Notificación de incidentes: la IA redacta, una persona notifica

Las reglas de notificación, por jurisdicción

Lo que se considera de notificación obligatoria tiene sus propias definiciones, y los estados y territorios australianos tienen sus propios reguladores y su propia adopción de las leyes modelo. Lea la guía de su regulador; esta página no la sustituye.

Los incidentes también generan registros. En Estados Unidos, los empleadores con más de 10 empleados llevan los OSHA Forms 300, 300A y 301 (formularios de registro de lesiones y enfermedades), con algunos sectores exentos. En la construcción australiana, Safe Work Australia indica que la evaluación de riesgos correspondiente, el plan de WHS y las declaraciones de métodos de trabajo seguro (SWMS) se conservan «durante dos años después del incidente».

Una brecha de datos es otro tipo de incidente. En Australia, el régimen Notifiable Data Breaches (notificación obligatoria de brechas de datos) exige a las organizaciones sujetas a él notificar a las personas afectadas y a la OAIC (Oficina del Comisionado de Información de Australia) cuando sea probable que una brecha cause un daño grave. Se aplica la misma regla: una persona evalúa y notifica.

La primera hora: mantenga la IA fuera del camino crítico

«Inmediatamente» y «por el medio más rápido posible» significan una llamada telefónica o el propio canal del regulador, a cargo de una persona, en cuanto tenga conocimiento. Nadie debería esperar a un borrador de la IA antes de notificar. Una configuración sensata:

• Su procedimiento de incidentes indica quién notifica y cómo, y ese procedimiento no depende de que ningún software esté disponible.
• La IA puede ayudar a alguien a encontrar rápidamente el procedimiento y los datos de contacto del regulador cuando se lo pide en Teams o por mensaje de texto.
• Mientras la persona notifica, otras pueden ir dándole a la IA los hechos a medida que llegan: qué ocurrió, cuándo, dónde, quién, qué se hizo. La IA guarda una nota con marca de tiempo de lo que se le dijo.
• Si el regulador pide un seguimiento por escrito, la IA lo redacta a partir de esas notas para que la persona responsable lo revise.

Después de la notificación: informes, registros y acciones

La mayor parte de la administración de un incidente se produce en los días y semanas siguientes. Aquí es donde un trabajador de IA en Microsoft 365 demuestra su valor:

• Borrador del informe del incidente. Elaborado a partir de las notas, fotos y declaraciones que usted le da, con su propia plantilla de Word.
• Entrada en el registro. Una entrada propuesta en su registro de incidentes (Excel o una lista de SharePoint) para que usted la apruebe.
• Conservación de registros. Un recordatorio para conservar los documentos vinculados al incidente, como las SWMS, la evaluación de riesgos y el plan de WHS de una obra, archivados juntos y sin sobrescribir.
• Seguimiento de la investigación. Solicitudes de declaraciones a testigos y supervisores, con recordatorios hasta que lleguen.
• Acciones correctivas. Una lista con responsables y fechas límite, recordatorios a medida que se acercan las fechas y una nota a los registros de riesgos y de peligros cuando cambian los controles.
• Registros anuales. Para los empleadores de Estados Unidos que llevan los registros de OSHA, las entradas del año alimentan el resumen y la presentación electrónica de su calendario de informes.

The Everything pregunta antes de enviar cualquier cosa importante, así que nada se envía a un regulador, una aseguradora o un familiar sin que una persona lo apruebe.

Lo que queda en manos de una persona

• Primeros auxilios, respuesta a emergencias y poner el lugar en condiciones seguras. Siempre lo primero.
• Decidir si es de notificación obligatoria. La IA puede mostrar las definiciones que usted tenga guardadas; la decisión es suya.
• Hacer la notificación. Por teléfono o por el canal del regulador, a cargo de la persona que indique su procedimiento.
• Lo que dice el informe. El borrador es un punto de partida. La persona responsable confirma los hechos y firma.
• Hablar con el trabajador lesionado y con su familia. Eso nunca es trabajo para una IA.

Antes de empezar

The Everything se ejecuta dentro de su inquilino (tenant) de Microsoft 365 con permisos estrictamente acotados, pero sus datos sí salen del inquilino para el procesamiento con IA. Su política de privacidad nombra a Microsoft (Azure OpenAI) y a OpenAI como proveedores de IA e indica que los proveedores pueden procesar información fuera de su país. El sitio público no declara ninguna certificación, como SOC 2 o ISO 27001, ni indica un país de alojamiento.

Los registros de incidentes suelen contener información de salud y datos de personas lesionadas, que están entre los datos más sensibles que tiene una empresa. Compruebe sus obligaciones de privacidad, de indemnización por accidentes laborales y de conservación de registros antes de dar acceso a ellos a cualquier herramienta de IA, y limite el acceso a las carpetas y listas que necesite.

Preguntas frecuentes