FERPA & AI Compliance

Overview

La Ley de Derechos Educativos y Privacidad de la Familia (FERPA) es una ley federal de Estados Unidos promulgada en 1974 que protege la privacidad de los expedientes académicos de los estudiantes. Administrada por la Oficina de Políticas de Privacidad Estudiantil del Departamento de Educación de EE. UU., FERPA se aplica a las instituciones y organismos educativos que reciben fondos de programas administrados por el Departamento, lo que incluye prácticamente todos los centros públicos de educación primaria y secundaria (K-12), colleges y universidades del país. Las infracciones pueden conllevar la retirada de la financiación federal, por lo que FERPA es una prioridad crítica para las instituciones educativas.

FERPA otorga a los padres y a los estudiantes habilitados (los mayores de 18 años o los que cursan estudios postsecundarios) derechos específicos sobre los expedientes académicos. Entre ellos están el derecho a consultar y revisar los expedientes, el derecho a solicitar la corrección de expedientes inexactos, el derecho a consentir la divulgación de información de identificación personal (PII) contenida en los expedientes académicos y el derecho a presentar reclamaciones ante el Departamento de Educación. Cuando el estudiante alcanza los 18 años o accede a la educación postsecundaria, estos derechos pasan de los padres al estudiante.

En las aplicaciones de IA en educación, FERPA impone restricciones importantes sobre cómo pueden usarse los datos de los estudiantes. Las plataformas de aprendizaje adaptativo, los sistemas de alerta temprana que predicen el riesgo de abandono, la corrección automática de redacciones y los paneles de analítica del aprendizaje dependen de datos de estudiantes que FERPA protege. Las instituciones educativas deben asegurarse de que los sistemas de IA que tratan expedientes de estudiantes respeten los requisitos de consentimiento, los límites a la divulgación y las obligaciones de registro de FERPA. El uso creciente de la IA en la educación ha llevado al Departamento de Educación a publicar orientaciones sobre cómo se aplica FERPA a los servicios de tecnología educativa y a los servicios educativos basados en IA.

AI-Specific Requirements

Los requisitos de consentimiento de FERPA son centrales para el uso de la IA en educación. Por lo general, las instituciones deben obtener el consentimiento por escrito de los padres o de los estudiantes habilitados antes de divulgar información de identificación personal de los expedientes académicos. Existen varias excepciones, entre ellas la excepción de «funcionario escolar» (34 CFR 99.31(a)(1)), que permite la divulgación a funcionarios escolares con un interés educativo legítimo, y la excepción de «información de directorio» para los datos básicos que la institución haya designado como información de directorio. En los sistemas de IA, la excepción de funcionario escolar es la que se invoca con más frecuencia cuando los proveedores de IA tratan datos de estudiantes por cuenta de la institución.

Cuando las instituciones educativas contratan proveedores de servicios de IA al amparo de la excepción de funcionario escolar, deben asegurarse de que el proveedor preste un servicio o realice una función institucional, use la PII solo para los fines especificados en el acuerdo, esté bajo el control directo de la institución en lo relativo al uso y mantenimiento de los expedientes académicos y respete las restricciones de FERPA sobre la redivulgación. La institución sigue siendo responsable ante FERPA aunque utilice servicios de IA de terceros. Esto da a las instituciones un motivo de peso para mantener el control sobre los datos de los estudiantes en lugar de enviarlos a plataformas externas de IA en la nube.

FERPA también obliga a las instituciones a llevar un registro de cada solicitud de acceso a la información de identificación personal de los expedientes académicos y de cada divulgación de dicha información (34 CFR 99.32), aunque las divulgaciones a funcionarios escolares con un interés educativo legítimo quedan exentas de ese registro. Aun así, las instituciones necesitan saber qué sistemas y proveedores tienen expedientes académicos y qué hacen con ellos. Las orientaciones del Departamento de Educación insisten en la diligencia debida con los proveedores de IA, incluidas sus prácticas de seguridad de datos, sus políticas de conservación y su capacidad de eliminar datos. Las instituciones que no supervisan adecuadamente a sus proveedores de IA se exponen a infracciones de FERPA que podrían poner en peligro su financiación federal.

How Ertas Helps

Ertas Studio entrena en las GPU en la nube de Ertas, por lo que el conjunto de datos de entrenamiento se sube a Ertas y se almacena para poder repetir las ejecuciones. Si contiene información de identificación personal de expedientes académicos, subirlo constituye una divulgación que requiere consentimiento o una excepción, como la de funcionario escolar con el control directo que esa excepción exige. Para la mayoría de los proyectos, la vía más limpia es desidentificar primero, eliminando nombres, números de identificación de estudiante y otros identificadores para que los expedientes dejen de permitir la identificación personal, y editar y aprobar cada ejemplo en Data Craft, el generador de conjuntos de datos de Studio. Puede eliminar los conjuntos de datos subidos cuando termine el proyecto.

El uso diario es donde aparecen los datos identificables de los estudiantes, porque el personal y los alumnos consultan expedientes reales. Exporte el modelo entrenado en GGUF o safetensors y ejecútelo en el entorno propio de la institución: esas peticiones y respuestas nunca llegan a Ertas, lo que deja la inferencia fuera de las cuestiones de divulgación de FERPA. El modelo es propiedad de la institución y su versión no cambia hasta que esta vuelva a entrenarlo. El endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutar el modelo en la nube propia de la institución o en sus propias instalaciones (on-premise).

El consentimiento y los avisos anuales, la determinación del interés educativo legítimo, el control de acceso y el registro allí donde se ejecuta el modelo, y la formación del personal quedan a cargo de la institución.

Compliance Checklist