設定にしてください。
自動返信が迷惑メールに入らないように
自動返信が迷惑メールフォルダーに入ると、「返信がない会社」に見えます。Google は2024年2月から、Gmail宛てに送るすべての送信者に、SPF か DKIM の認証と、迷惑メール報告率を0.3%未満に保つことを求めています。
| 要件（Gmail 宛て） | すべての送信者 | 1日5,000通以上の送信者 |
|---|---|---|
| 送信ドメインの認証 | SPF または DKIM | SPF と DKIM の両方 |
| DMARC | 推奨 | 必須（ポリシーは none でも可） |
| 迷惑メール報告率 | 0.3%未満 | 0.3%未満（0.1%未満を推奨） |
| 適用 | 2024年2月1日から | 2024年2月1日から |
多くの会社は左の列だけが対象ですが、フォームのサービスが自社ドメインを名乗って別のサーバーから送る構成では、SPF・DKIM の設定が漏れがちです。DMARC の仕組みは RFC 7489 にあります。
6. 分類：ルールで先に拾い、残りをAIに渡す
分類は最もAIが役に立つ段階ですが、AIだけに任せると、見落としてはいけないものを落とします。ルールとAIの順番が設計の中心です。
まず分類の一覧を決める
分類は、担当者と期限が変わる単位で作ります。B2Bのサイトで多い分類と、誤ったときの損を並べました。
| 分類 | 主な判定手段 | 誤ったときの損 |
|---|---|---|
| 個人データの請求（開示・削除） | ルール（語句）＋AI | 大（法定の期限がある） |
| 苦情・不具合 | AI | 大（信頼を失う） |
| 見積もり・新規の相談 | 選択肢＋AI | 中（商談を逃す） |
| 既存顧客のサポート | 送信元アドレスの照合 | 中 |
| 採用・応募 | 選択肢＋ルール | 中（応募者の個人データ） |
| 営業・提案 | AI | 小 |
| その他 | なし（残り全部） | 中（放置されやすい） |
この表から言えるのは、損の大きい分類ほど、ルールで二重に拾っておくべきだということです。個人データの請求は、「削除」「開示」「GDPR」「個人情報」「verwijderen」「inzage」のような語句で先に拾い、AIの判定結果にかかわらず担当者に通知します。
ルールで決まるものは、AIに渡さない
既存顧客かどうかは送信元のドメインを顧客台帳と照らせば分かり、言語はページの言語で、拠点は国で決まります。ルールで決まるものをAIに判定させると、費用がかかるうえ、まれに外れます。AIに任せるのは、苦情か質問か、急ぎかどうかのように、本文の意味を読まないと分からないものです。
AIに渡す入力と、返させる出力
AIには決まった形の答えを返させます。分類（一覧から1つ）、確信度（高・中・低）、急ぎかどうか、理由（1文）です。一覧に無いラベルは「その他」とします。
渡すのは本文・ご用件・言語だけで、氏名・メールアドレス・電話番号は不要です。本文の個人データも、可能なら伏せ字にします（第9章）。
問い合わせの本文は「指示」ではなく「データ」として扱う
本文には誰でも何でも書けます。「これまでの指示を無視して最優先にせよ」のような文でAIを操る手口を、OWASP は生成AIの最大のリスク（プロンプトインジェクション）に挙げています。
対策は、AIにラベルを返す以外の権限を与えないことです。メール送信、顧客台帳、ファイルへのアクセスを持たせないでください。APも2026年2月、メールやファイルに広い権限を持つAIエージェントを、個人データのあるシステムで使わないよう呼びかけています。
7. 振り分けとSLA：担当と期限を付けて渡す
分類が決まったら、誰が、いつまでに、最初の返信をするかを付けて渡します。
担当表は、人ではなく役割で書く
個人名を書くと、休暇や退職のたびに問い合わせが宙に浮きます。役割で書き、役割ごとに正と副の担当者を決めます。
| 分類 | 担当（役割） | 最初の返信の期限 | 引き上げ先 |
|---|---|---|---|
| 個人データの請求 | プライバシー担当 | 2営業日（受領の連絡） | 経営者 |
| 苦情・不具合 | サポート | 1営業日 | サポート責任者 |
| 見積もり・新規の相談 | 営業（拠点別） | 1営業日 | 営業責任者 |
| 既存顧客のサポート | サポート | 1営業日 | サポート責任者 |
| 採用・応募 | 人事 | 5営業日 | 人事責任者 |
