音声AI受付の安全性は、認識精度や暗号化の仕様だけで決まるものではありません。どの情報をAIが話してよいか、どの操作を人の承認なしに実行してよいか、録音と文字起こしを誰がいつまで保持するか、AIが対応できない場面で利用者をどこへ渡すか、そして問題が起きたときに誰がどう止めるか。これらを業務上の境界として文書化し、設定と手順に落とし込む作業が安全設計の中心です。
このページでは、情報を「聞ける」と「変更できる」に分ける段階設計、録音と文字起こしを別資産として扱う管理方法、有人転送を主要機能として組み込む考え方、停止・通知・復旧の一枚手順、そして個人情報保護法や社内規程との整合の確認点を説明します。導入判断で決めた対象範囲を前提に、会話設計へ引き継ぐための境界を固める工程と位置づけてください。
情報を「聞ける」と「変更できる」に分ける
本人確認の強度を三段階で設計する
電話で扱う情報と操作を、本人確認なしで案内できるもの、簡易な確認で照会できるもの、厳格な確認と人の承認が必要なものの三段階に分けます。営業時間や所在地、一般的な料金体系の案内は第一段階で、予約の有無や配送状況の照会は電話番号と氏名の一致を確認する第二段階、契約内容の変更や支払い方法の変更は第三段階に置き、AIは第三段階を実行しない設計にします。
第二段階の確認に用いる情報は、発信者番号と登録電話番号の一致、氏名、生年月日など、聞き取りやすく誤認識が起きにくい項目に限定します。会員番号のような長い数字列は、音声での聞き取りに誤りが起きやすく、聞き返しが増えて利用者が離脱する原因になります。確認に使う項目の組み合わせは、情報管理担当者と合意した上で文書にします。
段階の境界は、製品の設定画面ではなく、業務の一覧表として先に作ります。用件コードごとに、AIが話してよい情報、照会できる情報、実行してよい操作、必ず人へ渡す操作を列に並べた表があると、設定変更のたびに境界の妥当性を確認できます。この表は運用体制で扱う変更管理の基準文書にもなります。
発信者番号を過信しない照合の考え方
発信者番号の一致は、本人確認の補助にはなりますが、単独で本人性を保証するものではありません。家族が同じ電話を使う場合、番号が変わった場合、非通知の場合など、番号だけでは判断できない場面が日常的に起こります。番号一致を「照会を許可する条件の一つ」と位置づけ、氏名など別の要素と組み合わせる設計が現実的です。
非通知や登録外の番号からの着信は、第一段階の案内にとどめ、照会が必要な場合は折り返しか有人対応へ案内します。この振り分けを冒頭の数秒で行うことで、AIが本人確認に失敗して会話が長引く事態を避けられます。振り分けの結果は記録し、登録外番号からの着信がどの程度あるかを実証期間中に把握しておきます。
AIが「実行しない操作」を明示する
安全設計では、AIができることの一覧より、AIが実行しない操作の一覧の方が重要です。支払い情報の変更、契約の解約、医療や法務に関する判断、緊急対応の指示などは、どれほど製品の能力が高くても、AIが完結させない操作として文書に明記します。この一覧は、利用者向けの案内、社内の運用手引き、ベンダーとの契約書の三か所で一致させます。
実行しない操作の一覧は、製品の機能追加があるたびに見直します。新機能によって「できるようになった」ことと「やってよい」ことは別であり、境界の変更は業務責任者と情報管理担当者の承認を経て行います。この考え方は将来展望で扱う承認境界の見直しにつながります。
録音と文字起こしを別の資産として管理する
保持期間と閲覧権限を目的別に決める
録音データと文字起こしデータは、用途も感度も異なる別の資産として管理します。録音は苦情対応や事故調査のための証拠として短期間保持し、文字起こしは会話改善の分析に使うため一定期間保持する、といった形で目的ごとに保持期間を分けます。目的が終わったデータは削除する規則を設け、削除の実施記録を残します。
