FERPA e COPPA per gli strumenti di IA: checklist per le scuole

Nessuno strumento di IA è "conforme al FERPA" di per sé, perché il FERPA impone obblighi alle scuole, non ai fornitori. Quello che una scuola può fare è usare uno strumento nell'ambito della cosiddetta eccezione "school official" del FERPA, con un accordo scritto che le lasci il controllo diretto dei dati degli studenti. Per chi ha meno di 13 anni, il COPPA aggiunge un secondo requisito: il fornitore può basarsi sul consenso della scuola solo se i dati vengono usati esclusivamente per le finalità educative della scuola. Questa checklist trasforma entrambe le leggi in domande da porre a qualsiasi fornitore di IA.

Questa è una guida pratica, non una consulenza legale. L'ultima parola spetta al consulente legale e al responsabile della protezione dei dati del tuo distretto scolastico.

Perché gli strumenti di IA meritano un controllo più attento delle altre tecnologie educative

La maggior parte delle tecnologie educative raccoglie ciò su cui gli studenti cliccano. Gli strumenti di IA raccolgono ciò che gli studenti dicono: domande in testo libero, storie, preoccupazioni, a volte il loro nome o la loro scuola digitati senza che nessuno se ne accorga. Per questo tre domande diventano più importanti del solito:

• Ciò che scrivono gli studenti viene usato per addestrare i modelli del fornitore?
• Chi può leggere le conversazioni, e per quanto tempo?
• Un bambino può aggirare l'account della scuola e usare la versione per il pubblico?

Le indicazioni di luglio 2025 del Dipartimento dell'Istruzione statunitense sull'uso dei fondi federali per l'IA citano la protezione dei dati ("data-protective") tra i principi di un uso responsabile e si aspettano che i sistemi di IA rispettino la legge federale sulla privacy, compreso il FERPA (U.S. Department of Education, luglio 2025).

Cosa rende uno strumento di IA conforme al FERPA

Il FERPA tutela i registri scolastici conservati dalle scuole che ricevono fondi dal Dipartimento dell'Istruzione statunitense. Di norma, condividere informazioni che permettono di identificare una persona, tratte da questi registri, richiede il consenso dei genitori. La strada più comune per le tecnologie educative è l'eccezione "school official" (34 CFR 99.31): un fornitore può essere trattato come un funzionario della scuola se:

1. Svolge un servizio per cui altrimenti la scuola userebbe il proprio personale.
2. È sotto il controllo diretto della scuola per quanto riguarda l'uso e la conservazione dei registri.
3. Usa i dati solo per lo scopo autorizzato e non li comunica ad altri.
4. Soddisfa i criteri indicati nella comunicazione annuale FERPA della scuola per avere un legittimo interesse educativo.

Il "controllo diretto" è il punto in cui gli strumenti di IA falliscono più spesso. Se le condizioni del fornitore gli permettono di cambiare il modo in cui usa i dati, di conservarli a tempo indeterminato o di usarli per addestrare modelli generici, la scuola non ha il controllo. Lo Student Privacy Policy Office del Dipartimento pubblica indicazioni sulla tutela della privacy degli studenti nei servizi educativi online e una checklist di condizioni d'uso modello che vale la pena tenere aperta mentre esamini i contratti.

Il COPPA in due minuti

Il COPPA si applica ai gestori di servizi online che raccolgono dati personali da bambini sotto i 13 anni. Le scuole non sono il gestore, ma hanno un ruolo importante. Le FAQ sul COPPA della FTC (sezione N) affermano che:

• Una scuola può dare il consenso al posto dei genitori, ma "la possibilità della scuola di dare il consenso per il genitore è limitata al contesto educativo".
• Un gestore può basarsi sul consenso della scuola solo se i dati vengono raccolti per l'uso e a beneficio della scuola e "per nessun altro scopo commerciale". Se il fornitore usa i dati degli studenti per scopi propri, deve ottenere il consenso direttamente dai genitori.
• Come buona pratica, dovrebbe essere la scuola o il distretto, e non il singolo insegnante, a decidere se le pratiche di un servizio in materia di dati sono accettabili.
• Le scuole dovrebbero comunicare ai genitori quali servizi hanno approvato.

La COPPA Rule modificata, pubblicata ad aprile 2025, è entrata in vigore il 23 giugno 2025, con la maggior parte degli obblighi da rispettare entro il 22 aprile 2026 (Federal Register). In particolare, la FTC ha scelto di non rendere definitive le disposizioni proposte per le tecnologie educative e per l'autorizzazione da parte della scuola, e ha dichiarato che continuerà ad applicare il COPPA nelle scuole sulla base delle indicazioni esistenti. Tra le modifiche che si applicano ai fornitori ci sono un consenso dei genitori separato prima di comunicare i dati dei bambini a terzi per scopi come la pubblicità mirata e limiti alla conservazione dei dati dei bambini oltre il tempo ragionevolmente necessario.

La checklist di valutazione

Invia queste domande al fornitore e conserva le risposte scritte insieme al contratto.

Dati raccolti

• Quali dati personali raccoglie lo strumento dagli studenti? Elenca ogni campo.
• Gli studenti possono accedere senza indirizzo email o altri identificativi diretti?
• Lo strumento conserva il testo completo delle conversazioni degli studenti? Per quanto tempo?
• Se vengono importati gli elenchi delle classi, quali campi vengono acquisiti e possiamo limitarli?

