AIの進化で、いまや誰でも数時間あれば「それっぽいチケット販売ページ」を作れるようになりました。 決済リンクを組み込んだ予約フォーム、QRコードを表示する完了画面──見た目だけなら、専門の業者に頼まなくても形になります。 「これ、自分たちで作れるんじゃない？」「手数料を払うのがもったいない」。そう考える主催者が増えているのは、自然な流れだと思います。

ですが、少しだけ待ってください。チケット販売システムは、画面に見えている部分が氷山の一角です。 本当に大変なのは、水面下に隠れた「見えない9割」のほう。そして、そこが欠けたまま「売る」「買う」を始めてしまうと、 取り返しのつかないトラブルに発展することがあります。

この記事は、実際に演劇・舞台のチケット販売プラットフォームを開発し、毎日運用している立場から、 自作・お手製のシステムで「販売すること」「購入すること」に潜むリスクを、できるだけ具体的に整理したものです。 「何が見えていないのか」を知ったうえで判断できるように、という趣旨です。

前提：AI・ノーコードを否定する記事ではありません

AIやノーコードは強力で、私たち自身もその恩恵を受けながら開発しています。 ここで問題にしたいのは技術そのものではなく、「お金」「個人情報」「当日の入場」が同時に絡むチケット販売という領域が、 見た目以上に作り込みと“継続的な運用”を必要とする、という点です。

ACTぴっとStage+ は、この記事で挙げる「見えない9割」を引き受けるために作られたチケット販売サービスです。公演登録料・月額 0 円。主催者登録（無料）→

なぜ今「お手製のチケットシステム」が増えているのか

背景にあるのは、言うまでもなくAIによるコード生成と、ノーコードツールの普及です。 かつては専門知識がなければ手も足も出なかった「決済つきの予約サイト」が、いまは指示を出すだけで“動くもの”が出てきます。

お手製といっても段階はさまざまです。SNSのDMで申し込みを受けて銀行振込、Googleフォーム＋手作業の名簿管理、 自作のWebサイトに決済サービスのリンクを埋め込む、さらに踏み込んでAIに在庫管理まで書かせる──。 動機もはっきりしています。手数料を払いたくない／自由にカスタマイズしたい／自分たちのブランドで売りたい。 どれも、主催者として当然の発想です。

気持ちはよく分かります。そして事実として、「売る画面」だけなら、もう個人でも作れます。 問題は、チケット販売が「売る画面」だけでは1ミリも完結しない、という一点に尽きます。

チケットシステムは氷山 ── 画面に見えるのは全体の1割

観客がチケットを買うとき、目にするのはこれだけです。公演を選ぶ → 枚数・席種を選ぶ → 名前とメールを入力 → 決済 → 完了画面とQRコード。 シンプルで、一見「これでシステム完成」に見えます。AIに頼めば、ここまでは本当に数時間で形になるでしょう。

けれど、その裏側では、観客から一切見えない処理が同時に走っています。たとえば──

見えている「1割」を作るのはAIで数時間。けれど、この見えない「9割」を作り込み、そして“運用し続ける”ことこそが、チケットシステムの本体です。 ここからは、その9割が欠けたときに何が起きるのかを、売る人・買う人それぞれの視点で見ていきます。

【売る人のリスク】自作システムが抱える7つの落とし穴

① 二重販売・二重課金 ──「残り1席」を2人が同時に押したら？

最初の落とし穴が、最も気づきにくいものです。 「残り1席」を2人がまったく同じ瞬間に購入ボタンで押したら、どうなるか。 きちんとした排他制御（同時実行のロック）とトランザクション設計がなければ、同じ席が2人に売れてしまいます。 逆に、決済処理が二重に走って、1人のカードに2回課金される事故も起こります。

やっかいなのは、これが画面をいくら眺めても絶対に見つからない、水面下のバグだという点です。 「ボタンを2回クリックしたら？」「決済の途中で通信が切れたら？」「同じ通知が2回届いたら？」── こうした冪等性（同じ処理を2回実行しても結果が壊れないこと）の検証は、私たちのような専用システムでも最も神経を使う領域で、 タイムアウト時にデータベースに何が残るかまで、繰り返しテストしています。AIが書いた“正常系だけ動くコード”では、まず抜け落ちる部分です。

② 個人情報保護法という“見えない義務”