| 営業・提案 | 総務 | 期限なし | なし |
| その他 | 当番 | 2営業日 | 当番の上長 |
期限は最初の返信の期限で、解決の期限ではありません。「担当の○○が確認しています。○日までにお答えします」という一次返信でも、問い合わせた人の不安はかなり減ります。
期限は「営業時間」で数える
「受信から24時間」と時計で決めると、金曜の夜の問い合わせがすぐ期限切れになり、通知が鳴り続けます。担当拠点の営業時間だけを数えるようにし、祝日の暦も拠点ごとに分けます。オランダの国王の日（4月27日）や日本のゴールデンウィークのように、片方だけが休みの期間があるためです。
日本とオランダの業務時間は、1日1〜2時間しか重ならない
オランダは冬時間（中央ヨーロッパ時間）で日本より8時間、夏時間で7時間遅れます。2026年は10月25日に冬時間に戻りました。
重なりは冬時間で1時間、夏時間で2時間です。この短い時間に連絡を集めるより、言語と国で拠点を決め、それぞれの営業時間で期限を数えるほうが確実です。日本語の問い合わせは日本の拠点、オランダ語・英語の欧州からの問い合わせはオランダの拠点、という振り分けが基本形です。
拠点が1つなら、自動返信で返信の目安を相手の時間で伝えます。「日本時間の翌日夕方以降にお返事します」とあれば、相手は待ち方が分かります。
期限切れの通知は、すべての受け箱にかける
期限の監視は、「その他」と隔離の受け箱にもかけてください。放置されるのは、たいてい、どの担当にも割り当てられなかったものです。
8. 人が見る場面を決める
自動化の範囲を決めることは、人が必ず見る場面を決めることと同じです。
必ず人が見るもの
次の問い合わせは、振り分けを自動で行っても、返信の前に必ず人が読みます。
| 場面 | 人が見る理由 | 自動化してよい部分 |
|---|---|---|
| 個人データの開示・削除の請求 | 法定の期限と本人確認がある | 拾い上げと受領の連絡 |
| 苦情・事故・不具合 | 言葉の選び方で結果が変わる | 担当への通知 |
| 価格・納期・契約の回答 | 会社の約束になる | 過去の回答の検索 |
| 法的な通知・行政からの連絡 | 期限と責任がある | 経営者への通知 |
| AIの確信度が「低」 | 誤分類の可能性が高い | 人の受け箱への移動 |
| 重要顧客・既存の大口案件 | 関係そのものが資産 | 担当者への直接通知 |
この表の右の列が示すように、人が見る場面でも、探す・知らせる・渡すの部分は自動化できます。人の時間を、読むことと判断することに集中させるのが目的です。
個人データの請求は、1か月の期限が動き出す
GDPRでは、開示・訂正・削除などの請求に受け取ってから1か月以内に応じる必要があります（第12条第3項）。延長は2か月までで、1か月以内に本人へ伝えます。
期限はフォームに届いた日から数え、「担当者が気づいた日」ではありません。だから、ルールで先に拾い、受領の連絡までを自動化し、期限つきで渡します。日本の個人情報保護法も、保有個人データの開示請求には「遅滞なく」応じることを求めています（第33条）。
「人に代わる」道を用意する
Gartner の2026年の調査で87%が求めた「人に代われる選択肢」を、見える場所に置いてください。自動返信の「急ぎの連絡先」がその役割を果たします。AP と消費者・市場庁（ACM）も2025年10月、顧客対応のチャットボットについて、人の担当者に連絡できる状態を保つよう共同で呼びかけています。
9. GDPRと日本の個人情報保護法：同意・保存期間・AIへの渡し方
問い合わせは必ず個人データを含みます。AIや外部サービスを足すと、データの行き先が増えるため、自動化で確認すべき点に絞って整理します。
問い合わせへの返信に、同意のチェックは必須ではない
「プライバシーポリシーに同意する」を必須にするサイトは多いですが、GDPRでは同意だけが根拠ではありません（第6条）。問い合わせへの返信は、契約前の措置（第6条第1項(b)）や正当な利益（同(f)）を根拠にするのが一般的です。
一方で、取得時に情報を伝える義務（第13条）はあります。目的・根拠・渡し先・保存期間を、フォームの近くからリンクで示します。メルマガ登録や営業リストへの利用は別に同意を取り、問い合わせのチェック欄と兼ねないでください。
日本の個人情報保護法では、取得に本人の同意は原則不要ですが、利用目的を通知または公表する必要があります（第21条）。日本向けのフォームでも、利用目的へのリンクを置く点は同じです。
