FERPA и COPPA для ИИ-инструментов: чек-лист для школ K-8

Ни один ИИ-инструмент сам по себе не «соответствует FERPA», потому что FERPA возлагает обязанности на школы, а не на поставщиков. Школа может пользоваться инструментом в рамках исключения для «должностного лица школы» (school official exception) по FERPA при наличии письменного соглашения, которое оставляет данные учеников под прямым контролем школы. Для учеников младше 13 лет COPPA добавляет вторую проверку: поставщик может опираться на согласие школы, только если данные используются исключительно в образовательных целях школы. Этот чек-лист превращает оба закона в вопросы, которые можно задать любому поставщику ИИ.

Это практическое руководство, а не юридическая консультация. Последнее слово остаётся за юристом и специалистом по защите данных вашего школьного округа.

Почему ИИ-инструменты требуют более пристальной проверки, чем другие образовательные технологии

Большинство образовательных сервисов собирают то, на что ученики нажимают. ИИ-инструменты собирают то, что ученики говорят: вопросы в свободной форме, истории, тревоги, а иногда имя или название школы, введённые так, что никто этого не заметил. Поэтому три вопроса становятся острее обычного:

• Используются ли данные учеников для обучения моделей поставщика?
• Кто может читать разговоры и как долго?
• Может ли ребёнок обойти школьную учётную запись и пользоваться потребительской версией?

В руководстве Министерства образования США от июля 2025 года об использовании федеральных средств на ИИ среди принципов ответственного использования названа «защита данных», а от ИИ-систем ожидается соблюдение федерального законодательства о конфиденциальности, включая FERPA (Министерство образования США, июль 2025).

Когда ИИ-инструмент соответствует FERPA

FERPA защищает учебные записи, которые хранят школы, получающие средства Министерства образования США. Обычно для передачи персональных данных из этих записей нужно согласие родителей. Для образовательных сервисов стандартный путь это исключение для должностного лица школы (34 CFR 99.31): поставщика можно считать должностным лицом школы, если он:

1. Оказывает услугу, для которой школа иначе привлекла бы собственных сотрудников.
2. Находится под прямым контролем школы в том, что касается использования и хранения записей.
3. Использует данные только в разрешённых целях и не передаёт их дальше.
4. Отвечает критериям законного образовательного интереса, указанным в ежегодном уведомлении школы о FERPA.

Именно на «прямом контроле» ИИ-инструменты чаще всего и спотыкаются. Если условия поставщика позволяют ему менять порядок использования данных, хранить их бессрочно или обучать на них универсальные модели, школа не контролирует ситуацию. Управление политики конфиденциальности учащихся при Министерстве публикует руководство по защите конфиденциальности учеников в онлайн-сервисах для образования и образец чек-листа условий обслуживания, который стоит держать под рукой при проверке договоров.

COPPA за две минуты

COPPA распространяется на операторов онлайн-сервисов, которые собирают персональные данные детей младше 13 лет. Школа не является оператором, но её роль важна. В ответах FTC на частые вопросы о COPPA (раздел N) говорится:

• Школа может дать согласие от имени родителей, но «возможность школы давать согласие за родителя ограничена образовательным контекстом».
• Оператор может опираться на согласие школы, только если данные собираются для пользы и нужд школы и «ни для каких иных коммерческих целей». Если поставщик использует данные учеников в собственных целях, он должен получить согласие непосредственно от родителей.
• Согласно лучшей практике, решение о приемлемости обработки данных сервисом должна принимать школа или школьный округ, а не отдельный учитель.
• Школам следует сообщать родителям, какие сервисы они одобрили.

Обновлённое правило COPPA, опубликованное в апреле 2025 года, вступило в силу 23 июня 2025 года, а большинство обязательств нужно было выполнить к 22 апреля 2026 года (Федеральный реестр). Примечательно, что FTC решила не утверждать предложенные положения об образовательных технологиях и согласии от имени школы и заявила, что продолжит применять COPPA в школах в соответствии с действующими разъяснениями. К изменениям, которые касаются поставщиков, относятся отдельное согласие родителей перед раскрытием данных детей третьим лицам, например для таргетированной рекламы, и ограничения на хранение детских данных дольше разумно необходимого срока.

Чек-лист для проверки

Отправьте эти вопросы поставщику и храните письменные ответы вместе с договором.

Собираемые данные

• Какие персональные данные инструмент собирает у учеников? Перечислите каждое поле.
• Могут ли ученики входить без адреса электронной почты или другого прямого идентификатора?
• Хранит ли инструмент полный текст разговоров учеников? Как долго?
• Если импортируются списки классов, какие поля подтягиваются и можно ли их ограничить?

Использование данных

• Используются ли данные учеников, включая разговоры, для обучения или улучшения ИИ-моделей? (Приемлемый ответ: нет, если только школа явно на это не согласилась.)
• Используются ли данные учеников для рекламы, профилирования или любых целей сверх услуги, по которой заключён договор?
• Продаются ли когда-либо данные учеников?
• Какие субподрядчики, включая поставщиков ИИ-моделей, получают данные учеников и на каких условиях?

