Instrumente AI conforme cu GDPR în școli: o listă de verificare DPIA

Șapte pași. Atât îi cere Agenția Daneză pentru IT și Învățare unei școli să parcurgă înainte ca un instrument AI să intre în clasă, în mini-ghidul său despre utilizarea legală a inteligenței artificiale (publicat în ianuarie 2026). Unul dintre pași este o analiză sistematică a riscurilor, o evaluare a impactului asupra protecției datelor (DPIA), despre care ghidul spune că este necesară în aproape toate cazurile în care se folosește AI. Acest articol este despre instrumentele AI conforme cu GDPR pe care școlile le pot aproba cu adevărat: întrebările pe care le pune responsabilul cu protecția datelor dintr-o municipalitate și propriile noastre răspunsuri pentru GradeAid, în scris.

În mai 2026, municipalitatea Jammerbugt din nordul Iutlandei a încetinit folosirea AI după ce responsabilul său cu protecția datelor a avertizat că nimeni nu avea o imagine de ansamblu asupra instrumentelor folosite de angajați (Version2, 26 mai 2026). Cred că a fost o decizie înțeleaptă. O municipalitate care nu știe în ce instrumente scriu profesorii ei nu poate face o DPIA pentru niciunul dintre ele.

GDPR nu este motivul pentru care școlile nu pot folosi AI

Vorbim despre GDPR ca și cum ar fi frâna pentru AI în școli. Nu este. Este o listă scurtă de întrebări la care trebuie răspuns înainte ca un instrument să fie pornit, iar cei mai mulți furnizori nu au răspuns la ele în cuvinte simple.

Regulile daneze sunt clare în privința celui care întreabă. Ghidul Ministerului Danez al Copiilor și Educației despre utilizarea legală a AI (mai 2025) spune că școala sau municipalitatea este de obicei operatorul de date, iar furnizorul este persoana împuternicită. Operatorul poartă răspunderea. Mini-ghidul adaugă că adoptarea unui instrument este o decizie a conducerii, nu alegerea unui profesor la masa din bucătărie, la ora 21:00.

Același ghid spune că autoritatea daneză pentru protecția datelor consideră AI o tehnologie nouă, așa că riscul este de obicei ridicat și o DPIA va fi adesea obligatorie. Nu este o formalitate. Este un document pe care cineva îl semnează cu numele său.

Este același GDPR la Oslo, Stockholm, Madrid și București. Ghidul danez este pur și simplu una dintre cele mai clare versiuni scrise ale lui, de aceea îl folosim aici.

Instrumentele AI conforme cu GDPR pe care școlile le pot aproba răspund la cinci întrebări

Când un responsabil cu protecția datelor citește documentele unui furnizor, întrebările ajung să fie aceleași cinci. Iată-le, împreună cu felul în care arată un răspuns bun.

1. Cine sunt subîmputerniciții și unde se află?

Ghidul ministerului îi cere școlii să afle, înainte de începerea prelucrării, dacă datele personale părăsesc UE și SEE și spre ce țară. Dacă da, școala are nevoie de un temei juridic pentru transfer, iar pentru o țară terță nesigură, de o evaluare a impactului transferului. Un furnizor bun predă o singură listă: nume, scop, țară, garanție.

2. Este folosit ceva pentru a antrena un model?

Ghidul spune că o școală nu are, de regulă, temei juridic pentru a lăsa un furnizor să folosească datele personale ale elevilor în scopurile proprii ale furnizorului, inclusiv pentru antrenarea unor modele noi. Exemplul din mini-ghid despre feedback cu AI funcționează doar dacă acordul de prelucrare a datelor exclude antrenarea modelelor. Cereți acea frază în acord, nu pe o pagină de marketing.

3. Ce păstrează furnizorul de AI și cât timp?

Aici se află literele mici. Pagina Google despre guvernanța datelor pentru Gemini pe Vertex AI (actualizată ultima dată pe 30 octombrie 2026) spune că Google nu antrenează pe datele clienților fără permisiune. Aceeași pagină spune că datele din cache pot fi păstrate până la 24 de ore și că Google poate înregistra prompturile pentru a detecta abuzuri. Păstrarea zero a datelor este posibilă, dar numai dacă furnizorul dezactivează mai multe setări. Întrebați care sunt dezactivate.