保存期間は、自分で決めて書く
GDPRは、目的に必要な期間を超えて保存しないことを求めますが（第5条第1項(e)）、一律の年数はありません。欧州委員会は削除または見直しの期限を決めることを求め、履歴書を10年保存する例を「目的に釣り合わない」としています。APも、期限は組織が決め、税法などの保存義務があればそれに従うと説明し、応募者のデータは選考後4週間以内の削除が通例（同意があれば1年程度）としています。
| データの種類 | 保存期間の例 | 根拠の考え方 |
|---|---|---|
| 取引につながらなかった問い合わせ | 1〜2年 | 再度の問い合わせへの対応 |
| 取引に至った問い合わせ | 契約・会計の保存期間に合わせる | オランダは原則7年、日本は7年 |
| 採用への応募 | 選考後4週間（同意で1年） | AP の解説 |
| スパム・隔離されたもの | 30日 | 誤判定の確認に足りる期間 |
| AIに渡した入力の記録 | 30〜90日 | 誤分類の検証に必要な期間 |
期間は DevNJ が置いた例で、業種と契約で変わります。大事なのは、期限を決めて書き、来たら自動で削除か匿名化することです。削除の自動化も同じ設計に入れてください。
AIに渡すときの4つの確認
問い合わせの本文をAIのサービスに送って分類する場合、次の4点を確認します。
- 委託契約（GDPR第28条）：AIの提供者があなたの指示でデータを処理する「処理者」になる契約（DPA）があるか
- 学習への利用：入力が提供者のモデルの学習に使われない設定・契約になっているか
- 域外移転：データがEU域外に送られる場合、十分性認定（日本、EU-米国データ・プライバシー・フレームワークの参加企業など）や標準契約条項があるか
- プライバシーポリシーへの記載：AIのサービスに送ることと、その目的を書いたか
日本の個人情報保護委員会は2023年6月の注意喚起で、生成AIに個人情報を含む指示を入力する場合は利用目的の範囲内かを十分に確認すること、本人の同意なく個人データを入力し、それが応答の出力以外の目的で扱われる場合は法律に違反する可能性があるため、機械学習に使われないことを確認することを求めています。外国の事業者に提供する場合は、第28条の外国にある第三者への提供の規律も確認してください。
APは2024年8月、従業員がAIチャットボットに患者や顧客の個人データを入力した事例を、データ侵害として報告を受けていると警告しました。個人の判断で使うチャットボットとは分けて、契約と設定を確かめた経路だけを使います。
渡す量を減らし、不利な決定は人が下す
EDPB の支援プログラムで外部の専門家がまとめた報告書（2025年4月、EDPB の公式見解ではない）は、顧客対応のチャットボットを事例に、入力の最小化と個人データの伏せ字化を挙げています。メールアドレスや電話番号は送る前に正規表現で伏せ字にでき、署名欄を落とすだけでも氏名はかなり減ります。
GDPR第22条は、重大な影響のある決定を自動処理だけで行うことを制限しています。担当者への振り分けは通常当たりませんが、応募を自動で不採用にする、AIの判定で取引を断る、といった使い方では人が判断する段階を必ず入れてください。
10. AI分類の誤りに備える
AIの分類は、調整しても一定の割合で誤ります。誤っても損が小さくなる仕組みを作ります。
誤りの型と備え
| 誤りの型 | 起きること | 備え |
|---|---|---|
| 重要なものを軽く分類 | 苦情や請求が放置される | ルールで二重に拾う |
| 本物をスパムと判定 | 問い合わせが消える | 拒否せず隔離、週1回確認 |
| 担当違いに振り分け | たらい回しで遅れる | 担当が戻せるボタン |
| 確信度が低いまま処理 | 根拠の弱い判断が通る | 「低」は人の受け箱へ |
| 時間とともにずれる | 新商品や季節で精度が落ちる | 毎週の抜き取り確認 |
最初の2行は見落とし、残りは遅れです。損の大きい見落としを防ぐ仕組みを、精度の改善より先に作ります。
抜き取り確認を、毎週20〜30件
毎週20〜30件を無作為に抜き出し、人が正解を付けてAIと比べます。一致率を記録すれば、プロンプトや分類を変えた効果が分かります。
件数の少ない「個人データの請求」は、全件を見てもよいくらいです。
戻すボタンと、止まったときの動き
