AI 工具的 FERPA 与 COPPA 审核：初中小检查清单

2026年10月9日

没有任何 AI 工具能单靠自己就“符合 FERPA”，因为 FERPA（美国家庭教育权利和隐私法）规范的是学校，而不是厂商。学校能做的，是依据 FERPA 的“学校人员例外”使用工具，并签订书面协议，让学校能直接掌控学生资料。对 13 岁以下的学生，COPPA（美国儿童在线隐私保护法）还有第二道关卡：厂商必须把资料完全用于学校的教育目的，才能以学校的同意代替家长同意。这份清单把两部法律整理成问题，让你可以拿去问任何一家 AI 厂商。

本文是实务指引，不是法律意见。最终仍以学区法律顾问和隐私负责人的判断为准。

为什么 AI 工具比其他教育科技更需要仔细审查

大多数教育科技收集的是学生点了什么。AI 工具收集的则是学生说了什么：自由输入的问题、故事、烦恼，有时还会在没人注意时打进自己的名字或学校。因此有三个问题特别重要：

学生输入的内容会被拿来训练厂商的模型吗？
谁能读到这些对话？会保留多久？
孩子能不能绕过学校账号，改用一般消费者版本？

美国教育部在 2025年7月发布、关于以联邦经费使用 AI 的指引中，把“保护资料”列为负责任使用的原则之一，并要求 AI 系统遵守包括 FERPA 在内的联邦隐私法规（美国教育部，2025年7月）。

AI 工具怎样才算符合 FERPA

FERPA 保护的是接受美国教育部经费的学校所持有的教育记录。一般来说，要分享这些记录中可识别个人的信息，必须取得家长同意。教育科技最常用的途径是学校人员例外（34 CFR 99.31）：厂商若符合以下条件，就能被视为学校人员：

提供的服务，原本是学校要由自己的员工来做的。
在记录的使用与保留上，受到学校的直接掌控。
资料只用在授权的目的，不会再对外揭露。
符合学校年度 FERPA 通知中，关于具备正当教育利益的条件。

AI 工具最常卡关的就是“直接掌控”。如果厂商条款允许它自行改变资料用途、无限期保留资料，或拿资料训练通用模型，学校就没有掌控权。美国教育部学生隐私政策办公室发布了使用在线教育服务时保护学生隐私的指引，以及一份服务条款范本检查清单，审阅合约时很值得开在旁边对照。

两分钟看懂 COPPA

COPPA 适用于向 13 岁以下儿童收集个人资料的在线服务运营者。学校不是运营者，但角色很关键。美国联邦贸易委员会（FTC）的 COPPA 常见问题（N 节）指出：

学校可以代替家长同意，但“学校代替家长同意，范围仅限于教育情境”。
运营者必须是为了学校的使用与利益收集资料，而且“没有其他商业目的”，才能依赖学校的同意。如果厂商把学生资料用在自己的目的，就必须直接取得家长同意。
最佳做法是由学校或学区，而不是个别老师，来决定某项服务的资料处理方式是否可以接受。
学校应告知家长已核准使用哪些服务。

COPPA 新修规则于 2025年4月公告，2025年6月23日生效，大部分义务须在 2026年4月22日前完成遵循（Federal Register）。值得注意的是，FTC 最后没有正式采纳原本提出的教育科技与学校授权条款，并表示会继续依现有指引在学校情境中运行 COPPA。确实适用于厂商的变更包括：为了精准广告等目的把儿童资料揭露给第三方前，须另外取得家长同意；以及不得把儿童资料保留超过合理必要的期间。