メインコンテンツへスキップ

セキュリティとGDPR

学校での安全なAI利用​

AI-Schoolは教育における責任あるAI利用のために以下を整備しています：

  • 学校ログイン機能
  • 教員の指導とモニタリング
  • プライバシー保護のための技術的および組織的対策
  • 個人情報を含まない匿名アカウントのオプション

AI-SchoolがGDPR準拠を支援する方法​

GDPRは教育機関に対し個人データを慎重に処理し、学習者のプライバシーを保護することを求めています。AI-Schoolは以下の方法でこれを支援します：

  • 学校と個人データ処理に関する契約（データ処理契約）を締結。
  • 教育プライバシー協定のモデル契約をデータ処理契約の基礎として使用。
  • 一般アカウントを通じてAIモデルに匿名でプロンプトを提供し、識別可能なユーザーとの紐付けを行わない。
  • 学校、教員、学習者に対し、プロンプトやドキュメントに個人情報を含めないよう通知。
  • ドキュメントテンプレートで予約タグとローカル置換を使用し、学校名、住所、アカウント名、メールアドレス、役職などの既知情報を言語モデルに送信しない。
  • 利用するAIモデルの提供者とデータ処理契約またはData Processing Addendaを締結。

学校は処理責任者として、設定、権限、保存期間、組織内での利用に関して責任を負います。

データ処理の用語定義​

アカウントおよび学習者管理データ： AI-Schoolがアクセス、管理、指導に使用する名前、メールアドレス、ユーザー名、学習者番号などのデータ。これらは自動的にAIモデルに送信されません。

プロンプト内容： ユーザーが入力する質問や指示。選択されたAIモデルはこの内容を受け取り回答を生成します。ユーザーがプロンプトに個人情報を含めた場合、モデル提供者がその情報を処理する可能性があります。

チャットコンテキスト： 一貫した回答を生成するために必要な過去の質問と回答。関連するチャットコンテキストは新しいプロンプトと共に選択されたモデルに送信されることがあります。

追加コンテキスト： ドキュメント、画像、ツールとのチャット機能などで、選択されたドキュメントの断片、画像、検索結果、ツール結果がモデル入力に追加されることがあります。これらの内容にも個人情報が含まれる可能性があります。

サブプロセッサー： ホスティング、認証、AIモデルの実行などのためにデータを処理する外部の第三者。データ処理契約および添付書類が現在の関係者、データカテゴリ、場所、保証を規定します。

ドキュメントテンプレートとプライバシーに敏感なデータ​

Wordテンプレートを使ったドキュメント作成時、AI-Schoolは予約タグの仕組みを使用します。テンプレートには例えば {naam_school}、{adres_school}、{naam_account}、{email_account} といったタグが含まれます。言語モデルにはフィールド名とフォームを埋める指示のみが渡されます。実際の個人情報や組織情報はAI-Schoolのアプリケーション内で後から置換されます。

これにより、既知の情報をAIモデルへのプロンプトに含める必要がなくなり、アプリケーション外で処理されるプライバシーに敏感な情報の量が減少します。

PII保護の補足

このタグと置換の仕組みはPII保護の代替ではありません。主にアプリケーションから既知の情報が不必要に言語モデルに送られるのを防ぎます。ユーザーがプロンプトやドキュメントに個人情報を含めた場合は、PII保護が依然重要です。

監督と内容フィルター​

チャット履歴： 教員は自分が担当する学習者のチャット履歴のみ閲覧可能です。閲覧権限は役割に応じてさらに制限されることがあります。

授業モニタリング： 教員は授業を開始し、必要に応じて授業中に学習者をモニターできます。

内容フィルター： AI-Schoolおよびモデル提供者は安全対策と内容フィルターを使用し、不適切またはリスクのある出力を制限します。これらのフィルターはリスクを減らしますが、すべての不適切な回答を防ぐ保証はありません。

「履歴の閲覧」では監督に関する設定について詳しく説明しています。

学校アカウントでのログイン​

AI-SchoolはMicrosoftまたはGoogleと連携し、学校アカウントで安全にログインできるようにしています。学校はAI-SchoolのMicrosoft 365またはGoogle Workspace連携の利用許可を与える必要があります。

連携はメールアドレスがAI-Schoolアプリケーションに登録されているかを確認します。これにより未登録のメールアドレスによる学校環境の利用を防止します。メールアドレス以外の個人情報はこのプロセスで交換されません。

調査と監査​

DPIA： Grip IT Consultancyが2026年4月にDPIAを実施。報告書は2026年5月20日に確定し、AI-Schoolが処理するデータ、アクセス権、データの提供と削除方法を調査。範囲内で平均的なプライバシーリスクは低いと評価され、高い残留リスクは認められませんでした。データ保護責任者が報告書を評価し承認。データ保護責任者はこのページの公開用コピーも評価し承認済み。DPIAは時点評価であり、学校が閲覧可能です。

脆弱性スキャン： Grip IT Consultancyが2025年4月16日から6月16日までai-school-pro.web.appを遠隔かつ部分的に自動化して調査。総合スコアは8（低リスク）で、いくつかの注意点と推奨事項あり。スキャンは調査範囲と期間内の状況を示し、脆弱性が存在しない保証ではありません。

情報セキュリティリスク分析： 2025年6月19日の分析は脅威、既存対策、残留リスクを明らかにし、ユーザーがプロンプトに個人情報を含めるリスクも含みます。この分析も時点評価です。

WhatsApp