AIが洗練されたコールドメールを下書きした。それは嘘でもあり、送信を止めるゲートを私は作った。
私がほとんど感心しかけたメール
自分のAI下書きツールを信じられなくなった瞬間を、私は正確に覚えている。クリス・タナカという名前の合成見込み客——架空のFinTech企業Vaultlineのエンジニアリング担当VP——宛てに、マヤ・チェンという営業担当の声でコールドメールを生成した。下書きはうまくできていた。見込み客のいまの痛みから始まり、購買のタイミングを名指しし、具体的な依頼で締めていた。本物のSDRがパイプラインレビューで見せてきたなら、「送れ」と言っただろう。
それから二文目を読み直した。「当社はSOC 2 Type II認証を取得しており、HIPAA認証も完全に取得しています。」このデモのために手作業で仕込んだ製品ナレッジベースには、SOC 2 Type Iがあった。Type IIではない。そしてHIPAA認証は一切なかった。そのメールは流暢で、ブランドに沿い、マヤの声そのもので、しかもセキュリティチームが実際の認証レターを取り寄せた瞬間に案件を終わらせるような虚偽。
LLMをアウトリーチに繋いだとき、誰も警告しないことがある。失敗はぎこちないメールではない。失敗は説得力のあるメールだ。私は何週間も、問題はモデルにもっとうまく書かせることだと思い込んでいた。送りかけてしまった嘘を読み返しながら立っていたとき、問題はその逆だとわかった。モデルはすでに、チェックなしでは信頼できないほど上手に書いていたのだ。
AIアウトリーチの失敗モードは、下手なメールではない。たまたま虚偽である上手なメールだ。
私はアシュトーシュで、Veriprajnaで作っている。これは、そのメールのあとで私が作ったもの、そしてそれを作るために殺さなければならなかった前提の話だ。全体は自分でここから実行できる：veriprajna.com/ja/demos/ai-sales-personalization。
失敗した実験：モデルに自己採点させること
最初の直感は怠惰なもので、正直に言うと試した。思ったのはこうだ。いいだろう、モデルがメールを書けるなら、チェックもできるはずだ。製品の事実を渡し、下書きを渡し、裏付けのないものをフラグせよと頼む。賢いものに賢いものを監視させよう。
それを走らせた。Vaultlineの下書きを何度も通してしまった。HIPAAの主張は捕まえてSOC 2の方を逃すこともあった。「修正」と称して言い回しを和らげつつ虚偽の主張を残すこともあった。最悪なのは、同じ入力でも毎回同じ答えを返さないことだ。再現できない採点者は採点者ではなく、気分だ。 サンプラーの内部天気次第で評決が変わるコントロールを、コンプライアンスのパートナーに渡せない。
その瞬間に本当の設計がカチッと決まった。それは足し算ではなく引き算として決まった。チェッカーはモデルの中には置けない。外に置かなければならない——毎回同じソース・オブ・トゥルースを読み、毎回同じ評決を返す、平明で決定論的なコードの中に。ホワイトボードに何度も書いたフレーズが、製品哲学そのものになった：エージェントは助言し、コードが決める。
だからシステムを二つに分けた。LLMには下書きを許す。特定の人間の声で下書きを書くのは、本当にそれが得意なことだからだ。だがモデルが生み出したものは、別の退屈でテスト可能な検証クルーが見て、決定論的なポリシーゲートが「はい」と言うまで、送信ドメインに届いてはならない。モデルが提案する。コードが決める。そして決定的に、後から加えた補強モデル検証者は、裏付けのない発見を追加できるだけだ。決定論的チェックがすでにフラグした主張を通すことは決してできず、ゲートを上書きすることもできない。言語モデルが自らのガバナンスを口車ですり抜けられるシステムは、拒否して作らなかった。
メールが外に出る前に、ゲートは何をチェックするのか？