閲覧権限も目的別に設定します。録音は業務責任者と情報管理担当者に限定し、文字起こしは会話改善を担当する受付担当者にも開放する、といった分け方です。ベンダー側のサポート担当者がデータへアクセスできる条件と範囲も契約で明確にし、アクセス記録の提出を求められる状態にしておきます。
個人情報保護法では、個人データの利用目的の特定と通知、安全管理措置、委託先の監督が求められます。録音と文字起こしのどちらも個人データに該当し得るため、利用目的を利用者に伝える文言と、社内規程における保管・削除の規則を整合させておく必要があります。細部は最新の法令とガイドラインを確認してください。
利用者への告知を冒頭に組み込む
録音していること、自動応答であること、聞き取った内容の利用目的を、会話の冒頭で簡潔に伝えます。長い説明は利用者の離脱を招くため、「自動音声でお受けしています。通話は品質向上のため記録します」程度の短い文言にとどめ、詳細はウェブサイトの案内へ誘導します。告知の文言は情報管理担当者が確認し、変更履歴を残します。
告知を聞いた利用者が録音を望まない場合の経路も用意します。有人対応へ切り替える、折り返しを受け付ける、別の連絡手段を案内するといった選択肢を、冒頭の案内に続けて短く提示します。選択肢がない告知は形式的なものになり、利用者の信頼を損ないます。
文字起こしの誤りを個人情報の観点で扱う
文字起こしの誤認識は、単なる精度の問題ではなく、誤った個人情報が記録に残る問題として扱います。氏名や住所の聞き間違いがそのまま業務システムへ登録されると、別人への連絡や誤配送につながります。第二段階以上の照会で用いた項目は、必ず復唱による確認を経てから記録に残す設計にします。
誤認識が判明した記録は、修正だけでなく、誤った状態で他のシステムへ連携されていないかを確認します。連携先で誤った情報が使われた場合の訂正手順も、事前に決めておきます。訂正の手順と責任者は、後述する停止・通知・復旧の一枚手順に含めます。
有人転送を例外ではなく主要機能にする
転送の条件を利用者側と会話側の両面で決める
有人転送は、AIが失敗したときの逃げ道ではなく、設計の中心に置く機能です。転送の条件は、利用者が「担当者と話したい」と申し出た場合、対象外の用件と判定された場合、聞き返しが規定回数を超えた場合、緊急性を示す言葉が含まれた場合の四つを基本にします。それぞれの条件で転送先が異なる場合は、条件ごとに転送先を一覧にします。
利用者の申し出による転送は、最優先で処理します。AIが会話を続けようとして「まず内容をお聞かせください」と粘る設計は、利用者の不満を増幅します。申し出があれば即座に転送するか、転送先が対応できない時間帯であれば折り返しを受け付ける、という単純な規則にしておく方が安全です。
転送先が出られないときの受け皿を用意する
転送の設計で見落とされやすいのは、転送先が応答できない場合の処理です。担当者が離席中、回線が混雑中、夜間で誰もいない、といった状況で「おつなぎします」と案内した後に無音が続くと、AI導入前より悪い体験になります。転送先の応答を一定秒数待っても出ない場合は、AIが会話を引き取り、折り返しの受付に切り替える設計にします。
折り返しの受付では、連絡先、希望時間帯、用件の要約を聞き取り、担当者へ通知します。通知の手段はメール、チャット、業務システムへの登録など複数を用意し、担当者が確実に気づける経路にします。折り返しの期限を利用者に伝え、その期限内に折り返しが行われたかを効果測定の指標に含めます。
転送が成功した割合と、転送先の応答までの秒数は、実証期間中に毎日記録します。転送先の応答率が低い場合、問題はAIではなく人側の体制にあるため、転送先の増員や時間帯の見直しを先に検討します。
転送時に会話の文脈を引き継ぐ
転送後に利用者が最初から用件を説明し直す状態は、転送そのものの価値を下げます。AIが聞き取った用件の要約、本人確認の段階、これまでの会話の要点を担当者の画面に表示するか、転送前に音声で担当者へ伝える仕組みを用意します。製品によって引き継ぎの形式は異なるため、導入前に自社の受付環境で動作を確認します。
