Zgłaszanie incydentów: AI przygotowuje projekt, człowiek zgłasza

Zasady zgłaszania według jurysdykcji

To, co podlega zgłoszeniu, ma własne definicje, a australijskie stany i terytoria mają własne organy nadzoru i własny sposób przyjęcia przepisów modelowych. Proszę zapoznać się z wytycznymi właściwego organu; ta strona ich nie zastępuje.

Incydenty tworzą też zapisy. W USA pracodawcy zatrudniający więcej niż 10 pracowników prowadzą OSHA Forms 300, 300A i 301 (formularze ewidencji urazów i chorób związanych z pracą), przy czym niektóre branże są z tego wyłączone. W australijskim budownictwie, według Safe Work Australia, odpowiednią ocenę ryzyka, plan WHS i safe work method statements (SWMS, opisy bezpiecznych metod pracy) przechowuje się „przez dwa lata po incydencie”.

Naruszenie ochrony danych to inny rodzaj incydentu. W Australii program Notifiable Data Breaches (obowiązek zgłaszania naruszeń ochrony danych) wymaga od objętych nim organizacji powiadomienia osób, których naruszenie dotyczy, oraz OAIC (australijskiego urzędu ds. informacji i ochrony prywatności), gdy naruszenie może prawdopodobnie spowodować poważną szkodę. Obowiązuje ta sama zasada: ocenia i zgłasza człowiek.

Pierwsza godzina: AI poza ścieżką krytyczną

„Niezwłocznie” i „najszybszym możliwym sposobem” oznaczają telefon lub własny kanał organu nadzoru, wykorzystany przez człowieka, gdy tylko dowie się o zdarzeniu. Nikt nie powinien czekać na projekt przygotowany przez AI, zanim dokona zgłoszenia. Rozsądne ustawienie:

• Państwa procedura postępowania przy incydentach wskazuje, kto zgłasza i jak, i nie zależy od dostępności jakiegokolwiek oprogramowania.
• AI może pomóc szybko znaleźć procedurę i dane kontaktowe organu nadzoru, gdy ktoś zapyta w Teams lub SMS-em.
• Gdy jedna osoba zgłasza, inne mogą na bieżąco przekazywać AI fakty: co się stało, kiedy, gdzie, kogo dotyczyło, co zrobiono. AI prowadzi notatkę z oznaczeniem czasu tego, co mu przekazano.
• Jeśli organ nadzoru poprosi o pisemne uzupełnienie, AI przygotowuje jego projekt na podstawie tych notatek do sprawdzenia przez osobę odpowiedzialną.

Po zgłoszeniu: raporty, rejestry i działania

Większość administracji związanej z incydentem odbywa się w kolejnych dniach i tygodniach. Tu pracownik AI w Microsoft 365 naprawdę się przydaje:

• Projekt raportu z incydentu. Sporządzony na podstawie przekazanych notatek, zdjęć i oświadczeń, według Państwa własnego szablonu w Wordzie.
• Wpis do rejestru. Proponowany wpis w rejestrze incydentów (Excel lub lista SharePoint) do Państwa zatwierdzenia.
• Zabezpieczenie dokumentacji. Przypomnienie, by dokumenty związane z incydentem, takie jak SWMS, ocena ryzyka i plan WHS dla budowy, przechowywać razem i nie nadpisywać.
• Dalsze postępowanie wyjaśniające. Prośby do świadków i przełożonych o oświadczenia, z przypomnieniami aż do ich otrzymania.
• Działania korygujące. Lista z właścicielami i terminami, przypomnienia o zbliżających się terminach oraz notatka do rejestrów ryzyk i zagrożeń tam, gdzie zmieniają się środki kontroli.
• Roczne rejestry. U pracodawców w USA, którzy prowadzą rejestry OSHA, wpisy z całego roku zasilają podsumowanie i elektroniczne przekazanie w Państwa kalendarzu sprawozdawczym.

The Everything pyta o zgodę, zanim wyśle cokolwiek ważnego, więc nic nie trafia do organu nadzoru, ubezpieczyciela ani członka rodziny bez zatwierdzenia przez człowieka.

Co pozostaje przy człowieku

• Pierwsza pomoc, reagowanie w sytuacji zagrożenia i zabezpieczenie miejsca. Zawsze na pierwszym miejscu.
• Decyzja, czy zdarzenie podlega zgłoszeniu. AI może pokazać zapisane przez Państwa definicje; decyzja należy do Państwa.
• Dokonanie zgłoszenia. Telefonicznie lub kanałem organu nadzoru, przez osobę wskazaną w Państwa procedurze.
• Treść raportu. Projekt to punkt wyjścia. Osoba odpowiedzialna potwierdza fakty i podpisuje.
• Rozmowa z poszkodowanym pracownikiem i jego rodziną. To nigdy nie jest zadanie dla AI.

Zanim Państwo zaczną

The Everything działa w Państwa dzierżawie Microsoft 365 (tenant) z wąsko określonymi uprawnieniami, ale Państwa dane opuszczają dzierżawę w celu przetwarzania przez AI. Polityka prywatności wymienia Microsoft (Azure OpenAI) i OpenAI jako dostawców AI i zaznacza, że dostawcy mogą przetwarzać informacje poza Państwa krajem. Publiczna witryna nie deklaruje żadnej certyfikacji, takiej jak SOC 2 czy ISO 27001, ani nie wskazuje kraju hostingu.

Dokumentacja incydentów często zawiera informacje o zdrowiu i dane osób poszkodowanych, które należą do najbardziej wrażliwych danych w firmie. Przed udostępnieniem ich jakiemukolwiek narzędziu AI warto sprawdzić obowiązki w zakresie prywatności, ubezpieczenia wypadkowego pracowników i przechowywania dokumentacji, a dostęp ograniczyć do potrzebnych folderów i list.

Najczęściej zadawane pytania