AIツールのFERPA・COPPA対応：K-8向け審査チェックリスト

2026年10月9日

単独で「FERPAに準拠している」AIツールはありません。FERPAはベンダーではなく学校に課される義務だからです。学校にできるのは、FERPAの「学校職員の例外」のもとで、学校が生徒データを直接管理できるようにする書面の契約を結んだうえでツールを使うことです。13歳未満の生徒については、COPPAが2つ目の基準を加えます。ベンダーが学校の同意に依拠できるのは、データが学校の教育目的のためだけに使われる場合に限られます。このチェックリストは、この2つの法律を、どのAIベンダーにも投げかけられる質問の形にまとめたものです。

これは実務上のガイダンスであり、法的助言ではありません。最終的な判断は、学区の法律顧問とプライバシー担当者が行います。

AIツールをほかの教育テックより慎重に見るべき理由

ほとんどの教育テックは、生徒がクリックしたものを収集します。AIツールが収集するのは、生徒が話したことです。自由記述の質問、お話、悩みごと、ときには誰も気づかないうちに入力された名前や学校名などです。そのため、次の3つの質問がいつも以上に重要になります。

生徒の入力はベンダーのモデルの学習に使われるか？
会話を読めるのは誰で、どのくらいの期間か？
子どもが学校のアカウントを迂回して、一般向けバージョンを使えてしまうか？

米国教育省が2025年7月に出した、AIへの連邦資金の活用に関するガイダンスは、責任ある利用の原則のひとつに「データを保護すること」を挙げ、AIシステムがFERPAを含む連邦のプライバシー法を遵守することを求めています（U.S. Department of Education, July 2025）。

AIツールがFERPAに準拠するための条件

FERPAは、米国教育省から資金を受けている学校が保有する教育記録を保護しています。通常、その記録に含まれる個人を特定できる情報を共有するには、保護者の同意が必要です。教育テックでよく使われるのが学校職員の例外です（34 CFR 99.31）。ベンダーは、次の条件を満たせば学校職員として扱われることがあります。

学校がふだんなら自校の職員で行うサービスを提供している。
記録の利用と管理について、学校の直接の管理下にある。
データを認められた目的にのみ使い、再開示しない。
学校の年次FERPA通知に定められた、正当な教育上の利益を持つ者の基準を満たしている。

AIツールが最もつまずきやすいのが「直接の管理」です。ベンダーの規約で、データの使い方を変えたり、無期限に保管したり、汎用モデルの学習に使ったりできるなら、学校は管理できているとはいえません。教育省の学生プライバシー政策局（Student Privacy Policy Office）は、オンライン教育サービスにおける生徒のプライバシー保護に関するガイダンスと、利用規約のモデル・チェックリストを公開しています。契約を確認する際には手元に開いておくとよいでしょう。

2分でわかるCOPPA

COPPAは、13歳未満の子どもから個人情報を収集するオンラインサービスの運営者に適用されます。学校は運営者ではありませんが、重要な役割を担います。FTCのCOPPA FAQ（セクションN）には次のように書かれています。

学校は保護者に代わって同意できますが、「学校が保護者に代わって同意できるのは教育の文脈に限られる」。
運営者が学校の同意に依拠できるのは、データが学校の利用と利益のために、かつ「ほかの商業目的なしに」収集される場合だけです。ベンダーが生徒データを自社の目的に使うなら、保護者から直接同意を得なければなりません。
ベストプラクティスとして、サービスのデータの取り扱いが許容できるかどうかは、個々の教員ではなく学校または学区が判断すべきです。
学校は、承認したサービスを保護者に知らせるべきです。

改正COPPA規則は2025年4月に公示され、2025年6月23日に施行されました。義務の大部分は2026年4月22日までに対応が必要でした（Federal Register）。注目すべきは、FTCが提案していた教育テックと学校の承認に関する規定を最終化しないことを選び、学校におけるCOPPAは既存のガイダンスのもとで引き続き執行すると述べた点です。ベンダーに適用される変更としては、ターゲティング広告などの目的で子どものデータを第三者に開示する前の、保護者の個別の同意や、子どものデータを合理的に必要な期間を超えて保管することの制限があります。