我們怎麼規範自己：Uedu 的資料治理實務

Uedu 平台上累積的，是師生與生成式 AI 的完整對話、學習軌跡， 以及在個別同意下蒐集的生理感測與問卷資料。 這類資料一旦被不當使用，受影響的是整個關係裡最弱勢的一方——學生。

因此平台的設計前提不是「相信使用者會自律」，而是把規則寫進系統，並且讓平台自己同樣受它拘束： 能用程式擋下來的，就不依賴人的自覺；必須依賴人的自覺的，就讓他在動手之前先簽下法律責任。

以下是目前實際運作中的五道關卡。所有對應文件都公開在 資料治理中心，任何人在決定是否使用平台之前就能完整查閱。

一、把平台自己送進倫理審查

常見的作法是研究者為自己的個別研究送研究倫理審查。Uedu 反過來做： 先把平台整體送審，取得雨傘式研究倫理計畫核可 （案號 NTU REC 202507EM058，國立臺灣大學行為與社會科學研究倫理委員會， 2026 年 4 月 10 日核可，期程三年）。 這代表「平台上什麼研究可以做、什麼不能做、資料怎麼存、存多久、怎麼銷毀」， 在任何一位教師開始蒐集資料之前，就已經被外部委員會審查並定義完畢。

雨傘計畫把平台上的研究活動分成三層，界線寫得很明確：

• A 類（平台共用）：透過 Uedu Lab 匯出的去識別化資料之回溯性分析。所有合作教師皆可使用，無需另行申請研究倫理審查。
• B 類（主持人專屬）：涉及實體參與的活動，如腦神經感測實驗、深度訪談。雖在雨傘計畫範圍內，但僅限計畫主持人（張家凱）本人執行，不得授權他人代行。
• C 類（超出範圍）：其他教師自行設計、涉及實體參與或敏感度更高的研究。不在涵蓋範圍，該教師須自行申請對應的審查。

結構化摘要（含研究目的、資料類別、保存期限、刪除程序）公開於 研究倫理審查通過摘要； 案號可直接向臺大研究倫理委員會查證。

二、要看資料的人，先簽下法律責任

教師端在不同情境下需要簽署四份文件，全部以電子方式為之， 依《電子簽章法》與書面簽署具同等效力：

• 教師資料保護責任書——申請認領或建立課程時簽署。這是唯一百分之百必經的節點：認領課程與自行開課兩條路徑都由系統硬性驗證簽署紀錄，且簽署時機在取得課程之前。
• 教育資料匯出使用同意書——每一次建立匯出任務前都要簽；同意書改版後必須重簽。
• 超級助教授權同意書（教師端）與超級助教保密切結書（助教端）——授權他人閱覽課程對話時，雙方各自簽署。

條文不是形式上的勾選。實際載明的內容包括：

• 匯出資料者即成為獨立的資料控管人，承擔《個人資料保護法》所定的全部義務；平台不負連帶責任。
• 明白告知《個人資料保護法》第四十一條（最高五年有期徒刑）與《刑法》第三百十八條之一電腦洩密罪的刑事追訴風險。
• 嚴禁用於商業目的、當事人個人評價（非學術表現面向），或任何可能損害當事人權益的用途。
• 約定準據法與第一審管轄法院，使這些責任在爭議發生時能實際執行。

系統留存每次簽署的時間戳記、IP 位址、瀏覽器資訊、同意書版本號與簽署者身分作為證據保全。 條文修訂時版本號隨之變更，既有簽署紀錄即失效， 使用者必須重新簽署才能繼續操作——不會以「已同意舊版」推定同意新版。 超級助教權限另設一個月有效期間，期滿由系統自動回復為一般助教，需要時重新授權並重新起算。

三、資料離開平台之前，要先有使用者同意

前面兩關管的是「誰能看」，這一關管的是「什麼能被帶走」。 資料一旦離開平台就再也收不回來，所以這裡的規則做在程式裡，不依賴任何人記得：

• 匯出只包含已簽署研究知情同意書且未撤回的使用者。這個限縮寫在資料庫查詢裡，未同意者的資料根本不會被取出，不是事後人工篩掉的；沒有任何選項、參數或用途宣告可以放寬它。課程若無人簽署，系統在建立任務的階段就拒絕，不會產生一個空檔案讓人以為匯出成功了。
• 這條規則對平台管理員也一樣。管理員無法匯出自己並非授課教師的課程，也拿不到別人匯出檔的下載連結與解壓縮密碼。稽核需求由專屬後台以中繼資料滿足——誰、何時、匯出哪門課、下載與銷毀狀態——而不是靠取得檔案本身。
• 個人筆記本與自建頻道完全排除在外。那些對話是每個人自己的私人問答，不是課堂紀錄，不存在「教師檢視學生」的關係基礎，因此既不可匯出，也不開放他人瀏覽。此限制同樣適用於管理員。
• 課程對話匯出以系統內部使用者編號（純數字）識別身分，欄位為對話內容、時間戳記與相關多媒體檔案，不包含姓名、電子郵件或學號。研究者取得的資料在產出當下即為假名化資料。
• 平台側的匯出暫存檔於產生後三天自動刪除。
• 研究者對外匯出僅限資料產生日起五年內，逾期由系統自動禁止；資料仍留存於系統內供驗證與可重現性檢核。
• 性別認同與多元性別相關資料，對教師端介面預設不可見，避免非自願揭露。