担当者が分類の誤りを1クリックで戻せるボタンを用意すると、戻された件がそのまま検証の材料になります。AIのサービスが応答しないときは、全件を「その他」として人の受け箱に流すように作ります。受付と期限の監視が動いていれば、問い合わせは失われません。
11. 費用の幅：AIの費用は小さく、設計と確認に時間がかかる
費用を決めるのは、AIの利用料より、設計・設定と運用後の確認の時間です。
AIの利用料はいくらか
分類だけにAIを使う場合、1件あたりの入力は、指示文と分類の一覧と本文を合わせて2,000トークン前後、出力は300トークン前後に収まります。Anthropic の公表価格（2026年10月時点、米ドル）で計算すると次のとおりです。
| 月の件数 | 小型モデル（入力$1・出力$5／100万トークン） | 中型モデル（入力$2・出力$10） |
|---|---|---|
| 300件 | 約$1 | 約$2 |
| 1,000件 | 約$3.5 | 約$7 |
| 5,000件 | 約$17.5 | 約$35 |
月数百〜数千件なら、AIの利用料は誤差の範囲です。1件あたり小型で約$0.0035、中型で約$0.007で、スパムを先に外せばさらに下がります。日本語は英語よりトークンが多くなりがちなので、実際の件数で試算してください。
進め方ごとの費用
費用の差を生むのは、どの道具で組むかです。金額は DevNJ が置いた目安で、規模で変わります。
| 進め方 | 初期費用の目安 | 月額の目安 | 向いている規模 |
|---|---|---|---|
| フォームとメールのルールだけ | 0〜€1,500 | 0〜€50 | 月100件未満 |
| ヘルプデスク＋組み込みのAI | €1,500〜€6,000 | 担当者1人€20〜€120程度 | 月100〜1,000件 |
| ワークフロー＋AI APIで自作 | €4,000〜€15,000 | €30〜€300（保守別） | 多言語・独自の分類が多い |
月100件未満なら、AIを使わず、フォームの選択肢と期限切れの通知だけで十分なことが多いです。件数が少ないうちにAIを入れても、精度を測るためのデータが足りません。
時間で見た効果
モデルとして、月300件（うちスパム・売り込みが100件）の問い合わせを受ける会社を考えます。1件の仕分けと振り分けに平均3分かかっていれば、月15時間です。
自動化で仕分けはほぼなくなり、隔離の確認（週15分）、抜き取り確認（週30分）、確信度「低」の処理が加わります。差し引きで月15時間が4〜5時間程度が目安です。返信を書く時間は同じでも、書き始めが早くなります。
12. 日本と欧州で比べる
日本向けと欧州向けでは、前提が違う点があります。
| 項目 | 日本 | EU・オランダ |
|---|---|---|
| 取得時の扱い | 利用目的の通知・公表（第21条） | 根拠を持ち、第13条の情報を提供 |
| 保存期間 | 法律上の一律の上限はない | 必要な期間だけ。期限を決めて書く |
| 本人の請求への期限 | 遅滞なく（第33条） | 1か月以内（延長は2か月） |
| AIへの入力 | 利用目的の範囲と学習の有無を確認 | 委託契約・移転の根拠・学習の有無 |
| チャットボットの表示 | 法律上の一般的な義務はない | AI法第50条でAIと分かるように |
| 返信の言葉づかい | 丁寧な定型文が期待される | 簡潔で担当者名のある文が好まれる |
制度の違いはありますが、欧州の基準で作っておけば、日本の基準もほぼ満たせる組み合わせが多くなります。仕組みは1つにし、自動返信の文面と営業時間だけを拠点ごとに分けるのが管理しやすい形です。
13. 導入の手順：5週間で進める
効果の大きい順に段階を踏む例です。
- 1週目：現状を数える。過去3か月の問い合わせを第6章の分類で手作業で分け、件数と最初の返信までの時間を記録する
- 1週目：担当表と期限を決める。分類ごとに役割・期限・引き上げ先と、拠点ごとの営業時間と祝日の暦を決める
- 2週目：受け箱を1つにし、期限の監視を入れる。フォームと問い合わせ用アドレスを集約し、すべての受け箱に期限切れの通知をかける
- 2週目：スパム対策と自動返信を整える。ハニーポットと送信回数の制限、第5章の文面、Auto-Submitted ヘッダーと SPF・DKIM
- 3週目：ルールの分類と個人データの扱いを整える。既存顧客の照合、拠点の割り当て、請求の拾い上げ、保存期間と自動削除
- 4週目：AIの分類を「提案」として動かす。担当者に見せるだけにし、1〜2週間、人の分類との一致率を測る
