대부분의 범용 AI 도구는 FERPA(가족 교육권 및 사생활 보호법)를 자동으로 준수하지 않습니다. AI 공급업체가 학생 데이터에 접근하기 전에 교육청은 데이터 처리 계약(DPA)에 서명해야 하며, 모든 DPA가 동일한 방식으로 작성되는 것은 아닙니다.

이 체크리스트는 IT 책임자, 개인정보보호 담당자 및 교육청 관리자가 연방법상 필수 사항, 모범 사례, 그리고 피해야 할 위험 신호 등 모든 중요한 조항을 꼼꼼히 검토할 수 있도록 도와줍니다.

구성품:

9개 조항. 중요한 모든 조항.

당사자 및 범위
공급업체가 데이터 처리자로 지정되었는지 확인하고, 처리할 학생 데이터의 종류를 정확히 명시하며, FERPA(가족 교육권 및 사생활 보호법)에 따른 교육 기록의 정의를 명확히 해야 합니다. 모호한 표현으로는 충분하지 않습니다.

허용된 데이터 사용
특히 AI 도구와 관련하여 가장 중요한 부분입니다. 학생 데이터 판매, 광고 프로파일링 금지, 그리고 대부분의 일반적인 개인정보보호협약(DPA)에서 누락되는 조항인 교육청의 명시적인 동의 없이 학생 데이터를 사용하여 AI 모델을 학습시키는 행위 금지를 다룹니다.

데이터 보안
암호화 요구 사항, 접근 제어, 침해 알림 기한 및 제3자 감사 인증. 모범 사례는 72시간의 침해 알림 기간을 두는 것이며, 모호하거나 무기한으로 명시된 경우는 위험 신호입니다.

데이터 보존 및 삭제
최대 보존 기간을 정의하고, 계약 종료 시 삭제(최대 30~60일)를 요구하며, 특히 AI 도구의 경우 학생 데이터에서 파생된 AI 생성 결과물도 삭제 대상인지 여부를 다룹니다.

하위 처리업체 및 제3자
AI 도구는 대규모 클라우드 및 AI 인프라 공급업체에서 실행되는 경우가 많습니다. 이 섹션에서는 하위 처리자에 대한 완전한 정보 공개, 하위 처리 과정 전반에 걸친 동등한 데이터 보호 조치, 그리고 새로운 하위 처리자가 추가되기 전에 교육청에 통지하는 것을 요구합니다.

COPPA 준수
13세 미만 학생에게 사용되는 모든 도구에는 필수 사항입니다. 학교 승인 문구, 데이터 최소화 및 공개 제한 사항을 포함합니다.

주 개인정보보호법 준수
연방법만이 최소 기준이지 최대 기준이 아닙니다. 이 섹션에서는 캘리포니아 개인정보보호법(SOPIPA), 텍사스 주 법안 4호(HB 4), 뉴욕 주 교육법 2-d조 등 주별 특정 요건을 다루고, 많은 개인정보보호협약(DPA)이 이러한 요건을 충족하지 못하는 부분을 지적합니다.

감사 및 책임
감사 권한, 투명한 보고, 사이버 책임 보험, 그리고 해고를 넘어선 불이행에 대한 결과.

AI 관련 조항
대부분의 기존 데이터 보호 계약(DPA)에는 없는 부분입니다. AI/ML 모델이 학생 데이터와 상호 작용하는 방식, 모델 학습 금지 사항, AI 생성 결과물의 처리 방식, 그리고 제품을 구동하는 AI 제공업체에 대한 하위 처리자 공개 등을 다룹니다.

판매자가 서명하지 않으면, 그것이 바로 답입니다.

필수 항목을 충족시키지 않으려는 공급업체는 학생 데이터를 맡길 수 없는 업체입니다. 이 체크리스트는 도구가 단 한 교실에도 도입되기 전에 신속하게 이를 판단할 수 있도록 만들어졌습니다.

AI 벤더 DPA 체크리스트를 다운로드하세요

AI 도구 공급업체와 계약을 체결하기 전에 이 과정을 꼼꼼히 검토하십시오.