教育データ活用を推進しながら子どものプライバシーや権利を守る方法
悩ましい構造：教育テクノロジー推進が複雑なわけ
テクノロジーは、教員、学校、教育委員会という多層的なレベルで教育に応用され、意思決定に作用しています。例えば、教員はタブレット端末から利用できるようなクイズツールを自身の判断で授業のなかで活用することがあります。学校は、学生情報管理システム（SIS）を使います。教育委員会は、これらのエドテックの入札の意思決定を担います。ところが、技術の進展は民間企業がリードし、教育は、ICTに疎くイノベーションから最も遠い分野と言われているのが現状です。そうしたなか、教育テクノロジーを導入し管理、活用していく知見は、教育機関ではなく、民間企業に蓄積され、エドテックベンダーに頼る構造になってしまいます。データガバナンスが民間に依存する現象は「サイバー委譲」と呼ばれています。
「政府や公共部門の機関は、ガバナンスの目的でデータを収集したり分析したりするための物理的リソースや技術的専門知識を欠いていることが多いため、これらの機能を民間の技術組織にアウトソーシングする“サイバー委譲”のプロセスを通じて外部委託せざるを得ません。」
government and public-sector institutions often lack the material resources or technical expertise to gather or analyze data for purposes of governance and must therefore outsource these functions to private technology organizations through a process of “cyberdelegation.”
教育データのガバナンスをどうするのが良いのか？これはここ数年世界的にも重要な問題となっています。モナッシュ大学では学校におけるデータ活用をテーマに、関係者の声をヒアリングした調査をもとに、こんなポスターが作成されました。
では、どのように生徒などの関係者の権利を保護しながら、データ利活用を進めるのか、欧米の例を見ていきましょう。以下にあげるプライバシー規制は、企業や製品、個人に対するものではなく、教育機関が保護するものという考え方です。
アナログ時代からの法律で保護する
米国では、Family Educational Rights and Privacy Act（FERPA）が、学校教育における学習者の個人情報に関するデータの収集・利用について規定しており、特にプライバシーやアクセス権に関する重要なルールを定めています。FERPAは、個人を特定できる情報（PII: Personally Identifiable Information）が何であるかを定義し、PIIについては学生の同意が必要であるとしています。例えば、いくら親が学費を出していたとしても、18歳以上の大学生の親が子どもの成績を見たいと申し出た場合でも、教員は学生の同意なしにその成績を親に提供することはできません。教育機関は、FERPAに準拠するために、教育情報に関する取り扱い規程を設けて運用しています。
米国のエドテックや学習履歴のデジタル化について調べていると、FERPAやPIIはキーワードとして頻出します。基本的には、学習者のデータを扱うにあたり、教育機関（学校）が守るべきことをFERPAが規定しています。FERPAは、学習者側の教育記録への「アクセス」と教育記録の「プライバシー」の権利を保護し、学校と学習者（または保護者）との間にある情報の不均衡を是正する役割を担っている（※）と捉えることができるでしょう。
初中等教育における教育データの扱いは、私の調査対象外ですが、日本の場合、青少年の健全育成のためであれば、学校は同意なしで教育データを扱うことが許可されていることがあります。日本の初中等公教育は、地域と子どもたちのことをよく理解している教育委員会が、地域社会づくりの中で行ってきたため、そのような取り扱いが適切だったのかもしれません。しかし、昨今では物事が複雑化し、地域社会の担い手でない関係者やシステムが教育データを扱うようになってきており、そのことに対する懸念が生じます。さらに近年では、アナログ時代からの児童生徒のプライバシーやアクセス権を既定したFERPAがある米国でさえ、AIの台頭により、これまで教師が担っていた学習者に対する判断や決定が自動化され、学習者の将来に影響与えることが懸念視されるなど、単なるセキュリティ上のデータ漏洩防止だけではない、エドテックのガバナンスの在り方が議論されています。
民間の認証制度で官民が協調。共通の指標で調達・選定を支援
信頼できるエドテック製品を認証する1EdTech TrustEd Apps™
このように複雑化した現状から、単なる個人情報の保護やFERPAといったハードローの遵守だけでは、エドテック製品の信頼による安心できる教育データ流通には至らないことが分かります。また、あちこちの地区の教育委員会が、多様で膨大なエドテック製品についての情報を入手し、評価し、見比べるのは困難かつ、非効率でしょう。そこで、米国では、エドテック製品に関する一定の基準を設け、準拠している製品を認定す第三者の認定機関や標準化団体が、教育委員会や学校の意思決定をサポートするようになってきています。
教育テクノロジーの国際標準化機関として、主に大学のCIOとエドテックベンダーが協働して標準化活動を行う米国の1EdTech Global Consortiumでは、TrustApp™という取組みを通じ、ベンダーと教育機関との双方が、セキュリティやプライバシー保護を徹底できるようにしています。具体的には、 アクセシビリティ・セキュリティ・生成AI・相互運用性の信頼性を可視化するルーブリックによる評価枠組みと製品認証を提供。教育機関は、アクセシビリティ評価,セキュリティ評価,生成AIに関するデータ評価といった評価枠組みを参照し、ベンダーに対して、このルーブリックに基づく自己評価を行うよう要求することができます。これにより、例えば公募時の提案依頼書作成時に、当該のルーブリック評価を提出することを求めることができますし、地区の教育委員会は、保護者等に対し、このような手続きに則って製品の信頼性を確保していると、導入時の説明責任を果たすことができます。また、今日の K-12 教育技術市場で使用されているデータ共有契約 とデータプライバシー契約の両方を網羅した「1EdTech データ プライバシーおよびセキュリティ契約テンプレート」も用意されており、エドテック製品調達プロセスに役立てられています。