- 5週目以降：AIの分類を本番にする。確信度「低」は人の受け箱へ。毎週の抜き取り確認を始める
要点は、AIを入れる前に、期限の監視とルールの分類が動いていることです。
14. ケースで考える（架空の3社）
ここからは架空の会社で、立場ごとの答えを考えます。実在の会社ではありません。
A社：オランダに拠点を持つ日本の機械部品メーカー
日英のサイトに月200件が届き、3割は売り込みです。本社と販売拠点の両方が受けていて、どちらが返すかで毎回メールが往復していました。言語と国のルールで拠点を決め、それぞれの営業時間で期限を数える形にし、AIは英語の「見積もり」と「技術的な質問」の見分けに使います。
B社：オランダの日本食材EC
月800件の多くは配送状況と返品で、注文番号の照合によりルールだけで7割が分類できました。残りの苦情と商品の質問をAIで分け、苦情は必ず人が返信します。チャットボットより先に、自動返信に配送状況のページへのリンクを入れることから始めました。
C社：日蘭2言語の小さなコンサルティング会社
月30件ほどを代表が1人で見ています。件数が少ないためAIは入れず、選択肢と期限切れの通知、個人データの請求の拾い上げ、保存期間の自動削除だけにしました。
| 会社 | 月の件数 | 自動化した範囲 | AIの使い方 |
|---|---|---|---|
| A社（部品メーカー） | 200件 | 拠点の割り当て、期限の監視 | 英語の見積もり・技術質問の分類 |
| B社（食材EC） | 800件 | 既存顧客の照合、配送の案内 | 苦情と商品の質問の分類 |
| C社（コンサル） | 30件 | 期限の監視、自動削除 | 使わない |
3社を並べると、AIを使う範囲は件数と分類の複雑さで決まり、期限の監視はどの会社にも共通だと分かります。
15. やってはいけないこと
起きやすい失敗を、理由とともにまとめます。
| やってはいけないこと | 理由 |
|---|---|
| 自動返信に本文をそのまま返す | 他人宛てのスパムの踏み台になる |
| スパム判定で問い合わせを拒否する | 誤判定された人の連絡が消える |
| AIにメール送信や台帳の権限を持たせる | 本文に仕込まれた指示で操られる |
| 個人データの請求をAIの分類だけに任せる | 1か月の法定期限を見落とす |
| 「その他」の受け箱に期限をかけない | 割り当てのない問い合わせが放置される |
| 担当表に個人名だけを書く | 休暇や退職で問い合わせが宙に浮く |
| 社員の個人のAIアカウントで分類する | 委託契約も学習の設定も確認できない |
| 保存期間を決めずに全件を残す | GDPRの保存制限の原則に反する |
| チャットボットで人への道を塞ぐ | 顧客が離れ、欧州ではルールにも反しうる |
この表のほとんどは、AIの性能とは関係がありません。問い合わせの自動化の失敗は、仕組みの隙間と権限の与えすぎから起きると考えてください。
16. チェックリスト
導入前と、導入から3か月後に見直すための一覧です。
受付と選別
- フォームに「ご用件」の選択肢（5〜7個と「その他」）がある
- ハニーポットと送信回数の制限を入れた
- スパム判定で拒否せず、隔離して週1回見直している
自動返信
- 受付番号・日時・返信の目安・急ぎの連絡先・個人データの扱いへのリンクがある
- 送られた本文を返していない
- 送信ドメインの SPF・DKIM（できれば DMARC）を設定した
分類と振り分け
- 分類の一覧が、担当と期限の変わる単位で決まっている
- 個人データの請求と苦情を、ルールで二重に拾っている
- AIに渡すのは本文と選択肢と言語だけで、ラベル以外の権限を与えていない
- 確信度「低」とAIの停止時は、人の受け箱に流れる
- 期限は営業時間で数え、拠点ごとの祝日の暦がある
- すべての受け箱（「その他」と隔離を含む）に期限切れの通知がかかっている
個人データとAI
- プライバシーポリシーに、目的・根拠・渡し先（AIを含む）・保存期間を書いた
- AIの提供者と委託契約があり、入力が学習に使われない
- EU域外に送る場合の移転の根拠を確認した
- 毎週20〜30件の抜き取り確認と、一致率の記録をしている
17. まとめ
- 自動化するのは「誰が・いつまでに見るか」を決める部分で、回答の中身は人が持ちます
- 一次対応は6段階に分け、最初に期限の監視を入れます
- スパムは利用者に何もさせない対策を重ね、拒否せず隔離します。自動返信に本文は返しません
