在亚美尼亚构建人工智能辅导或教育科技产品：儿童数据、学校合同和模型训练

在亚美尼亚，任何处理16岁以下学生数据的AI导师都需要有合法依据才能使用这些数据；如果依据是同意，则必须获得家长或其他法定代表人的同意。相关规定载于2015年5月18日颁布的《个人数据保护法》（HO-49-N），该法自2015年7月1日起生效，并于2026年8月15日进行了最新修订。亚美尼亚没有专门针对教育科技或人工智能的数据保护法规，因此，一般法律决定了学校部署中的责任归属、聊天记录是否可以用于模型训练，以及埃里温的开发人员是否可以查阅存储在国外的记录。

关于总体框架，请参阅我们针对外国公司制定的亚美尼亚个人数据法指南以及合法依据和同意要求。本页面主要介绍当数据主体为儿童且产品为人工智能辅导软件时，相关规定会发生哪些变化。

谁该负责：学校、供应商还是开发商？

亚美尼亚法律不使用GDPR中的“控制者”和“处理者”这两个术语，而是使用两个自己的术语。数据处理者（第3条第1款第5项）是指组织或执行数据处理的人；在学校环境中，通常指学校本身。授权人（第3条第1款第16项）是指数据处理者通过合同或法律委托代表其处理数据的人；通常情况下，为学校提供服务的教育科技供应商属于这一角色。您的合同应明确规定这些角色，因为英文模板中的GDPR式标签与亚美尼亚的定义并不完全对应。

根据第14条规定，学校仍需在其授权范围内处理数据。供应商仅可在该授权范围内处理学生数据。如果授权本身违反法律，供应商必须以书面形式告知学校并拒绝执行该授权。当委托机构为公立学校或市立学校时，适用相同的规则（第14条第4款）。

该角色取决于其活动。如果供应商将学生数据用于自身目的，例如为其他客户进行分析、投放广告或训练通用模型，则该供应商是在自行组织数据处理，并且很可能就该活动而言，它本身就是数据处理者，需要具备相应的法律依据。

软件开发人员的定位

处理过程包括存储、访问和修改，因此，无论职位如何，能够查看可识别学生记录的开发团队都是整个流程的一部分。法律没有明确的子处理机制，也没有找到任何机构解释说明供应商是否可以在未经学校单独批准的情况下引入开发人员。谨慎的做法是在学校的书面委托书中明确指定开发人员及其访问权限，要求学校对任何其他供应商进行任何操作都必须获得书面批准，并使开发人员受到与供应商相同的限制。

学校能否在未经家长同意的情况下将学生数据交给商业供应商？

未发现任何明确的教育法依据允许学校在未经同意的情况下向商业供应商披露学生数据。已确定的教育文件，包括《普通教育法》（HO-160-N）和教育部关于学校记录的命令，均涉及学校登记册和国家信息系统，其中一项规定学生数据根据个人数据法进行处理。因此，一般规则适用：未经同意的处理仅在法律明确规定的情况下才允许（第9条第5款）；未经同意向第三方披露数据仅在法律规定且数据得到充分保护的情况下才允许（第26条第1款）。严格作为学校授权人员行事的供应商与出于自身目的使用数据的第三方处于不同的地位，您的合同应明确您属于哪一类。

学校合同必须包含哪些内容

第14条第(2)款要求委托必须以书面形式作出，并说明：

• 处理的法律依据和条件；
• 其目的；
• 待处理的个人数据清单；
• 数据主体类别（学生、家长、教师）；
• 数据可能被传输给的人员；
• 技术和组织保护措施；
• 其他任何必要信息。

该条款可以写在服务协议中，也可以写在数据处理附件中。除了法定的最低要求外，学校和供应商通常还会添加一些条款，使法律在实践中能够有效执行：

• 禁止用途。 分析、广告和模型训练分别进行了明确的论述，其中训练要么被排除在外，要么被赋予了单独的论述基础。
• 学生权利。 第20条规定数据主体有权在一般情况下于五日内获取与其数据相关的信息，并要求立即更正不准确或非法的数据；如果无法立即更正，则应在三个工作日内更正。供应商必须能够帮助学校满足这些期限要求。
• 安全。 第 19 条要求采取加密措施、限制访问和保密措施，即使在相关人员离职后也应继续保密。
• 违约。 下文将介绍第21条第(4)款规定的事件责任，以及供应商通知学校的期限。法律并未规定供应商通知学校的期限，因此合同必须对此作出规定。
• 保留和删除， 开发者访问权限、国际转账、审计权利和责任。