購入者の氏名・メールアドレス・電話番号・購入履歴は、すべて「個人情報」です。これを集めて売る時点で、あなたは個人情報を取り扱う事業者になります。

2022年4月に施行された改正個人情報保護法では、個人データの漏えい等が起きた際に、個人情報保護委員会への報告と、本人への通知が「義務」になりました。 不正の目的によるおそれがある場合や、財産的被害が生じるおそれがある場合、対象が1000人を超える場合などでは、 速報を概ね3〜5日以内、確報を30日以内に出す必要があります。漏れた後に「知りませんでした」は通用しません。

責任を負うのは「システムを作った人」ではなく「主催者」

自作システムが漏えいを起こしても、観客に対して責任を負うのは、個人情報を集めた主催者（事業者）本人です。 「外注したから」「AIに作らせたから」では免れません。安全管理措置（技術的・組織的な対策）は、法律が事業者に求めているものです。

③ カード情報と本人認証 ── 知らないうちに法令違反のリスク

決済まわりは、思っている以上に法律でガチガチに固められています。 割賦販売法のもとで、ECでカードを扱う加盟店は、カード情報を自社のシステムに「保存・処理・通過」させない＝非保持化が原則です。 どうしても保持するなら、PCI DSSという国際的なセキュリティ基準への準拠が必要になりますが、これは個人や小さな団体が片手間に満たせるものではありません。

さらに、不正利用対策として、2025年3月末までに、原則すべてのECサイトが「EMV 3-Dセキュア」（本人認証）の導入を求められました。 これは割賦販売法に基づくセキュリティガイドラインで定められた、実質的な必須要件です。 「決済サービスのボタンを貼っただけ」の自作ページが、本人認証や非保持化の要件を満たしているか──自分で説明できないなら、それはリスクを抱えたまま売っているということです。

④ 障害・トラブルに、誰も対応できない

発売開始の直前にエラーが出る。決済だけが通らない。完了画面は出るのにQRが表示されない。 チケット販売には、発売日と公演当日という“待ったなし”の瞬間が必ずあります。

そのとき、システムを作った本人が多忙だったり、連絡がつかなかったりしたら、誰も直せません。 「19時開演、18時に受付システムが落ちた」──これは万が一の事故ではなく、自作システムを使い続ければいつか必ず直面する前提として考えるべきものです。 専用サービスには、こうした瞬間のために監視と問い合わせ窓口があります。自作には、それがありません。

⑤ データ消失 ── 顧客リストと売上記録が、一瞬で消える

サーバーの障害、ちょっとした設定ミス、データベースの破損。 適切なバックアップ設計がなければ、「誰が・どの公演を・何枚買ったか」の記録が、ある日まるごと消えます。

そうなると、当日の入場照合もできず、返金もできず、確定申告や売上報告の根拠さえ失われます。 見えない9割の中でも、最も取り返しがつかないのがデータ消失です。 冒頭で触れた「データの消失で取り返しがつかなくなる」とは、まさにこのことを指します。

⑥ 確認メール・QRチケットが「届かない」

意外な盲点が、メールの到達性です。 2024年2月以降、Gmail・Yahoo!メールなどの主要なメールサービスは、SPF・DKIM・DMARCといった送信ドメイン認証が正しく設定されていないメールの受信を、本格的に制限し始めました。

自前のサーバーから何の設定もなくメールを送ると、確認メールやQRチケットが迷惑メールフォルダ行き、あるいは完全に不達になります。 観客は「お金は払ったのにチケットが来ない」と不安になり、主催者はその問い合わせ対応に追われる。 メールが届くというごく当たり前のことの裏側にも、継続的な技術投資が必要です。私たち自身、ここには手を抜けない部分として日々向き合っています。

⑦「作って終わり」にならない ── 法改正と運用の継続コスト

③で挙げた3Dセキュアの義務化や、⑥のメール認証の強化が示すように、チケット販売を取り巻くルールは、毎年のように変わります。 決済仕様の変更、利用しているライブラリの脆弱性、OSのアップデート──放置すれば、そこがそのまま事故の入口になります。

チケットシステムは、「作る」よりも「運用し続ける」ほうが、はるかに長く、重い。 一度作って満足できる買い切りの道具ではなく、変化に追従し続ける“生もの”だと考えてください。

【買う人のリスク】その販売ページ、本当に大丈夫？

ここまでは売る側の話でしたが、リスクを背負うのは主催者だけではありません。観客＝買う人にとっても、自作システムでの購入は決して他人事ではないのです。

カード情報・個人情報を、その相手に預けて大丈夫か

買い手から見ると、そのページがカード情報を非保持化しているか、本人認証や暗号化に対応しているかは、まったく見えません。 「決済できた」という結果は同じでも、裏側の安全性は天と地ほど違います。 名前も住所もカード番号も、個人運営の素性の分からないサイトに渡してしまっていいのか──本来は立ち止まるべき場面です。

