Incidentmelding: de AI stelt op, een mens meldt

De meldregels per jurisdictie

Wat als meldplichtig geldt, heeft eigen definities, en de Australische staten en territoria hebben hun eigen toezichthouders en nemen de modelwetgeving elk op hun eigen manier over. Lees de richtlijnen van uw toezichthouder; deze pagina vervangt die niet.

Incidenten leiden ook tot vastleggingen. In de VS houden werkgevers met meer dan 10 werknemers de OSHA Forms 300, 300A en 301 bij (formulieren voor de registratie van arbeidsongevallen en beroepsziekten), waarbij sommige sectoren zijn vrijgesteld. In de Australische bouw worden volgens Safe Work Australia de betreffende risicobeoordeling, het WHS-plan en de safe work method statements (SWMS, werkmethodebeschrijvingen voor veilig werken) bewaard “gedurende twee jaar na het incident”.

Een datalek is een ander soort incident. In Australië verplicht de Notifiable Data Breaches-regeling (meldplicht datalekken) de organisaties die eronder vallen om getroffen personen en de OAIC (de Australische toezichthouder voor informatie en privacy) te informeren wanneer een lek waarschijnlijk tot ernstige schade leidt. Dezelfde regel geldt: een mens beoordeelt en meldt.

Het eerste uur: houd de AI buiten het kritieke pad

“Direct” en “via de snelst mogelijke weg” betekenen een telefoontje of het eigen kanaal van de toezichthouder, door een mens, zodra hij op de hoogte is. Niemand hoort op een AI-concept te wachten voordat hij meldt. Een verstandige inrichting:

• Uw incidentprocedure noemt wie meldt en hoe, en die procedure is niet afhankelijk van de beschikbaarheid van welke software dan ook.
• De AI kan iemand helpen de procedure en de contactgegevens van de toezichthouder snel te vinden als die er in Teams of per sms om vraagt.
• Terwijl de persoon meldt, kunnen anderen de AI de feiten geven zodra die binnenkomen: wat er gebeurde, wanneer, waar, wie, wat er is gedaan. Hij houdt een notitie met tijdstempels bij van wat hem is verteld.
• Als de toezichthouder om een schriftelijke opvolging vraagt, stelt de AI die op uit die notities, zodat de verantwoordelijke persoon hem kan controleren.

Na de melding: rapporten, registers en maatregelen

Het meeste incidentwerk gebeurt in de dagen en weken erna. Daar bewijst een AI-medewerker in Microsoft 365 zijn waarde:

• Concept incidentrapport. Opgebouwd uit de notities, foto's en verklaringen die u aanlevert, in uw eigen sjabloon in Word.
• Registerregel. Een voorgestelde regel in uw incidentenregister (Excel of een SharePoint List) ter goedkeuring.
• Vastleggingen bewaren. Een herinnering om de documenten die bij het incident horen, zoals de SWMS, de risicobeoordeling en het WHS-plan voor een bouwproject, samen te archiveren en niet te overschrijven.
• Opvolging van het onderzoek. Verzoeken aan getuigen en leidinggevenden om verklaringen, met herinneringen tot die binnen zijn.
• Corrigerende maatregelen. Een lijst met eigenaren en vervaldata, herinneringen als de data naderen, en een notitie bij de risico- en gevarenregisters waar beheersmaatregelen veranderen.
• Jaarlogboeken. Voor Amerikaanse werkgevers die OSHA-logboeken bijhouden, voeden de regels van het jaar de samenvatting en de elektronische indiening op uw rapportagekalender.

The Everything vraagt het eerst voordat er iets belangrijks naar buiten gaat, dus er gaat niets naar een toezichthouder, verzekeraar of familielid zonder dat een mens het goedkeurt.

Wat bij een mens blijft

• Eerste hulp, noodhulp en de locatie veilig maken. Altijd eerst.
• Bepalen of het meldplichtig is. De AI kan de definities tonen die u hebt opgeslagen; de beslissing is aan u.
• De melding doen. Telefonisch of via het kanaal van de toezichthouder, door de persoon die uw procedure aanwijst.
• Wat er in het rapport staat. Het concept is een begin. De verantwoordelijke persoon bevestigt de feiten en ondertekent.
• Het gesprek met de gewonde medewerker en diens familie. Dat is nooit een taak voor een AI.

Voordat u begint

The Everything draait binnen uw Microsoft 365-tenant (de eigen Microsoft-omgeving van uw organisatie) met nauw afgebakende rechten, maar uw gegevens verlaten de tenant wel voor AI-verwerking. Het privacybeleid noemt Microsoft (Azure OpenAI) en OpenAI als AI-aanbieders en vermeldt dat aanbieders informatie buiten uw land kunnen verwerken. De openbare website claimt geen certificering zoals SOC 2 of ISO 27001 (de internationale norm voor informatiebeveiliging) en noemt geen land waar de gegevens worden gehost.

Incidentvastleggingen bevatten vaak gezondheidsgegevens en gegevens van gewonde personen, en dat behoort tot de gevoeligste informatie die een bedrijf bezit. Controleer uw verplichtingen rond privacy, arbeidsongevallenverzekering en bewaring voordat u een AI-tool er toegang toe geeft, en beperk de toegang tot de mappen en lijsten die hij nodig heeft.

Veelgestelde vragen