- 分類はルールで先に拾い、残りをAIに渡します。確信度の低いものは人へ回します
- GDPRでは、情報提供、保存期間、委託契約と学習の設定、1か月の回答期限が前提です
- AIの利用料は月数ドル規模で、時間の大半は設計と毎週の確認にかかります
参考にした情報源
メール・フォーム・スパム対策（IETF・Google・W3C・web.dev）
- RFC 3834: Recommendations for Automatic Responses to Electronic Mail — IETF：Auto-Submitted ヘッダー、返信しない条件、7日に1回の目安
- RFC 7489: Domain-based Message Authentication, Reporting, and Conformance (DMARC) — IETF：DMARC の仕組み
- Email sender guidelines — Google Workspace 管理者ヘルプ：Gmail 宛ての送信者の要件（2024年2月1日から）、迷惑メール報告率0.3%
- reCAPTCHA v3 — Google for Developers：0.0〜1.0のスコア、既定のしきい値0.5、しきい値の決め方
- Inaccessibility of CAPTCHA — W3C：CAPTCHAのアクセシビリティの問題と代替手段（2021年12月）
- Cloudflare Turnstile — Cloudflare Docs：パズルを使わない代替手段、入力内容にアクセスしない説明
- Forms Tutorial — W3C WAI：ラベル、必須項目、エラーの示し方
- Web Content Accessibility Guidelines (WCAG) 2.2 — W3C：達成基準 3.3.1 など
- Learn Forms — web.dev：autocomplete 属性、見えるラベル
AIの安全とルール
- LLM01:2025 Prompt Injection — OWASP Gen AI Security Project：プロンプトインジェクションの説明と対策
- Article 50: Transparency obligations — AI Act Service Desk（欧州委員会）：AIと直接やり取りする仕組みの表示義務
- Transparency obligations under Article 50 of the AI Act — 欧州委員会：第50条の適用日（2026年8月2日）
- AI Privacy Risks & Mitigations – Large Language Models (LLMs) — EDPB Support Pool of Experts：顧客対応チャットボットの事例と対策（2025年4月、外部専門家の報告書）
- Pricing — Claude Platform Docs（Anthropic）：AIの利用料の試算に使った公表価格
GDPR・オランダ
- Regulation (EU) 2016/679（GDPR） — EUR-Lex：第5・6・12・13・22・28条
- Principles of the GDPR — 欧州委員会：保存期間の考え方と10年保存の例
- Dealing with requests from individuals — 欧州委員会：本人からの請求への対応
- Adequacy decisions — 欧州委員会：日本と米国（データ・プライバシー・フレームワーク）の十分性認定
- Bewaren van persoonsgegevens — Autoriteit Persoonsgegevens：保存期間は組織が決める、応募者データの例
- Caution: use of AI chatbot may lead to data breaches — Autoriteit Persoonsgegevens：AIチャットボットへの個人データ入力の警告（2024年8月）
- AP warns of major security risks with AI agents like OpenClaw — Autoriteit Persoonsgegevens：広い権限を持つAIエージェントへの警告（2026年2月）
- Oproep ACM en AP over AI-chatbots — Autoriteit Persoonsgegevens：顧客対応のチャットボットへの共同の呼びかけ（2025年10月）