引き継ぎ情報には、AIが確信を持てなかった項目を明示します。「氏名は聞き取りましたが確認が取れていません」といった注記があれば、担当者は必要な箇所だけ再確認でき、利用者にすべてを聞き直す負担をかけずに済みます。
停止・通知・復旧を一枚で確認する
停止の権限と手順を現場に渡す
重大な問題が起きたときにAIを止める権限は、受付担当者を含む現場に渡します。上長の承認を待つ間に誤案内が続く事態を避けるためです。停止の手段は、製品の管理画面での切り替え、電話回線の転送設定の変更、ベンダーへの連絡の三つを用意し、それぞれの操作手順と所要時間を一枚の手順書にまとめます。
停止後の着信をどこへ流すかも同じ手順書に書きます。有人受付へ戻す、留守番電話に切り替える、別の番号を案内する、といった代替経路を時間帯別に決め、停止と同時に代替経路が機能することを事前に試験しておきます。停止手順は半年に一度、実際に操作して確認します。
通知先と通知内容を事象の重さで分ける
停止が必要な重大事象と、記録して週次で確認すればよい軽微な事象を分け、それぞれの通知先を決めます。個人情報の誤送信、緊急連絡の取りこぼし、誤案内による顧客損害は業務責任者と情報管理担当者へ即時通知し、聞き返しの増加や特定用件の完了率低下は週次の会議で扱います。
通知の内容は、発生日時、影響を受けた利用者の範囲、現在の対応状況、次の判断者の四点を定型にします。定型があれば、現場が慌てている状況でも必要な情報が漏れず、判断者は状況を短時間で把握できます。個人情報の漏えいに該当する場合は、個人情報保護委員会への報告と本人への通知が必要になる場合があるため、情報管理担当者が法令上の要件を確認します。
復旧の条件と再開の判断者を決める
停止したAIを再開する条件は、原因の特定、修正の適用、修正が効いたことの試験の三つがそろうことです。原因が分からないまま「しばらく様子を見て再開する」判断は、同じ問題の再発を招きます。再開の判断者は業務責任者とし、情報管理担当者の確認を経る形にします。
復旧後は、停止に至った事象と同じ条件の通話を重点的に観察し、再発がないことを一定期間確認します。この観察結果は変更履歴に残し、同種の問題が起きたときの参考にします。停止から復旧までの記録は、ベンダーとの契約更新時に品質を評価する材料にもなります。
導入前に確認する安全設計チェックリスト
文書として残しておく項目
導入前に、用件別の三段階表、録音と文字起こしの保持・閲覧規則、利用者への告知文言、有人転送の条件と転送先一覧、停止・通知・復旧の一枚手順、AIが実行しない操作の一覧の六点が文書として存在するかを確認します。どれか一つでも口頭の合意にとどまっている場合は、実証開始前に文書化します。
文書には作成日、承認者、次回見直し日を記載します。安全設計は一度作れば終わりではなく、対象範囲の拡大や製品の機能追加に合わせて更新する前提です。見直しの周期は、対象範囲を広げるたびと、半年に一度の定期の二本立てが現実的です。
ベンダーとの契約で確認する項目
ベンダーとの契約では、データの保管場所、保持期間、削除の方法と証明、ベンダー側のアクセス権限と記録、再委託の有無、障害時の連絡経路と対応時間を確認します。個人情報保護法上の委託先監督の観点から、これらを契約書または覚書に明記し、定期的に遵守状況を確認できる形にします。
製品の仕様変更やモデルの更新が、自社の安全境界に影響する可能性もあります。更新の事前通知と、更新後の動作確認の機会を契約で確保しておくと、意図しない挙動の変化に気づかないまま運用を続ける事態を避けられます。
安全設計の要点を確認する
音声AI受付の安全設計は、情報と操作を三段階に分け、AIが実行しない操作を明示し、録音と文字起こしを目的別に管理し、有人転送を主要機能として設計し、停止・通知・復旧の手順を現場に渡すことで成り立ちます。これらは製品の機能ではなく業務の境界であり、文書として関係者が共有できる形にしておくことが重要です。
境界が定まったら、会話設計で冒頭の告知や転送時の文言を具体化し、運用体制で変更管理の手順に組み込みます。有人切替の確認項目は実証チェックリストの記事にもまとめています。