Artificiële intelligentie in externe preventiedienst: ondersteuning met een helder kader

Cohezio is een Externe Dienst voor Preventie en Bescherming op het Werk, georganiseerd als vzw en actief in zowel de privésector als de publieke sector in België. Als bedrijf telt Cohezio meer dan 600 medewerkers, waaronder arbeidsartsen, preventieadviseurs voor psychosociale aspecten, veiligheidsdeskundigen, ergonomen en arbeidshygiënisten, en waakt het over het welzijn van ruim 505.000 werknemers in meer dan 23.000 aangesloten organisaties. Cohezio behoort daarmee tot de drie grootste externe preventiediensten van het land.

Cohezio ondersteunt werkgevers en werknemers op een breed terrein: arbeidsveiligheid, medisch gezondheidstoezicht, psychosociaal welzijn, ergonomie en milieuaspecten van de arbeidsplaats. Die begeleiding gaat gepaard met een aanzienlijke documentaire last: risicoanalyses, verslagen van werkplekbezoeken, medische dossiers en periodieke rapportage vragen veel tijd van preventieadviseurs en arbeidsartsen. Artificiële intelligentie kan op die werklast inspelen, maar alleen als de inzet zorgvuldig omkaderd is.

Cohezio zet AI in als assistentietool, niet als autonome beslisser. Concreet ondersteunt AI bij:

• het structureren van gespreksverslagen en feitelijke notities;
• het produceren van een eerste versie van syntheses en rapporten;
• het bewaken van consistentie in redactie;
• het versnellen van repetitieve taken met een beperkte menselijke meerwaarde.

Die hulp verlaagt de documentaire last voor onze preventieadviseurs en maakt tijd vrij voor werk dat menselijke expertise vraagt, zoals de contextuele beoordeling, de (technische) risicoanalyses, de ethische afweging en de directe interactie met werknemers. Binnen Cohezio wordt voor drie categorieën het gebruik van AI uitdrukkelijk uitgesloten:

• het nemen van medische beslissingen;
• de finale psychosociale evaluaties;
• aanbevelingen die zonder menselijke validatie rechtstreeks in concrete maatregelen resulteren.

De Europese AI-verordening¹ (de AI Act) legt bijkomende verplichtingen op aan systemen in de hoog-risicocategorie. Bijlage III van de AI Act somt die categorieën op. Toepassingen in de arbeidsomgeving, de gezondheidszorg en sociale diensten staan daarin uitdrukkelijk vermeld.

Een externe preventiedienst kan niet zonder meer stellen dat zijn AI-gebruik enkel ter assistentie is en daardoor buiten de hoog-risicoclassificatie valt. De aard en het doel van de toepassing bepalen de classificatie, niet de graad van autonomie. De preventiedienst classificeert elk AI-gebruik daarom zorgvuldig voor de ingebruikname. Voor toepassingen die de dienst als hoog risico kwalificeert, gelden onder andere:

• een continu risicobeheer doorheen de volledige levenscyclus van het systeem;
• geautomatiseerde logging (het geautomatiseerd bijhouden van logboeken voor traceerbaarheid en audit);
• effectief menselijk toezicht door bevoegde en opgeleide medewerkers;
• technische robuustheid en cyberveiligheid afgestemd op het risiconiveau;
• transparantie naar betrokken partijen wanneer de regelgeving dat vereist.

Gegevens over gezondheid, psychosociaal welzijn en arbeidsomstandigheden zijn geen gewone bedrijfsdata. Ze kunnen kwetsbare situaties van werknemers blootleggen en een analysefout of een ongeoorloofde toegang heeft een directe menselijke impact. Cohezio hanteert daarvoor altijd een streng kader, ongeacht of AI betrokken is: dataminimalisatie (enkel de strikt noodzakelijke gegevens verwerken), strikte toegangscontrole, logging van verwerkingen en verplichte menselijke validatie bij elke beoordeling die een individu rechtstreeks raakt. AI-gebruik in processen die dergelijke gegevens verwerken, versterkt die vereisten, het vervangt ze niet.

Een concreet voorbeeld betreft de namen die in verslagen voorkomen. Wanneer een arbeidsarts of preventieadviseur een synthese van een rapport opstelt, kan daarin een naam van een werknemer verschijnen. Cohezio maakt daarbij een duidelijk onderscheid naargelang de omgeving waarin de AI draait. In de algemene Microsoft-omgeving worden persoonsgegevens en gevoelige gegevens vooraf geanonimiseerd (alle identificeerbare elementen verwijderd) of gepseudonimiseerd (namen vervangen door een kenmerk waarmee de persoon niet rechtstreeks herkenbaar is). Voor de synthese van verslagen zet Cohezio daarentegen een eigen, intern ontwikkelde AI-toepassing in: die draait volledig in een interne omgeving, waardoor de gegevens binnen de organisatie blijven, het huis niet verlaten en versleuteld (cryptografisch beveiligd) bewaard worden.

Die aanpak sluit rechtstreeks aan bij de Algemene Verordening Gegevensbescherming (de AVG, in het Engels GDPR genoemd). De principes van dataminimalisatie, doelbinding en beveiliging van persoonsgegevens vormen het fundament van elke verwerking, met of zonder AI. Om die beveiliging verder te versterken, werkt Cohezio toe naar een certificering volgens de internationale norm ISO 27001, een standaard voor het beheer van informatiebeveiliging die organisaties helpt om risico’s rond vertrouwelijkheid, integriteit en beschikbaarheid van gegevens systematisch te beheersen.

Een verantwoord AI-gebruik vertrekt van structuur, niet van technologie. Cohezio organiseert zijn AI-governance in vijf lagen.

• Als eerste maken we een inventaris van alle AI-toepassingen en kwalificeren we per geval of de hoog-risicoclassificatie van toepassing is. Die kwalificatie stuurt de concrete maatregelen aan.
• Als tweede organiseren we risicobeheersing voor én na de ingebruikname. Dat omvat het identificeren van risico’s, het analyseren van redelijkerwijs voorzienbare scenario’s van verkeerd gebruik en het periodiek herzien van de genomen maatregelen.
• Als derde borgen we de traceerbaarheid. Logboeken registreren relevante gebeurtenissen op een manier die bruikbaar is voor interne opvolging en externe controle, met bewaartermijnen conform de minimumvereisten van de AI Act.
• Als vierde formaliseren we bij Cohezio het menselijk toezicht. Aangewezen en opgeleide medewerkers dragen de verantwoordelijkheid voor de opvolging van AI-systemen en beschikken over de bevoegdheid en de middelen om een systeem te onderbreken wanneer dat nodig is.
• Als vijfde investeert Cohezio structureel in AI literacy. De AI Act verplicht organisaties die AI inzetten om ervoor te zorgen dat betrokken medewerkers over een voldoende niveau van kennis en begrip beschikken, afgestemd op hun rol. Medewerkers die AI-systemen gebruiken of er toezicht op houden, begrijpen wat het systeem doet, kennen de beperkingen ervan en weten wanneer ze moeten ingrijpen.

Wanneer de regelgeving het vereist, voert Cohezio voor de eerste ingebruikname van een hoog-risicosysteem bovendien een Fundamentele Rechten Impact Analyse (FRIA) uit. Die analyse brengt in kaart welke gevolgen een AI-toepassing kan hebben voor de grondrechten van betrokken personen en vormt een aanvulling op andere verplichte evaluaties, zoals de gegevensbeschermingseffectbeoordeling op grond van de Algemene Verordening Gegevensbescherming.