4. A fost modelul însuși construit legal?

Comitetul European pentru Protecția Datelor a spus în decembrie 2024 că un model dezvoltat cu date prelucrate ilegal poate afecta legalitatea utilizării sale. O școală nu poate audita Google sau OpenAI. Poate însă întreba furnizorul ce model folosește și ce spun condițiile furnizorului de model, și poate trece răspunsul în DPIA.

5. Ce intră în prompt?

Mini-ghidul le cere angajaților să nu introducă niciodată date personale, răspunsuri de la examene sau note. Cel mai bun design face greșeala greu de comis: profesorul scrie o temă și un nivel, nu numele unui copil.

O DPIA nu este un verdict asupra AI, este un răspuns scris la cinci întrebări despre unde ajung datele.

Propriile noastre răspunsuri, în scris

Ar fi ciudat să publicăm această listă de verificare și să nu o aplicăm și nouă. Iată GradeAid, conform politicii noastre de confidențialitate (versiunea din 30 octombrie 2026).

Găzduirea, baza de date și stocarea fișierelor rulează pe Google Cloud în Belgia. Generarea conținutului se face cu modelele Gemini de la Google prin endpointul UE al Vertex AI. Astăzi doar profesorii folosesc AI. Partea platformei pentru copii este pusă pe pauză, iar conturile folosite de copii sunt șterse după 27 noiembrie 2026.

Ce trimitem către Gemini este tema și nivelul profesorului, fără identificatori personali, plus imagini și text ale paginilor atunci când un profesor încarcă o pagină de manual. Google are interdicție contractuală de a antrena pe aceste date, iar noi nu antrenăm niciun model pe materialele încărcate.

Acum partea incomodă. Nu totul se află în UE. E-mailurile tranzacționale trec prin Postmark, iar facturarea prin Stripe, ambele în Statele Unite, în baza Cadrului UE-SUA privind confidențialitatea datelor, cu clauze contractuale standard ca garanție suplimentară. Analiza utilizării (PostHog, găzduit la Frankfurt) și măsurarea reclamelor Meta rulează doar dacă profesorul le acceptă în bannerul de cookie-uri. Un responsabil cu protecția datelor ar trebui să vadă această listă înainte de semnare, nu după.

Setările de păstrare a datelor din Vertex AI descrise mai sus sunt o întrebare corectă pentru noi, ca pentru orice furnizor. Răspundem în scris, împreună cu acordul de prelucrare a datelor, pe care îl trimitem la cerere.

Ce poate face o școală

1. Faceți o listă cu toate instrumentele AI folosite de angajați, inclusiv cele gratuite deschise într-o filă de browser. O foaie comună cu trei coloane este suficientă: instrumentul, cine îl folosește, ce se introduce. Aproximativ 30 de minute într-o ședință cu personalul.

2. Trimiteți fiecărui furnizor cele cinci întrebări de mai sus într-un singur e-mail și cereți acordul de prelucrare a datelor și lista completă a subîmputerniciților. Aproximativ 10 minute pentru fiecare furnizor. Dacă nu vine nimic înapoi, lista de verificare se oprește acolo.

3. Aplicați foaia de calcul pentru evaluarea riscurilor a ministerului, anexa la mini-ghid, pentru fiecare instrument care răspunde. Două până la trei ore pentru fiecare instrument, pentru persoana responsabilă de GDPR, o singură dată.

4. Scrieți lista aprobată în trei rânduri: ce instrument, pentru ce, cu ce date. Împărtășiți-o cu personalul și cu părinții. Aproximativ 45 de minute.

5. Puneți o dată în calendar pentru a reveni peste douăsprezece luni, sau mai devreme dacă un furnizor își schimbă condițiile. Cinci minute.

Unde se încadrează GradeAid

GradeAid este o platformă daneză pentru profesori. Profesorul scrie tema și nivelul și primește în câteva secunde un plan de lecție, o fișă de lucru, un test, o prezentare și activități fără ecran, pe care le poate și diferenția. Materialul poate fi printat. Se află de partea profesorului, iar noi preferăm ca un responsabil cu protecția datelor să citească lista subîmputerniciților noștri înainte de semnare, nu să o descopere după.

Dacă lucrați în protecția datelor într-o municipalitate sau conduceți o școală oriunde în Europa, ne-ar plăcea să auzim de la dumneavoastră. Scrieți-ne la founders@gradeaid.ai.