Контроль школы

• Подпишете ли вы наше соглашение об обработке или защите данных?
• Может ли школа по запросу просмотреть и удалить данные ученика?
• Может ли поставщик изменить условия конфиденциальности, не уведомив нас?
• Что происходит с данными учеников после окончания договора?

Безопасность в классе

• Могут ли учителя видеть разговоры учеников с инструментом?
• Рассчитан ли инструмент на возраст наших учеников или это универсальный инструмент с минимальным возрастом выше возраста части из них?
• Есть ли в интерфейсе для учеников реклама, предложения платных функций или внешние ссылки?

Безопасность данных

• Шифруются ли данные при передаче и хранении?
• В какой срок вы уведомляете школу об утечке?
• Есть ли у вас независимый аудит безопасности, например SOC 2, или вы над ним работаете?

Информирование родителей

• Предоставляет ли поставщик понятное уведомление, которым можно поделиться с семьями?
• Добавили ли мы инструмент в список одобренных сервисов для родителей?

Поставщик, который не может ответить на эти вопросы письменно, не готов работать с вашими учениками, каким бы хорошим ни было демо. Во многих штатах поверх FERPA и COPPA действуют собственные законы о защите данных учеников, поэтому проверьте требования своего штата и любое общештатное соглашение о защите данных, которым уже пользуется ваш округ.

Частые ошибки

Условия, принятые учителем одним кликом. Самый частый пробел: отдельный учитель принимает условия бесплатного инструмента. По лучшей практике FTC решение принимает школа или округ, поэтому направляйте новые ИИ-инструменты тому, кто отвечает за соглашения о защите данных.

Инструменты для учителей, в которые вставляют данные учеников. Универсальный ИИ-помощник, одобренный для планирования уроков, не становится автоматически одобренным для работы с записями учеников. Вставлять в него работы учеников, по которым их можно опознать, это уже другое использование. Наши ИИ-промпты для учителей составлены так, чтобы этого избежать.

Значки «FERPA certified». Официальной сертификации FERPA не существует. Считайте такие значки маркетингом и читайте договор.

Потребительские чат-боты в классе. Универсальные чат-боты устанавливают минимальный возраст в своих условиях и не рассчитаны на маленьких детей. Подробный разбор читайте в статье ChatGPT в школе.

Как Askie for Schools отвечает на чек-лист

Askie for Schools поддерживает согласие от имени школы по FERPA и COPPA, а также требования UK GDPR и GDPR. На практике:

• Вход: учителя создают учеников, и каждый получает личный код доступа, так что адрес электронной почты ученикам не нужен.
• Контроль школы: школа остаётся контролёром данных, данные учеников разделены по учителям, а наше соглашение об обработке данных доступно по запросу.
• Использование данных: никакой рекламы и никакой продажи данных учеников.
• Прозрачность для учителя: учителя и администраторы могут просматривать историю разговоров и отчёты об использовании.
• Соответствие возрасту: создан для детей от 4 до 15 лет, ответы подстраиваются под возраст каждого ученика.
• Безопасность: аудит SOC 2 у нас в процессе, и мы будем прямо говорить об этом, пока он не завершится.

Остальные вопросы чек-листа присылайте нам на askie@kidsai.app. Начать можно бесплатно, до 20 учеников, в Askie for Schools.

Частые вопросы

Соответствует ли ChatGPT требованиям FERPA?

Ни один потребительский инструмент сам по себе не соответствует FERPA, потому что обязанности по FERPA лежат на школе. Школа может пользоваться инструментом в рамках FERPA, только если у неё есть соглашение, которое оставляет данные учеников под её прямым контролем. Прежде чем вводить туда какие-либо данные учеников, проверьте, есть ли у вашего округа такое соглашение.

Нужно ли согласие родителей, чтобы использовать ИИ-инструменты с детьми до 13 лет?

Не всегда. Согласно разъяснениям FTC, школа может дать согласие за родителей, если инструмент используется только в образовательных целях, а поставщик не использует данные ни для каких иных коммерческих целей. Многие округа всё равно уведомляют родителей, а некоторые требуют явного согласия. В любом случае поможет письмо родителям об ИИ.

Изменили ли поправки к COPPA 2025 года правила для школ?

FTC не утвердила предложенные изменения, касающиеся школ, поэтому согласие от имени школы по-прежнему действует по существующим разъяснениям FTC. А вот у поставщиков появились новые обязательства, в том числе по раскрытию данных третьим лицам и срокам хранения.

Кто должен проверять ИИ-инструменты в округе?

Человек или команда, отвечающие за соглашения о защите данных, обычно вместе с директором по технологиям и руководителем по учебной программе. О пилотном запуске читайте в статье как школе запустить пилотный проект с ИИ.