AI 工具的 FERPA 與 COPPA 審核：國中小檢查清單

2026年10月9日

沒有任何 AI 工具能單靠自己就「符合 FERPA」，因為 FERPA（美國家庭教育權利和隱私法）規範的是學校，而不是廠商。學校能做的，是依據 FERPA 的「學校人員例外」使用工具，並簽訂書面協議，讓學校能直接掌控學生資料。對 13 歲以下的學生，COPPA（美國兒童線上隱私保護法）還有第二道關卡：廠商必須把資料完全用於學校的教育目的，才能以學校的同意代替家長同意。這份清單把兩部法律整理成問題，讓你可以拿去問任何一家 AI 廠商。

本文是實務指引，不是法律意見。最終仍以學區法律顧問和隱私負責人的判斷為準。

為什麼 AI 工具比其他教育科技更需要仔細審查

大多數教育科技蒐集的是學生點了什麼。AI 工具蒐集的則是學生說了什麼：自由輸入的問題、故事、煩惱，有時還會在沒人注意時打進自己的名字或學校。因此有三個問題特別重要：

學生輸入的內容會被拿來訓練廠商的模型嗎？
誰能讀到這些對話？會保留多久？
孩子能不能繞過學校帳號，改用一般消費者版本？

美國教育部在 2025年7月發布、關於以聯邦經費使用 AI 的指引中，把「保護資料」列為負責任使用的原則之一，並要求 AI 系統遵守包括 FERPA 在內的聯邦隱私法規（美國教育部，2025年7月）。

AI 工具怎樣才算符合 FERPA

FERPA 保護的是接受美國教育部經費的學校所持有的教育紀錄。一般來說，要分享這些紀錄中可識別個人的資訊，必須取得家長同意。教育科技最常用的途徑是學校人員例外（34 CFR 99.31）：廠商若符合以下條件，就能被視為學校人員：

提供的服務，原本是學校要由自己的員工來做的。
在紀錄的使用與保留上，受到學校的直接掌控。
資料只用在授權的目的，不會再對外揭露。
符合學校年度 FERPA 通知中，關於具備正當教育利益的條件。

AI 工具最常卡關的就是「直接掌控」。如果廠商條款允許它自行改變資料用途、無限期保留資料，或拿資料訓練通用模型，學校就沒有掌控權。美國教育部學生隱私政策辦公室發布了使用線上教育服務時保護學生隱私的指引，以及一份服務條款範本檢查清單，審閱合約時很值得開在旁邊對照。

兩分鐘看懂 COPPA

COPPA 適用於向 13 歲以下兒童蒐集個人資料的線上服務營運者。學校不是營運者，但角色很關鍵。美國聯邦貿易委員會（FTC）的 COPPA 常見問題（N 節）指出：

學校可以代替家長同意，但「學校代替家長同意，範圍僅限於教育情境」。
營運者必須是為了學校的使用與利益蒐集資料，而且「沒有其他商業目的」，才能依賴學校的同意。如果廠商把學生資料用在自己的目的，就必須直接取得家長同意。
最佳做法是由學校或學區，而不是個別老師，來決定某項服務的資料處理方式是否可以接受。
學校應告知家長已核准使用哪些服務。

COPPA 新修規則於 2025年4月公告，2025年6月23日生效，大部分義務須在 2026年4月22日前完成遵循（Federal Register）。值得注意的是，FTC 最後沒有正式採納原本提出的教育科技與學校授權條款，並表示會繼續依現有指引在學校情境中執行 COPPA。確實適用於廠商的變更包括：為了精準廣告等目的把兒童資料揭露給第三方前，須另外取得家長同意；以及不得把兒童資料保留超過合理必要的期間。