端側 AI 與 Apple Intelligence：資料留在哪裏

十一月家長晚會，一位小六家長舉手：「我女兒 iPad 上那個改英文句子的功能，她打的字會不會傳去美國？」負責回應的英文科副主任停頓了三秒，翻開手機設定頁，才發現自己也不確定答案——而這條問題，比「AI 會不會取代老師」更值得學校事先準備。

端側 AI 的私隱優勢不靠供應商口頭承諾，而是資料根本沒離開裝置。本課是本地部署模組的入門篇，承接第 22 課的校內伺服器，下一課會轉到 AI 講甚麼才安全。

---

抽屜、檔案室與中轉站

想像學生寫的句子是一份草稿。

雲端 AI 像把草稿送去校外檔案室代打：機器快、字體靚、長篇排版通常最好，但草稿離開過你的抽屜，經過傳送、經過他人系統、在對方伺服器上停留一段時間。你要信任整條鏈路。

端側 AI 像只在自家書桌抽屜裏修改：設備細、處理長文吃力、複雜任務力不從心，但草稿由頭到尾沒有離開那部 iPad 或 MacBook。

關鍵不在「檔案室承諾不看」，而在「草稿從未出門」。這叫結構性保障——比私隱政策條文更硬，因為它不依賴對方守不守規則。

Apple 的三層分法

Apple Intelligence 把上述取捨寫成三層，學校不必綁定品牌，但應學這套問法：

1. 裝置上處理。 改寫句子、整理通知、短摘要——由裝置內小模型完成，資料不離開手機或平板。
2. Private Cloud Compute。 任務超出裝置能力時，請求送往 Apple 專設伺服器；公開說明強調不保留使用者資料，並提供獨立研究人員檢視機制。
3. 外部模型。 再進一步的請求轉交第三方，系統須先徵求使用者同意。

校本資料政策可以照抄這個順序：先問這件事最少要把資料送多遠——能留裝置就留，要出裝置也要出到受控節點，再遠就要明示同意與用途。

能力天花板

端側 AI 有三個短期內不會消失的硬限制：

• 模型細。 裝置上通常是幾十億參數以下的小模型（見第 13 課），且經大幅量化（見第 21 課）。改寫一句英文可以，設計一整份探究活動則吃力。
• 記憶短。 一次能讀的文字量有限，無法吞下整份教育局課程文件。
• 不認識你的學校。 裝置模型沒有校本評分準則、通告格式或歷屆試題；要它「知道學校」，需要知識庫檢索（第 15 課），而那需要平台。

還有一項學校特別在意的：沒有教師監控。 裝置內建功能不會把學生對話交給班主任查閱，也不產生稽核紀錄。對學生使用場景，這往往是決定性缺口。

端側保障的是「資料有沒有出門」，不是「內容對不對、有沒有人看見」——後兩項仍要靠平台與校規。

校本分類練習

一間直資中學檢討 BYOD 政策時，輔導組與資訊組做了一次簡單分類，把學生可能碰到的 AI 功能逐項填進三欄：功能名稱 → 資料去哪裏 → 學校決定。

裝置內建文字改寫：資料留在裝置，允許，但學生守則註明「不是代寫」。裝置內建的雲端助手：資料傳到供應商，校內網絡封鎖，並向家長解釋原因。學校 Edor.ai 智能導師：推論在校內伺服器，允許，有守門、教師監控與紀錄。學生自行安裝的聊天程式：去向不明，校內封鎖，納入學術誠信指引。

這份清單後來附在家長通告後面，直接回答開場那位家長的問題。最有價值的不是結論，而是養成先問資料去哪裏的習慣——一旦這條問題變成本能，大部分政策爭議會自己收斂。

校園規模的同一原則

端側的核心是「資料不出設備」。整間學校的對應版本是「資料不出校園網絡」——這正是 Edor.ai 支援校內部署的原因。

學校可把整個平台放在校內伺服器或私有雲，功能與雲端版相同，並用學校網域接入。搭配本地 Ollama 供應商，指定模組的推論完全在校內完成。對資料政策明文寫「不得離開校園」的學校，這不是加分項，而是能不能用的前提。

也要說清楚：校內部署不等於自動安全；雲端版同樣加密儲存、按保留期清理。兩種部署的資料都屬於學校，可一鍵匯出。延伸閱讀：本地部署 vs 雲端部署、學生用 AI 的安全網。

容易走歪的地方

• 把裝置內建功能當成學校已批准。 學生守則沒寫清楚哪些開、哪些關，執行時就變成個別老師自行判斷。自查：翻開現行守則，能否在兩分鐘內找到「iPad 內建改寫功能是否允許用於評估作業」的明確句子？
• 以為端側就夠處理評分與個人資料。 改句子、查生字可以；寫評語、批改、處理 SEN 備註應回到有守門與紀錄的平台。自查：這個任務的輸出會不會進入正式學生檔案？會的話，端側工具就不該單獨完成。
• 只談私隱，不談可見性。 資料留在裝置，但螢幕仍可能被同學看到、裝置仍可能被借用。自查：你的課堂有沒有教學生「在公眾場合使用 AI 改寫時，先遮蓋個人資料」這類具體習慣？

動手做一次

做甚麼： 拿一部學校實際使用的 iPad 或 Mac（或你自己的 Apple 裝置），打開一個內建 AI 功能（例如改寫英文句子），輸入一句不含個人資料的測試句。同時在另一部裝置上開飛行模式再試一次——觀察功能是否仍可用。

交出甚麼： 一張三欄小表（手寫或試算表均可）：功能名稱、有網絡時是否可用、飛行模式下是否可用；再加一句你對「資料可能去哪裏」的判斷。

怎樣算做對： 能向家長用兩分鐘解釋資料流向；飛行模式仍可用則歸類「裝置端」，不可用則歸類「需雲端」。不確定時寫「待資訊組確認」。