AI w edukacji: szantaż danymi uczniów i ryzyko profilowania behawioralnego

Platformy edukacyjne, aplikacje do nauki, systemy zarządzania uczniami (LMS) i narzędzia AI do personalizacji nauczania gromadzą o dzieciach dane na skalę, której rodzice i nauczyciele często nie są świadomi. Historia przeglądania, czas reakcji, błędy, geolokalizacja, a nawet ruchy oczu i mimika twarzy — to surowiec dla modeli predykcyjnych i… cel ataków.

Skala gromadzenia danych

W Polsce platforma Librus (ponad 4 mln użytkowników), Vulcan, Office 365 Edu, Google Workspace for Education, a także aplikacje typu Duolingo, Khan Academy, Quizlet generują strumienie danych telemetrycznych. Raport Fundacji Dajemy Dzieciom Siłę (2023) szacuje, że polski uczeń podstawówki generuje dziennie średnio 2–3 MB danych edukacyjnych — rocznie to ponad 1 GB profilu behawioralnego.

W USA incydent z Illuminate Education (2022) ujawnil wyciek danych 820 tys. uczniów: imiona, adresy, numery PESEL-odpowiedników (SSN), oceny, diagnozy psychologiczne, historia dyscyplinarna. Dane trafiły do darknetu i zostały wykorzystane do fałszywej rejestracji kredytowej.

Szantaż danymi: nowa forma przestępczości

W 2023 roku grupa hakerska Vice Society wykradła dane z ponad 50 amerykańskich dzielnic szkolnych i wyśleła rodzicom wiadomości: „Mamy historię ocen, adresy, numery telefonów Waszych dzieci. Zapłaćcie 500 USD w BTC, a dane nie trafią do pedofilów”. Kilka rodziców zapłaciło. FBI potwierdziło, że część danych trafiła do forów poświęconych wykorzystywaniu seksualnemu nieletnich.

W Polsce w 2024 r. na forach cyberprzestępczych pojawił się zrzut bazy jednego z popularnych systemów LMS z danymi ok. 15 tys. uczniów z województwa mazowieckiego: logi logowań, adresy IP, nazwy urządzeń rodziców. Policja nie potwierdziła oficjalnie wycieku, ale eksperci CERT Polska wskazywali na zgodność struktur danych.

Profilowanie behawioralne: „wczesne wykrywanie zagrożeń”

Firmy EdTech (np. Gaggle, GoGuardian, Securly, polskie alternatywy) oferują szkolom „monitorowanie bezpieczeństwa”: AI skanuje czaty, maile, dokumenty, wyszukiwania uczniów pod kątem samobójczości, przemocy, radykalizacji. Alerty trafiają do dyrektorów, policji, rodziców — często bez wiedzy ucznia.

Problem: systemy generują fałszywe alarmy (badanie The 74 Million, 2022: 60% alertów Gaggle to fałszywe pozytywy) i tworzą trwałe rekordy „ryzykownych” uczniów. W USA uczniowie byli aresztowani, wysłani do szpitali psychiatrycznych, wykluczeni z loterii studenckich na podstawie alertów AI, których nie mieli prawa przeczytać ani zaprzeczyć.

Polskie prawo: Ustawa Prawo Oświatowe (art. 107) i RODO (art. 8 – zgoda rodzica do 16 r.ż.) formalnie chronią, ale w praktyce szkoły podpisują umowy z dostawcami bez audytu DPIA (Data Protection Impact Assessment), a rodzice akceptują regulaminy „klikając OK”.

Komercjalizacja danych dzieci

Google Workspace for Education (wersja Fundamentals) jest darmowa, ale Google zbiera dane telemetryczne do ulepszania usług — w tym modeli AI. W 2020 r. Google zapłaciło 170 mln USD kary FTC/Nowy Jork za zbieranie danych dzieci na YouTube Kids bez zgody rodziców (COPPA). W 2023 r. holenderski AP (Autoriteit Persoonsgegevens) nakazał szkolom przestać używać Google Workspace bez gwarancji, że dane nie trafią do reklam — Google nie złożył takiej deklaracji.

W Polsce UODO w 2022 r. wydało stanowisko: szkoły nie mogą przesyłać danych uczniów do krajów trzecich bez odpowiednich zabezpieczeń (SCC, BCR). Wiele gmin ignoruje to, korzystając z chmur USA.

Luka prawna: „interes legitymaczny” vs. dobro dziecka

Dostawcy EdTech często opierają przetwarzanie na art. 6 ust. 1 lit. f RODO (interes legitymaczny) zamiast na zgrodzie (art. 6 ust. 1 lit. a). Sądy w UE (np. Bundeskartellamt v. Meta, 2023; NOYB v. Austrian Post, 2024) coraz częściej odrzucają ten argument przy danych dzieci — ale egzekwowanie trwa lata.

AI Act (zał. III, pkt 3) klasyfikuje systemy AI do oceny i monitorowania uczniów jako wysokie ryzyko. Wymaga: ludzkiego nadzoru, brak dyskryminacji, transparentności dla rodziców i uczniów. Przepisy wejdą w życie do 2027 r. — do tego czasu rynek działa w próżni prawnej.

Co mogą zrobić rodzice i szkoły

1. Wymagaj DPIA przed wdrożeniem każdego systemu AI w szkole (RODO art. 35). Bez audytu ryzyka — brak podstawy prawnej.
2. Ograniczaj zgody — w Librusie, Vulcanie, Google Edu wyłącz telemetrię, reklamę, personalizację w ustawieniach konta rodzica/ucznia.
3. Korzystaj z RODO art. 15, 17, 21 — wniosek o dostęp do danych, usunięcie („prawo do bycia zapomnianym”), sprzeciw wobec profilowania. Szkoła ma 30 dni na odpowiedź.
4. Pytaj o lokalizację serwerów i podmioty przetwarzające — umowa z procesorem (art. 28 RODO) musi określać kraj przechowywania, audyty, powiadamianie o wyciekach.
5. Wsparcie inicjatyw legislacyjnych — Fundacja Panoptykon, Fundacja Dajemy Dzieciom Siłę, Europejska Rada Cyfrowa dążą do zakazu profilowania behawioralnego dzieci w celach komercyjnych (projekt e-Privacy, nowela ustawy o oświacie).

Wniosek

Dane dzieci to najcenniejszy surowiec XXI wieku — do trenowania modeli, targetowania reklam, scoringu kredytowego w przyszłości. Systemy edukacyjne AI mogą pomagać, ale bez twardych gwarancji: lokalne przetwarzanie (edge AI), open-source, audyt niezależny, prawo do odrzucenia monitorowania — stają się narzędziem nadzoru i kontroli, a nie wsparcia. Szantaż danymi uczniów to nie science-fiction — to biznesmodel gangów ransomware. Czas na reakcję to teraz.

Oznaczenie treści AI

Ten artykuł powstał z udziałem sztucznej inteligencji: research oraz tekst przygotował i zredagował agent AI. Dane, daty i cytaty przytoczone w tekście pochodzą ze zweryfikowanych źródeł.