ゲートは、きれいなスライドになるものではなく、話したバイヤーが実際に怖がっていた三つのことを軸に設計した。自律型AI SDRにすでに火傷した営業VPは、散文の質で眠れなくなっているのではない。虚偽の製品主張、EU AI Act Article 5違反、焼け落ちた送信ドメインを恐れている。だからクルーは、すべての下書きに対して四つの独立したチェックを走らせる：ソース・オブ・トゥルースに対する事実グラウンディング、配信可能性スコア（デモ内で計算し、実際には送信しない）、EU AI Act Article 5の合格判定、スタイル忠実度の測定。ポリシーゲートはその後、メールをCLEARとマークするのは、裏付けのない・矛盾した主張がなく、配信可能性が0.7の閾値を超え、かつArticle 5がクリーンな場合のみだ。それ以外は送信をBLOCKSし、正確な理由を付けて下書きを人間に回す。
Vaultlineの下書きを通したとき、ゲートは、最初の一時間で私が目視では捕まえられなかったことをやってのけた。赤く発火した。
捕まえたのは一つのチェックではなく二つで、それが私には重要だった。事実グラウンディングチェックが認証をフラグした。Article 5チェックが、私が完全に見逃していた別の二点をフラグした。「今四半期のオンボーディング枠は残り2枠だけ」は作られた希少性で、「競合のほとんどはすでに動いている」は欺瞞的な社会的証明だった。私は認証の嘘に固執しすぎて、操作を見過ごしていた。決定論的チェックは、二度目の読みで疲れた私のようには疲れない。
二度目の読みで見逃すものを捕まえるためにゲートを作った。注意力が落ちる二度目の読みは、いつでもあるからだ。
この段階で私が守り続けたトーンは、「ざまあみろ、モデルが嘘をついた」ではない。もっと静かなものだ。要点は、虚偽も操作もそもそもドメインに届かないことだ。ブロックは罰ではない。救出だ。
一度も送られなかったメールのレシートを、なぜ残すのか？
ただ「いいえ」と言うだけのゲートは欲しくなかった。コンプライアンスの人と十分向かい合ってきたので、「信じてくれ、ブロックした」が彼らにとって無価値だと知っている。彼らが使えるのは文書だ。だから毎回の実行——クリアでもブロックでも——はsend-receiptを封印する：モデルとプロバイダとバージョン、タイムスタンプ、声の照合元となった勝ちメールの出自、すべての主張とその評決と引用、配信可能性のサブスコア、Article 5の結果、最終ゲート決定。JSONとレンダリング済みHTMLで、ダウンロードでき、ファイリングできる。
その表が何を言っているか見てほしい。「このメールはリスクがありそうだ」とは言っていない。こう言っている——SOC 2 Type II: CONTRADICTED、ソース・オブ・トゥルースがSOC 2 Type Iを保持しているため。こう言っている——HIPAA certified: UNSUPPORTED、ソース・オブ・トゥルースに裏付けとなる認証なし。各評決は、照合した文書の正確な行を指し示す。それが雰囲気と監査証跡の違いであり、この層が次のモデル世代でも生き残ると私が考える理由そのものだ。
「いいえ」と言うゲートはポリシーだ。「いいえ」と言い、矛盾した正確な行を見せるゲートは、ファイリングできるコントロールだ。
私が何度も立ち返る議論があり、GPT-Nが直すのを待つより作る価値があると私を納得させたのもこれだ。たとえ完璧なモデルでも、いまの認証や現行の価格を知ることはできない。 EU規則を破っていないと自己証明することもできない。コンプライアンスチームにファイリング可能な証跡を渡すこともできない。それらはシステムの性質であって、モデルの性質ではない。出自、ソース・オブ・トゥルース・ゲート、配信可能性チェック、監査レシート。賢い下書きツールが来ても、これらは陳腐化しない。むしろ、より賢く説得力のある下書きツールほど、必要性が高まる——嘘がより流暢になるからだ。
パーソナライゼーションが断言ではなく本物だと教えてくれた数字
スタイル・ストアを作らずに済ませそうになったし、その理由も認めたい。この領域の誰もがパーソナライゼーションを主張する。「ペルソナについてではなく、ペルソナのために書かれたメール」。アウトバウンドで最も断言され、最も測られていない主張だ。私は自分版にも疑っていた。うまく作ったプロンプトだけで、そこそこのメールはすでに出る。スタイル検索レイヤー全体は、その複雑さに見合う価値があるのか、それともプロンプトを飾り立ててアーキテクチャと呼んでいるだけなのか？
だから正直なテストをデモに組み込み、隠さなかった。ゼロショット基準のトグルだ。同じ見込み客、同じ製品事実だが、スタイル注入はオフ、下書きを本物の営業担当の指紋と比較するスタイロメトリック忠実度スコア付き。スタイル・ストアが劇場なら、数字はほとんど動かないはずだ。トグルして見守った。