Uso dei dati

• Qualche dato degli studenti, comprese le conversazioni, viene usato per addestrare o migliorare modelli di IA? (L'unica risposta accettabile è no, a meno che la scuola non abbia dato il suo consenso esplicito.)
• I dati degli studenti vengono usati per pubblicità, profilazione o per scopi diversi dal servizio previsto dal contratto?
• I dati degli studenti vengono mai venduti?
• Quali sub-responsabili del trattamento, compresi i fornitori di modelli di IA, ricevono dati degli studenti, e a quali condizioni?

Controllo da parte della scuola

• Firmerete il nostro accordo sul trattamento o sulla protezione dei dati?
• La scuola può consultare e cancellare i dati di uno studente su richiesta?
• Il fornitore può modificare le condizioni sulla privacy senza avvisarci?
• Cosa succede ai dati degli studenti alla scadenza del contratto?

Sicurezza in classe

• Gli insegnanti possono vedere le conversazioni dei propri studenti con lo strumento?
• Lo strumento è progettato per l'età dei nostri studenti, oppure è uno strumento generico con un'età minima superiore a quella di alcuni di loro?
• Ci sono pubblicità, proposte di acquisto o link esterni nell'esperienza degli studenti?

Sicurezza informatica

• I dati sono cifrati in transito e a riposo?
• Entro quanto tempo notificate una violazione dei dati alla scuola?
• Avete, o state ottenendo, un audit di sicurezza indipendente come SOC 2?

Comunicazione con i genitori

• Il fornitore mette a disposizione un'informativa in linguaggio semplice da condividere con le famiglie?
• Abbiamo aggiunto lo strumento all'elenco dei servizi approvati comunicato ai genitori?

Un fornitore che non sa rispondere per iscritto a queste domande non è pronto per i tuoi studenti, per quanto convincente sia la demo. Molti Stati americani aggiungono proprie leggi sulla privacy degli studenti a FERPA e COPPA, quindi verifica i requisiti del tuo Stato e gli eventuali accordi statali sulla protezione dei dati che il tuo distretto usa già.

Errori comuni

Condizioni accettate con un clic da un insegnante. Il singolo insegnante che accetta le condizioni di uno strumento gratuito è la lacuna più comune. Secondo la buona pratica indicata dalla FTC, la decisione spetta alla scuola o al distretto, quindi fai passare i nuovi strumenti di IA da chi gestisce gli accordi sulla protezione dei dati.

Strumenti per insegnanti in cui vengono incollati dati degli studenti. Un assistente di IA generico approvato per preparare le lezioni non è automaticamente approvato per i dati degli studenti. Incollarci lavori identificabili degli studenti è un uso diverso. I nostri prompt di IA per insegnanti sono scritti per evitarlo.

Badge "certificato FERPA". Non esiste alcuna certificazione FERPA ufficiale. Considera questi badge come marketing e leggi il contratto.

Chatbot per il grande pubblico in classe. I chatbot generici fissano un'età minima nelle loro condizioni d'uso e non sono progettati per i bambini piccoli. Per un'analisi completa, leggi ChatGPT a scuola.

Come Askie for Schools risponde alla checklist

Askie for Schools è progettato per il consenso autorizzato dalla scuola previsto da FERPA e COPPA, oltre che per il GDPR e lo UK GDPR. In pratica:

• Accesso: gli insegnanti creano gli studenti e ognuno riceve un codice di accesso privato, quindi agli studenti non serve un indirizzo email.
• Controllo della scuola: la tua scuola resta titolare del trattamento, i dati degli studenti sono separati per insegnante e il nostro accordo sul trattamento dei dati è disponibile su richiesta.
• Uso dei dati: niente pubblicità e nessuna vendita dei dati degli studenti.
• Visibilità per gli insegnanti: insegnanti e responsabili della scuola possono vedere la cronologia delle conversazioni e i report di utilizzo.
• Adatto all'età: pensato per i 4-15 anni, con risposte adattate all'età di ogni studente.
• Sicurezza: il nostro audit SOC 2 è in corso, e lo diremo chiaramente finché non sarà concluso.

Inviaci il resto della checklist ad askie@kidsai.app. Puoi iniziare gratis con un massimo di 20 studenti su Askie for Schools.

Domande frequenti

ChatGPT è conforme al FERPA?

Nessuno strumento per il grande pubblico è conforme al FERPA di per sé, perché gli obblighi del FERPA ricadono sulla scuola. Una scuola può usare uno strumento nel rispetto del FERPA solo se ha un accordo che mantiene i dati degli studenti sotto il suo controllo diretto. Verifica se il tuo distretto ha un accordo di questo tipo prima di inserire qualsiasi dato degli studenti.

Serve il consenso dei genitori per usare strumenti di IA con chi ha meno di 13 anni?

Non sempre. Secondo le indicazioni della FTC, una scuola può dare il consenso al posto dei genitori quando lo strumento viene usato solo per scopi educativi e il fornitore non usa i dati per nessun altro scopo commerciale. Molti distretti informano comunque i genitori, e alcuni richiedono un consenso esplicito. Una lettera ai genitori sull'IA è utile in entrambi i casi.

Le modifiche al COPPA del 2025 hanno cambiato le regole per le scuole?

La FTC non ha reso definitive le modifiche proposte specifiche per le scuole, quindi il consenso della scuola funziona ancora secondo le indicazioni esistenti della FTC. I fornitori, invece, hanno nuovi obblighi, anche sulla comunicazione dei dati a terzi e sulla conservazione dei dati.

Chi dovrebbe valutare gli strumenti di IA in un distretto?

La persona o il team che gestisce gli accordi sulla protezione dei dati, di solito insieme al responsabile delle tecnologie e a un referente per la didattica. Per una sperimentazione, leggi come le scuole possono avviare un progetto pilota sull'IA.