与学校签订的采购合同并不等同于获得学生的同意。第9条第4款第2项规定，只有在根据与数据主体签订的合同获取数据的情况下，才视为获得同意，而学生并非学校与您签订的协议的当事人。

16岁以下儿童的同意

第9条第9款规定，如果数据主体未满16周岁、缺乏行为能力或行为能力有限，则由数据主体的法定代表人同意处理其个人数据。年龄门槛为16周岁，因此16岁和17岁的学生需自行同意。该条款规定由法定代表人同意，但并未要求父母双方签字，也未规定如果父母意见不一致，哪一方的意见优先，并且学校并非法定代表人。学校可以代表您收集父母的同意，但最终的同意权仍然在父母手中。

对于用户注册流程而言，有三项规定至关重要：

• 形式（第 9(7) 条）。 同意可以采用书面形式，也可以通过电子方式给予并经电子签名确认；或者，如果是口头同意，则需有可靠的行为证明。未签名的复选框是否符合此标准尚未有定论。
• 证明（第 9(8) 条）。 数据处理者负有证明已获得同意的举证责任。请保留记录，包括所显示通知的版本和时间。
• 通知（第 10 条）。 在获得同意之前，必须告知家长法律依据和目的、数据及其处理方式、谁可以接收数据、谁在处理数据以及处理地点、如何请求更正或删除、同意的有效期以及撤回同意的方式和后果。

最高法院裁定，同意必须是自由给予的、具体的、知情的且明确的，不能仅凭对一套规则的简单提及而推定（ED/12041/02/19 案，2022 年 6 月 24 日）。该机构关于儿童数据的指导意见补充道，如果拒绝同意会带来负面后果，则该同意并非自由给予。对于任何将访问学校作业与儿童数据的其他用途挂钩的产品而言，这都是一个问题。

学生的对话可以用来训练你的模型吗？

只有在有明确涵盖培训的合法依据的情况下，才能进行此类操作。亚美尼亚法律没有关于使用个人数据训练人工智能模型的一般许可、豁免或研究例外规定，也没有类似GDPR的合法利益依据。第4条第2款规定，未经数据主体同意，不得将为特定目的处理的数据用于其他目的；第5条第3款禁止进行与该目的无关或不相容的处理。为学生提供辅导和开发模型是不同的目的，因此对前者的同意不能延伸至后者，受学校委托的供应商也不能从中得出培训目的（第14条）。

事先披露并获得同意的培训可以作为最初的目的之一。鉴于监管机构认为，没有明确目的的同意是不可接受的，因此诸如“我们可能会使用您的数据来改进我们的服务”之类的笼统说法可能不够具体。为同一孩子安排同一位导师是否属于辅导目的，以及共享模式的培训何时开始，取决于具体情况，监管机构尚未对此作出规定。

匿名化

第5条第4款禁止处理个人数据，如果处理目的可以通过去个性化数据来实现。去个性化是指无法辨别数据属于谁（第3条第1款第9项），因此，从儿童描述学校、家庭或健康状况的聊天记录中删除姓名并不符合去个性化的标准。目前亚美尼亚尚无任何标准规定自由文本对话需要达到何种程度的匿名化才算足够。

撤回同意

根据第21条第6款，数据处理者在收到以书面形式或电子签名签署的撤回通知后，必须在十个工作日内停止处理并销毁数据，除非法律另有规定或双方另有约定，并且必须在销毁后三个工作日内通知数据主体。对于已基于该数据训练的模型是否必须重新训练或删除数据，亚美尼亚法院或数据保护局均未作出裁决，因此，您的训练流程应能够根据实际情况做出相应的调整。

敏感内容

儿童会告诉辅导老师一些事情。健康、宗教、种族和类似信息属于特殊类别，除非法律另有规定，否则只能在获得同意的情况下进行处理（第12条）；语音或面部特征可能属于生物识别数据（第13条）。推断出的个人情况，例如已标记的学习困难或情绪评估，是否属于特殊类别数据，目前尚无定论。