1EdTech TrustEd Apps Program Overviewをもとに筆者作成
教育現場に導入される多様なEdTech製品の中で、どれが信頼できるのか、標準に準拠しているのかを見極めるのが難しい中、上の表に示すように1EdTechは、教育機関とEdTech企業が共有する評価枠組みと認証制度を提供し、信頼性の高い製品選定をサポートすることで、教育機関はがライバシー保護や公平性の確保に関する説明責任を果たしながら、効果的なデータ活用を促進する手助けをしていることが分かります。
学習者のデータのプライバシーについて特化した「学生データプライバシーコンソーシアム」
1EdTechのTrustEd Appでは、プライバシーはセキュリティや生成AIの側面から担保されていますが、教育におけるプライバシーに特化しているのは、学生データプライバシーコンソーシアム（Student Data Privacy Consortium, SDPC）です。SDPCは、Access 4 Learning (A4L) Community の特設グループで、学校・学区とベンダーとの間で、学生データプライバシーに関する契約プロセスを簡素化し、共通の期待を設定することを目的として、契約書のひな型を策定・提供しています。FERPAや州の学生プライバシー法があっても、AIを含むエドテック製品を導入する学校が、これらの法律が定めるPIIがどのようにエドテック製品のデータ処理に適用されるかを理解していなければ、適切に解釈できません。だからこそ、ひな型やガイドラインが有用になるのでしょう。現在、28の州がSDPCの地域連携に参加しており、これにより全米で13,000以上の学校区が影響を受けています。
教育データ推進に必要なプライバシー・データ保護に取り組む団体はほかにもあります。K-12教育におけるITリーダーを支援する非営利団体の「CoSN（Consortium for School Networking）」は、学生データプライバシーに関する調査研究を行うほか、学区の教育テクノロジー担当者に向けたリソースや研修を提供しており、サイバーセキュリティや学生データのプライバシー保護対策として、「Trusted Learning Environment（TLE）Seal」などの認証プログラムを提供しています。また、昨日開かれたのCoSNの年次総会では、学生データのプライバシーを強化するために、収集データの種類、目的、機密性、アクセス権者、削除タイミングなどを明確にする作業の実施を推奨するほか、データガバナンス方針の策定、データ保護やプライバシー責任者を明確にし、研修を実施するなどの対策を提案しています。
第三者評価による認証事業 「EdTechインパクト」
上記に取り上げた米国の取り組みはいずれも、ベンダーと教育機関とが、ネットワークやコンソーシアムなど何らかの結社によって、データ・プライバシー保護のため、うまく折り合いをつける共通言語や評価ツール、認証制度を提供することで、エドテック製品の信頼獲得・導入につなげているものでした。教育委員会に対してベンダー側が指定の項目の自己評価を提出し、これをもとに教育機関が導入の選定をするのを手助けする、ないしは民間の認証制度を取得し信頼の証としてベンダーが州や地区・教育機関等にアピールをする、という協調型です。これに対し、イギリスのEdTech Impactは、独立した第三者評価による信頼獲得に取り組む非営利団体で、評価の枠組みは教育データプライバシーの専門家が策定しています。EdTech Impactが設けた9つの評価基準では、EdTech製品の安全性、倫理性、透明性を多角的に評価します。例えば、サイバーセキュリティやデータ管理の基準では、データプライバシーの保護と適切な管理が求められます。また、倫理や年齢適切な設計の観点から、子どもたちの権利を尊重し、公平で安全な学習環境を提供できるかを評価します。さらに、エンドユーザーのフィードバックを反映する仕組みや、アルゴリズムの公平性の確保も重視され、技術だけでなく運用の透明性にも焦点が当てられています。Edtech Impactのウェブサイトでは、これらの第三者評価を一か所で比較できるサービスを提供しています。
教育データ利用の倫理と研究倫理
教育データの適切な活用について議論する際、民間のプライバシー保護の取り組みに関わる多くの関係者が共通して参照するのが研究倫理の考え方です。
研究（Research）は、新たな知見を得て社会に貢献するために行われるものですが、欧米では研究を実施する際、倫理委員会の審査を通過することが一般的なプロセスとなっています（近年、日本でもこの仕組みが普及しつつあります）。研究者は、研究開始前にデータの取得方法、目的、分析手法、被験者のプライバシー保護対策などを詳細に説明し、倫理審査を受ける必要があります。
一方で、教育データは研究とは異なり、明確な審査プロセスがないのが現状です。教育データの活用は、教員や学習者を支援し、教育の質を向上させる目的で行われますが、研究倫理のような詳細な説明や、倫理委員会による厳密な審査を経る必要はありません。
科学の発展を支えてきた研究の歴史には、社会に貢献したものもあれば、逆に害を与えたものもあります。こうした過去の反省を踏まえ、研究倫理の枠組みが確立されてきたのと同様に、今後、教育データの活用においても倫理的なガイドラインの整備が求められています。
今回は十分に掘り下げることができませんでしたが、前提として、EdTechの導入や不適切なデータ流通が、教育現場や学習者にどのような悪影響を及ぼす可能性があるのか――その具体的な事例を挙げて理解することが、評価制度やレビュー、共通様式、ガイドラインの意義を実感する上で重要です。次回の記事では、その点を補足し、なぜこうした仕組みが必要とされているのかを、実例を交えて紹介したいと思います。
参考
すでに登録済みの方は こちら
読者限定の内容も逃しません。