数字は動き、文章は自ら正体を晒した。スタイル注入オフでは、下書きはすぐ「delve into how Northwind Pay could transform its engineering landscape」や「unlock synergies and drive transformative outcomes」に滑り込んだ。確率的平均の聞こえる合図だ。同じ見込み客でのスタイル忠実度は、マヤの指紋に対して0.295まで落ち、スタイル注入版は0.5だった。6見込み客のホールドアウト集合全体では、平均忠実度はスタイル・ストアオンで0.483、ゼロショットで0.275だった。リフトは+0.208。測定済みで、その特定の集合で、バンドル下書きモードだ。約束ではない。再生成できる数字だ。
パーソナライゼーションは、アウトバウンドで最も断言され、最も測られていない主張だ。私が欲しかったのは、繰り返せる文ではなく、再生成できる数字だった。
そのパネルのガバナンス側こそ、私が最も信頼する部分だ。ラベル付き敵対集合で5件中5件。 クリーンな下書きはクリアされた。SOC 2 Type IIとISO 27001の過大主張はブロックされた。下限を下回る「$5,000の構築」は矛盾としてブロックされた。「残り2枠、本日失効」の緊急性はArticle 5の下でブロックされた。「みんなすでに乗り換えている、後悔するぞ」の社会的証明はArticle 5の下でブロックされた。5ケース、5つの正しい評決。ゲートは決定論的なので、毎回同じ5つの評決を返す。LLM判定者にはそれが約束できない。正直な部分を声に出し続けなければならない。その5件中5件は、5ケースのラベル付き集合での精度であって、オープンワールドの保証ではない。忠実度の数字はバンドル下書きモードでの6見込み客集合だ。すべての数字を正確なテストに帰属させる規律は、法的脚注ではない。製品が売っているのと同じ規律だ。
これが本当に何についての話なのか、私の考え
最初からガバナンス製品を作ろうとしたわけではない。AIにもっと良い営業メールを書かせようとして、より良い文章はそもそもボトルネックではなかったという事実に真正面からぶつかった。市場は2年間、AI SDRをボリューム向けに最適化し、パーソナライゼーションを断言してきたが、その賭けの公開された残骸は隠しようもない。11x.aiは7,400万ドルを調達し、数か月で顧客の70〜80パーセントを失い、実契約約300万ドルに対しておよそ1,400万ドルのARRを主張し、ZoomInfoはそのツールが自社のSDR社員より著しく劣ると述べた——TechCrunch、2025年3月。一方、Googleは2025年11月に非準拠の大量メールを拒否し始め、Microsoftは2025年5月に執行し、EU AI Act Article 5は2025年2月から執行可能だ。2026年の悪い送信のコストは、悪いメールではない。拒否されたドメインと規制当局だ。
私が何度もひっくり返して考える教訓は、より優れたモデルでも、そのどれも救えなかっただろうということだ。より優れたモデルは、より説得力のある虚偽の認証主張を書く。より流暢な作られた緊急性を書く。救うのは、より賢い下書きではない。下書きツールの外に生き、ソース・オブ・トゥルースを読み、レシートを残す決定だ。パーソナライゼーションは検証ではない。そして2026年には、どちらも単独では足りない。ガバナンスも必要だ——それが座らなければならない唯一の場所、下書きと送信のあいだに。そのメールを自分でブロックする様子を見たいなら、ここにある：veriprajna.com/ja/demos/ai-sales-personalization。
読むより見る方がいいなら、そのゲートウェイが端から端まで動き、あのメールをブロックしてレシートに署名する様子がここにある。
だから、AI SDRが素晴らしいメールを書いていると私に言うすべてのRevOpsリーダーに、私はこう問い始めている。メールが良いかどうかではない。直前に送った主張をどのソースが裏付けたか証明でき、その証明を今日の午後にコンプライアンスチームへ渡せるか？ 答えが「いいえ」なら、書くことなどはじめからリスクではなかった。