亚美尼亚的开发人员，国外的学生数据

第 27 条规定了向其他国家/地区传输个人数据，并采用分层式管理：

1. 数据传输需要有依据：数据主体的同意，或者数据传输是出于处理目的或为处理目的所必需（第 27(1) 条）。
2. 如果目的地能够确保足够的保护水平，则无需获得机构许可。如果转移遵循国际条约，或者该国在机构正式公布的名单上，则可视为达到此保护水平（第 27(2) 条）。
3. 向任何其他国家传输数据，必须经本机构许可，并依据本机构认可的、保障措施充分的合同（第27条第3款）。数据主体的同意不能取代本机构的许可。
4. 申请须在转账前以书面形式提出，并注明转账国家、接收方及其法律形式、具体数据、转账目的以及合同或合同草案。机构必须在30天内批准或拒绝该申请（第27条第4款）。

现行名单由机构负责人于2024年7月8日通过的第ԱՏՊՊ-001/24号决定制定，并自2024年7月10日起生效；官方法律数据库ARLIS显示该名单有效，且截至2026年10月27日未作任何修订。名单包含53个国家，其中包括所有27个欧盟成员国、英国、瑞士、日本、韩国和新加坡。名单中对美国的描述仅限于“美利坚合众国（组织）”，因此请确认具体的美国收款方是否在名单之列。机构必须至少每年审查一次该名单，并公布任何变更（第27条第5款），因此在依据该名单进行新的资金转移之前，请再次核实。

有两种情况反复出现。一种情况是，亚美尼亚的产品将学生数据发送到国外的云服务器或人工智能模型提供商，这属于数据传输，需要相关清单、条约或许可。另一种情况是，亚美尼亚的开发团队打开外国母公司持有的关于外国学生的记录，这引发了不同的问题：亚美尼亚团队很可能是母公司的授权代表，因此在亚美尼亚适用《数据保护法》第14条的书面授权规定，而母公司向亚美尼亚传输数据则适用外国数据保护法。由于未找到关于远程访问或临时路由的机构指南，因此在确定适用规则之前，应先绘制实际的数据流图。

机构通知、安全和违规行为

亚美尼亚没有统一的数据处理者注册制度。根据第23条第1款，向数据处理机构申报数据处理情况是自愿的；但如果数据处理机构要求，则必须申报（第23条第2款）。生物识别数据或特殊类别数据除外：您必须在开始处理此类数据之前向数据处理机构申报（第23条第3款）。数据处理机构于2026年6月批准了新的申报表格。

如果个人数据从电子系统泄露，根据第21条第4款，数据处理者必须立即发布公告，并同时向警方和监管机构报告泄露事件。该条款没有72小时的期限，也没有像GDPR那样的风险阈值。自2026年1月4日起生效的HO-447-N号法律废除了第19条的部分内容，并将信息系统的技术安全要求移交给政府和机构制定规则，因此在设计安全控制措施时，请务必查阅现行的实施细则。

一项旨在设立独立数据保护委员会、引入数据保护官制度和影响评估机制的法律草案目前正在审议中，尚未成为法律。

销往美国和欧盟

亚美尼亚制造的产品如果销往国外供儿童使用，也必须遵守其销售市场的具体规定。在美国，修订后的《儿童在线隐私保护规则》（Children's Online Privacy Protection Rule）于2025年4月22日发布（90 FR 16918），并于2025年6月23日生效，其总体合规日期为2026年4月22日。在欧盟，《通用数据保护条例》（GDPR）对儿童同意使用在线服务设定了年龄门槛，各成员国可以自行调整。这些规定需要咨询目标市场的法律顾问；亚美尼亚法律不能取代这些规定，遵守这些规定也并不意味着符合上述亚美尼亚的规定。

如需更全面地比较这两种制度，请参阅《GDPR 与亚美尼亚数据保护规则》。如果您的工程师在客户项目中也使用 AI 编码助手，我们的AI 工具、客户合同和数据指南涵盖了供应商方面的相关内容。在正式上线之前，请根据以上四个问题梳理每个数据流：数据处理者是谁、数据处理依据是什么、数据流向何处以及是否涵盖训练数据。

常见问题

上次更新时间：20年2026月XNUMX日