返金・問い合わせの窓口が“消える”

公演が中止になった、二重に課金された、チケットが届かない。 そんなとき、連絡先が主催者個人のSNSアカウントひとつでは、あまりに心細いものです。 決済代行サービスを正しく通していれば、最悪の場合カード会社経由での対応という道も残りますが、個人間の振込や自作決済では、その安全網すらありません。

フィッシング・偽サイトとの区別がつかない

これは見落とされがちですが、業界全体にとって深刻な問題です。 「公演名 ＋ それっぽい決済ページ」は、悪意があれば誰でも作れる時代になりました。 買い手にとって、自作の販売ページと、巧妙な詐欺サイトは見分けがつきません。

その結果、観客は「知らないチケットサイトでカードを切るのは怖い」と学習していきます。 すると、まっとうにやっている主催者のページまで、警戒されて売れなくなる。 お手製システムの乱立は、巡り巡って演劇・舞台業界全体の「安心して買える」という信頼を、少しずつ削っていくのです。 安心して買える、は、そのまま売上に直結します。これは買い手のためであると同時に、売り手自身のためでもあります。

AIに作れるもの・作れないもの

ここまでを、AIの得意・不得意で整理すると、構造がはっきり見えてきます。

領域 AIで作りやすい（見える1割） 作り込みと運用が要る（見えない9割）
画面 購入フォーム・完了画面・QR表示 同時アクセス・二重販売の防止
決済 決済リンクの設置 非保持化・本人認証・冪等性・返金処理
データ データベースへの保存処理 バックアップ・復旧・整合性・漏えい対応
法令 （基本的に触れない） 個人情報保護法・割賦販売法・特商法・転売規制
運用 （基本的に触れない） 障害対応・問い合わせ・当日運用・法改正への追従

AIは「動くもの」を作るのが本当に得意です。けれど、「事故が起きない・起きても対応できる・法律に適合し続ける」は、 その分野固有の知識（ドメイン知識）と、人と仕組みによる運用体制があって初めて成り立ちます。

少し皮肉な話をすると、いま読んでいただいているこの文章を支えるシステムも、AIとともに作られています。 だからこそ、はっきり言えます。AIで作れるのは“入り口”まで。本番は、その先にあるのだと。

自作すべきか、専用サービスを使うべきか ── 判断の物差し

とはいえ、自作を全否定したいわけではありません。大切なのは、「お金」と「個人情報」がどれだけ絡むかで線を引くことです。

たとえば、無料招待だけ（お金が動かない）／完全に身内向け／個人情報をほとんど集めない／紙の予約名簿で足りる規模── こうしたケースなら、自作や手作業でも大きな問題は起きにくいでしょう。リスクそのものが小さいからです。

しかし、対価を受け取る・個人情報を預かる・不特定多数に売る──この瞬間に、本記事で挙げた「見えない9割」が一気に、しかも重くのしかかってきます。 専用サービスを使うというのは、その9割（決済の法令対応・整合性・セキュリティ・メール到達性・当日運用・サポート）を、 開発と運用ごと“借りる”という意味なのです。手数料は、その9割の対価だと考えると、見え方が変わるはずです。

自作を検討する前のセルフチェック

次の項目に、ひとつでも自信を持って「はい」と言えないものがあれば、専用サービスを選ぶほうが無難です。

まとめ

AIで「それっぽいもの」が作れる時代だからこそ、その先にある「見えない9割」を知っているかどうかが、主催者の力量として問われます。 そして観客にとっては、「安心して買える場所」を選ぶことが、応援したい公演を守ることにつながります。 チケットを売る・買うという行為の裏側に、これだけのものが隠れている──そのことだけでも、頭の片隅に置いていただけたら幸いです。

あわせて気をつけたい：「比較・ランキング記事」の見極め方

最近は、チケット販売サービスを第三者の立場で比較・採点する記事やランキングも増えました。参考になるものもありますが、中には運営者も著者も明かさないまま、特定のサービスを上位に固定しているものも見受けられます。読むときは、① 運営者・著者・連絡先が明記されているか ② 点数やランキングの配点基準・出典・更新日が示されているか ③ 終了済みのキャンペーンや古い料金が、最新情報のように書かれていないかを確認し、最終的な料金・機能は必ず各社の公式サイト（一次情報）でお確かめください。発信者の分からない情報を鵜呑みにしないことは、自作システムを見極めるのと同じくらい大切です。