四、資料離開平台之後，責任鏈沒有斷

研究者按下下載的那一刻，世界上就存在兩份互相獨立的資料。 平台無法伸手到別人的電腦裡刪檔，但可以讓這件事有紀錄、有期限、有後果。 每一筆匯出都有完整的生命週期：

申請匯出 → 電子簽署同意書 → 下載 → 保管 → 銷毀聲明（或「研究仍進行中」展延）

• 研究者銷毀檔案後，於該筆匯出的紀錄頁按下「聲明已銷毀」，系統記錄聲明時間與 IP 位址。
• 研究仍在進行者可申請展延，銷毀期限重新起算一年；展延同樣留存紀錄。
• 匯出滿十一個月未表態者，系統寄送提醒信；滿一年仍未表態者，必須先逐筆處理完畢，才能建立新的匯出任務。
• 每筆匯出都有專屬紀錄頁可列印，載明匯出時間、資料範圍、同意書版本與簽署紀錄、下載情形、銷毀聲明時間，可直接附於研究結案報告。

這裡有一條我們畫得很清楚的界線：銷毀聲明屬於研究者的意思表示。 平台無法驗證他人裝置上的檔案是否確實刪除，因此平台記錄並存證的是 「某人於某時聲明已銷毀」這個事實，不出具「檔案已銷毀」的事實證明。 完整說明見研究結案資料處理說明。

五、把開關交回使用者手上

制度如果只拘束教師與研究者，被記錄的一方仍然只是被處理的對象。所以有一部分控制權必須直接交到使用者手上：

• 研究參與與課程成績完全脫鉤。這是平台唯一一條不容妥協的規定：學生不簽署研究同意、或事後撤回，課照上、AI 照用、成績照算。任何功能、文案與通知都不得暗示研究參與會影響成績或權益。
• 兩種研究資料，兩種同意基礎。穿戴生理、性別調查、腦神經感測、深度訪談等新蒐集研究一律 opt-in，沒簽就不蒐集。既有平台紀錄（AI 對話、學習歷程）的回溯性分析，則依倫理委員會核准的「回溯性資料免除同意」標準，以去識別化資料進行——因為這些紀錄當初是教學服務的正常運作產物，並非為研究而蒐集。使用者一旦撤回研究同意，其資料即自後續匯出中排除。
• AI 個人化的注入來源由本人決定。在AI 隱私設定中，使用者可逐項關閉哪些個人化資料會被寫進 AI 對話的系統提示——AI 記憶、學習歷程記憶、學習畫像（四類細項）、生理感知。關掉就是真的不注入。
• 刪除權屬於當事人本人。直接識別的個人資料於請求後三十日內永久刪除。這項權利只有當事人本人能行使；授課教師或研究者不得以計畫結案為由，代為請求刪除其帳號資料。
• 撤回同意隨時有效，且不影響學業成績與課程權益。

我們刻意不做的四件事

治理不只是列出做了什麼，也包括明講不做什麼——並且讓別人可以拿這幾條回頭檢查我們：

1. 不出具自己無法驗證的證明。包括對審查機關的要求也是如此。能存證的是聲明，就不謊稱是事實證明。
2. 治理文件只描述已經實作的機制，規劃中的不列入。不用未來式的承諾換取現在的信任。
3. 不以參與研究與否作為任何評量依據。師生關係本就不對等，成績是最強的槓桿，因此這條沒有例外。
4. 公開版不另抄一份。同意書公開頁直接讀取供簽署使用的同一份資料來源，避免兩份文本隨時間漂移，讓「公開可查」變成有名無實。

都可以查證

以上每一項都對應到公開文件，不需要來信申請就能讀： 研究倫理審查摘要、 四份同意書全文、 隱私與資料保存政策、 研究結案資料處理說明、 次處理者清單、 跨法域合規對照表。 研究倫理案號可直接向核准機關查證。

這套規範不是終點，也不會是最後一版。 若您在閱讀後發現不足之處、或認為某條界線畫得不對，歡迎來信 [email protected] 指出—— 外部的檢視正是這些文件公開的用意。