日本
- 生成AIサービスの利用に関する注意喚起等について — 個人情報保護委員会：利用目的の範囲と機械学習への利用の確認（2023年6月2日）
- 個人情報の保護に関する法律 — e-Gov 法令検索：第21条（利用目的の通知等）、第28条（外国にある第三者への提供）、第33条（開示）
- 個人情報保護法ガイドライン（外国にある第三者への提供編） — 個人情報保護委員会：外国の事業者に渡すときの規律
調査
- The Short Life of Online Sales Leads — Harvard Business Review：米国2,241社の返信時間（2011年3月）
- Gartner Survey Finds 64% of Customers Would Prefer That Companies Didn't Use AI For Customer Service — Gartner：2024年7月
- Gartner Survey Finds 87% of Customers Say Companies Using GenAI for Customer Service Must Provide Access to a Human Agent — Gartner：2026年8月
- Gartner Survey Finds Only 27% of Customers Would Try a Chatbot Again After a Negative Experience — Gartner：2026年9月
いずれも2026年10月26日に確認したものです。制度と価格は変わるため、判断の前に公式サイトで最新の内容を確認してください。保存期間・費用・工数の目安は DevNJ が置いた仮の目安で、実測の統計ではなく、業種・規模・体制で変わります。
よくある質問
- 問い合わせ対応は、どこまで自動化してよいですか？
- 受付、スパムの除外、受付の自動返信、種類の分類、担当への振り分け、期限切れの通知までは自動化できます。価格や契約に関わる回答、苦情、個人データの開示・削除の請求、AIの確信度が低いものは人が見てください。自動化するのは「誰が・いつまでに見るか」を決める部分で、回答の中身は人が持つのが基本です。
- 問い合わせフォームの自動返信には、何を書けばよいですか？
- 受付番号、受け付けた日時、返信の目安（例：2営業日以内）、急ぎの場合の連絡先、個人データの扱いへのリンクの5つです。送られた本文をそのまま返すのは避けてください。他人のメールアドレスを入れて送信させる悪用に使われます。メールには自動送信であることを示す Auto-Submitted ヘッダーを付けます。
- 問い合わせ内容をChatGPTなどのAIに渡して分類するのは、GDPR上問題ありませんか？
- 条件を満たせば使えますが、確認が要ります。AIの提供者と委託契約（GDPR第28条）を結ぶこと、入力を学習に使わない設定や契約であること、EU域外に送るなら移転の根拠があること、プライバシーポリシーに書くことです。日本の個人情報保護委員会も2023年6月、利用目的の範囲内か、機械学習に使われないかを確認するよう注意喚起しています。
- 問い合わせのデータは、何年保存してよいですか？
- GDPRに一律の年数はなく、目的に必要な期間だけ保存し、期限を自分で決めて書いておく必要があります。取引につながらなかった問い合わせは1〜2年程度、契約や請求に関わるものは税法などの保存義務に合わせる、という分け方が一般的です。期限が来たら自動で削除か匿名化する仕組みにしておきます。
- AIの分類が間違ったときに備えて、何をしておけばよいですか？
- 3つあります。確信度が低いものは自動で人の受け箱に回すこと、毎週20〜30件を抜き取って人が正解をつけ、誤りの率を記録すること、どの分類にも当たらない問い合わせを放置しないよう、期限切れの通知をすべての受け箱にかけることです。見落としの損が大きい種類は、AIより先にルールで拾います。
- 日本とオランダで問い合わせを受ける場合、返信期限はどう決めればよいですか？
- 日本時間とオランダ時間の業務時間が重なるのは、冬時間で1日1時間、夏時間で2時間程度です。期限は「受信から何時間」ではなく、担当する拠点の営業時間で数える「営業時間ベース」で決め、どちらの拠点が受けるかを言語と国で振り分けておくと、夜間に届いた問い合わせが放置されません。
日本と欧州の両方で機能するサイトをお考えですか？
無料で相談する
