Notificação de incidentes: a IA redige, uma pessoa notifica

As regras de notificação, por jurisdição

O que conta como de notificação obrigatória tem definições próprias, e os estados e territórios australianos têm seus próprios órgãos reguladores e sua própria adoção das leis-modelo. Leia as orientações do seu órgão regulador; esta página não as substitui.

Incidentes também geram registros. Nos EUA, empregadores com mais de 10 empregados mantêm os OSHA Forms 300, 300A e 301 (formulários de registro de lesões e doenças ocupacionais), com alguns setores isentos. Na construção civil australiana, a Safe Work Australia informa que a avaliação de riscos pertinente, o plano de WHS e as SWMS (safe work method statements, declarações de métodos de trabalho seguro) são guardados “por dois anos após o incidente”.

Um vazamento de dados é outro tipo de incidente. Na Austrália, o regime Notifiable Data Breaches (notificação obrigatória de vazamentos de dados) exige que as organizações abrangidas notifiquem as pessoas afetadas e o OAIC (o órgão australiano de informação e proteção de dados) quando um vazamento tiver probabilidade de causar dano grave. A mesma regra vale: uma pessoa avalia e notifica.

A primeira hora: mantenha a IA fora do caminho crítico

“Imediatamente” e “pelo meio mais rápido possível” significam uma ligação telefônica ou o próprio canal do órgão regulador, feita por uma pessoa, assim que ela toma conhecimento. Ninguém deve esperar uma minuta da IA antes de notificar. Uma configuração sensata:

• O seu procedimento de incidentes define quem notifica e como, e esse procedimento não depende de nenhum software estar disponível.
• A IA pode ajudar alguém a encontrar rapidamente o procedimento e os contatos do órgão regulador quando solicitada no Teams ou por SMS.
• Enquanto a pessoa notifica, outras podem passar à IA os fatos conforme chegam: o que aconteceu, quando, onde, quem, o que foi feito. Ela mantém uma anotação com data e hora do que lhe foi informado.
• Se o órgão regulador pedir um complemento por escrito, a IA o redige a partir dessas anotações para a pessoa responsável revisar.

Depois da notificação: relatórios, registros e ações

A maior parte da rotina administrativa de um incidente acontece nos dias e semanas seguintes. É aqui que um colaborador de IA no Microsoft 365 mostra o seu valor:

• Minuta do relatório do incidente. Montada a partir das anotações, fotos e depoimentos que você fornecer, no seu próprio modelo do Word.
• Item no registro. Um item proposto no seu registro de incidentes (Excel ou uma lista do SharePoint) para você aprovar.
• Preservação de registros. Um lembrete para guardar os documentos ligados ao incidente, como as SWMS, a avaliação de riscos e o plano de WHS de uma obra, arquivados juntos e sem ser sobrescritos.
• Acompanhamento da investigação. Pedidos de depoimentos a testemunhas e supervisores, com lembretes até que cheguem.
• Ações corretivas. Uma lista com responsáveis e prazos, lembretes à medida que as datas se aproximam e uma nota para os registros de riscos e de perigos quando os controles mudam.
• Registros anuais. Para empregadores dos EUA que mantêm os registros da OSHA, os itens do ano alimentam o resumo e o envio eletrônico do seu calendário de relatórios.

O The Everything pede confirmação antes de enviar qualquer coisa importante, então nada é enviado a um órgão regulador, a uma seguradora ou a um familiar sem a aprovação de uma pessoa.

O que fica com uma pessoa

• Primeiros socorros, resposta a emergências e tornar o local seguro. Sempre em primeiro lugar.
• Decidir se é de notificação obrigatória. A IA pode mostrar as definições que você tiver armazenado; a decisão é sua.
• Fazer a notificação. Por telefone ou pelo canal do órgão regulador, pela pessoa que o seu procedimento indicar.
• O que o relatório diz. A minuta é um ponto de partida. A pessoa responsável confirma os fatos e assina.
• Conversar com o trabalhador lesionado e a família dele. Isso nunca é tarefa para uma IA.

Antes de começar

O The Everything funciona dentro do seu locatário (tenant) do Microsoft 365 com permissões estritamente delimitadas, mas seus dados saem do locatário para o processamento por IA. A política de privacidade dele cita a Microsoft (Azure OpenAI) e a OpenAI como fornecedoras de IA e informa que os fornecedores podem processar informações fora do seu país. O site público não declara nenhuma certificação, como SOC 2 ou ISO 27001, e não informa um país de hospedagem.

Os registros de incidentes costumam conter informações de saúde e dados de pessoas lesionadas, que estão entre os dados mais sensíveis que uma empresa tem. Verifique suas obrigações de privacidade, de seguro de acidentes de trabalho e de guarda de registros antes de dar a qualquer ferramenta de IA acesso a eles, e limite o acesso às pastas e listas de que ela precisa.

Perguntas frequentes