ほとんどの汎用AIツールは、自動的にFERPA（家族教育権プライバシー法）に準拠しているわけではありません。AIベンダーが学生データに触れる前に、学区はデータ処理契約書に署名してもらう必要があります。そして、すべてのデータ処理契約書が同じように作成されているわけではありません。.

このチェックリストは、ITディレクター、プライバシー担当者、地区管理者に対し、重要な条項すべてを順を追って説明します。連邦法で義務付けられていること、推奨される慣行、そして避けるべき危険信号などが含まれます。.

中身：

9つのセクション。重要な条項はすべて網羅。.

当事者および適用範囲
ベンダーがデータ処理者として指定されていることを確認し、ベンダーが処理する学生データの種類を具体的に明記し、FERPAにおける教育記録の定義を明確にする必要があります。曖昧な表現では不十分です。.

データの使用許可
特にAIツールに関して最も重要なセクションです。学生データの販売、広告プロファイリング、そして（一般的なデータ保護法で見落とされがちな）学区の明示的な同意なしに学生データを用いてAIモデルを訓練することの禁止について規定しています。.

データセキュリティ
暗号化要件、アクセス制御、情報漏洩通知の期限、および第三者機関による監査認証。最善策は72時間以内の情報漏洩通知です。曖昧な表現や期限の定めがない場合は要注意です。.

データ保持と削除
最大保持期間を定義し、契約終了時に削除を義務付け（最大30～60日）、そしてAIツールにとって特に重要な点として、学生データから生成されたAI出力も削除の対象となるかどうかを規定する。.

サブプロセッサーおよび第三者
AIツールは多くの場合、大規模なクラウドおよびAIインフラストラクチャベンダー上で稼働します。このセクションでは、サブプロセッサーの完全な開示、サプライチェーン全体における同等のデータ保護、および新たなサブプロセッサーを追加する前の地区への通知を義務付けています。.

COPPA準拠
13歳未満の生徒に使用するあらゆるツールに必須。学校による承認に関する文言、データ最小化、および一般公開に関する制限事項を網羅しています。.

州のプライバシー法遵守
連邦法は最低限の基準であり、上限ではありません。このセクションでは、カリフォルニア州のSOPIPA、テキサス州のHB 4、ニューヨーク州のEd Law 2-dなど、州固有の要件を取り上げ、多くのデータ保護協定（DPA）が満たしていない点を指摘します。.

監査と説明責任
監査権、透明性に関する報告義務、サイバー賠償責任保険、そして契約解除にとどまらない法令遵守違反に対する措置。.

AI関連条項
従来のデータ保護契約（DPA）のほとんどには含まれていないセクションです。AI/MLモデルが学生データとどのように相互作用するか、モデルのトレーニングに関する禁止事項、AIが生成した出力の取り扱い、および製品を支えるAIプロバイダーのサブプロセッサー開示について規定しています。.

ベンダーが署名しないなら、それが答えだ

必要な項目を満たそうとしないベンダーは、学生データを預けるには信頼できないベンダーです。このチェックリストは、ツールが教室に導入される前に、その判断を迅速に行えるように作成されています。.

AIベンダーDPAチェックリストをダウンロードする

AIツールベンダーと契約を結ぶ前に、必ずこの内容を確認してください。.