自治体・学校で使うAIを、契約・データ・人の確認から設計する

最初に、どの情報がどこへ流れるかを図にする

教育AIでは、アカウント情報、学習設定、答案画像、入力文、AIへの依頼、生成された説明、学習履歴、監査ログなど、性質の異なる情報が扱われます。すべてを一つの「学習データ」と呼ばず、収集、送信、保存、閲覧、削除の経路を分けて確認します。

AIへ送る必要がない氏名、学校名、連絡先などは入力から外します。答案画像を扱う場合も、撮影情報や不要な背景を削除し、回答処理に必要な範囲へ限定する設計を検討します。

• 本人を識別する情報と、学習内容を分ける
• AIへ送る情報と、データベースへ保存する情報を分ける
• 表示、保存、ログ、バックアップの保存期間を確認する
• 利用終了・転校・担当変更時の削除と権限停止を決める

児童生徒の個人情報を、サービスへ持ち込みすぎない

児童生徒のログインは仮名IDを基本とし、個人メールアドレスの登録を求めない設計を検討します。本人を特定する対応表が必要な場合は、学校・自治体側の管理範囲とサービス側の情報を分けます。

在籍学年や学習設定学年も、利用目的と閲覧者を明確にします。管理画面上では、学習設定学年を本人向け画面に表示しない旨を案内しています。学校側の設定と本人が見る学習画面を分け、学年差を必要以上に意識させないための設計です。 管理画面の項目と既存アカウントの表示は確認済みです。新規発行・設定変更後の保存反映と、本人向け全画面での非表示は、導入前の受入確認で確かめます。

入力をAI提供者のモデル学習へ使わせない条件を確認する

本番で接続する外部AIは、入力や出力を提供者のモデル学習へ利用しない契約・設定が確認できるサービスを採用予定条件とします。これは現時点ですべての接続先・契約条件が確定し、運用が検証済みであるという意味ではありません。

導入前には、利用プラン、データ保持期間、不正利用監視のための保存、オプトアウト設定、再委託先、障害時の取扱いを接続先ごとに確認します。契約や仕様変更があった場合に再確認する担当者も決めます。

主要データベースは、東京リージョンを選ぶ予定

本番の主要データベースは、東京リージョン（ap-northeast-1）を選定する計画です。主たる保存場所を明確にし、日本国内の利用者との距離にも配慮します。

東京リージョンは主要データベースの保存場所を示すもので、外部AI、メール、配信、監視、バックアップ等を含むすべての処理やデータが国内だけで完結することを意味しません。実際の本番構成は公開前に確認します。

有償基盤の機能を、日々の運用へ落とし込む

manahooでは、特定の製品名だけを「安全」の根拠にはしません。本番運用向けの有償基盤を採用し、バックアップ、通信保護、公開前確認、切り戻しを、自治体・学校が確認できる条件として整えます。

主要データベースには本番運用向けの有償環境を採用し、日次バックアップと直近7日分の保持を利用する計画です。 データベースのバックアップには、Storage上の画像・添付ファイル本体は含まれません。対象範囲、画像等の保全方法、復元手順は導入前に確認します。

Web公開側では、HTTPS、分散配信、自動DDoS緩和とファイアウォールを備えた基盤を利用します。 更新内容は公開前の環境で確認し、問題が見つかった場合は、確認済みのWeb公開版へ切り戻せる運用を整えます。 Web公開版の切り戻しは、データベースや外部サービスの状態まで元に戻すものではありません。復旧手順は分けて確認します。

• 学校・自治体・運営会社の表示・操作範囲を役割ごとに分ける
• 保存期間、削除方法、バックアップ対象と復元手順を導入前に確認する
• エラーと公開状況を確認し、事故・障害時の連絡先を定める
• 設定変更時に、確認日・担当者・証跡を更新する

自治体・学校・運営会社で閲覧権限を分ける受入要件

本番構成では、学校担当者は自校または担当する児童生徒、自治体担当者は必要な集計範囲、運営会社は保守に必要な範囲など、役割ごとにアクセスを制御する方針です。会社だけが持つ最上位ロールも、学校や自治体の管理者と分けることを受入要件とします。

担当変更、退職、転校、利用終了時に権限を停止できること、誰がいつ設定を変更したかを監査画面で確認できることを受入試験に含めます。少人数集計では、個人が推測されない表示や出力制御を検討します。

• 受入確認項目：学校・担当児童生徒・自治体の境界をURLとAPIの両方で越えられないこと
• 受入確認項目：管理画面とデータ取得APIで同じ権限境界が働くこと
• 受入確認項目：権限変更、閲覧、出力、削除の記録を確認できること
• 受入確認項目：既存アカウントが自動的に上位権限へ昇格しないこと

AIの判断を確定事項にせず、人へ戻す経路を残す

AIの読み取りや説明には誤りがあり得ます。本番構成では、信頼度が低い回答、作文、証明、長文記述、本人の状態に関する判断をAIだけで確定せず、教職員の確認へつなぐ方針です。心理・医療・福祉上の判断に使用しないことも運用条件として確認します。

文部科学省のガイドラインVer.2.0を踏まえ、人間中心の利用、発達段階、情報活用能力、個人情報、生成内容の適切性を判断できる範囲での利用といった配慮事項を機能・運用へ反映します。これは認証取得や完全準拠を示す表現ではありません。

本番導入前に、表示ではなく実際の境界を試験する

権限の違うアカウントでURLへ直接アクセスし、他校・他児童生徒・自治体外のデータを取得できないことを確認します。ログイン、学習、AI支援、記録共有、出力、削除まで、実際の利用経路を通して検証します。

AI接続先の非学習条件、主要データベースの作成リージョン、有償プランの契約・設定、環境変数、ログ、バックアップ、問い合わせ・事故連絡先は、本番構成が確定した時点で証跡を残します。計画と確認済み事項を混同しない一覧を維持します。

• 予定・設定済み・動作確認済みを分ける
• 権限ごとの画面とAPIを実アカウントで確認する
• データ削除とアカウント停止を最後まで試す
• 委託先・再委託先・保存場所の変更時に再確認する