Algoritmisch roosteren in het ziekenhuis: regel OR, DPIA en menselijke correctie vóór de pilot

Behandel de pilot als een voorgenomen personeelsregeling

De SER legt uit dat de ondernemingsraad instemmingsrecht heeft bij regelingen voor het verwerken van persoonsgegevens van werknemers en bij voorzieningen die aanwezigheid, gedrag of prestaties kunnen waarnemen of controleren. Een structurele wijziging in arbeids- en rusttijden is eveneens een onderwerp waarvoor medezeggenschap relevant is. De precieze route hangt af van wat het ziekenhuis met de roosterapp vastlegt en beslist.

Een pilot neemt dat belang niet weg. Juist in de pilot worden gegevensvelden, wegingsregels, standaardinstellingen en uitzonderingen gekozen die later moeilijk te veranderen zijn. Beschrijf daarom vóór de test welk voorgenomen besluit voorligt, welke onderdelen nog openstaan en waar de OR daadwerkelijk invloed op kan uitoefenen. Vraag niet pas om instemming wanneer de leverancier al is gekozen en de werkwijze feitelijk vaststaat.

Maak zichtbaar wat het systeem werkelijk doet

Gebruik geen globale omschrijving als ‘slimmer plannen’. Maak een gegevens- en besliskaart. Noteer per invoer wie de bronhouder is, waarom het gegeven nodig is, hoe lang het wordt bewaard en of het systeem er alleen een waarschuwing, een rangorde of een concreet roosteradvies van maakt. Leg ook vast welke actie een planner standaard uitvoert na die uitkomst.

Ziekenhuisroosters combineren vaak contracturen, bevoegdheden, teambezetting, diensten, verlof en individuele voorkeuren. Voeg niet automatisch verzuimdetails, medische informatie, leeftijd, privéverplichtingen of historische beoordelingen toe omdat het systeem daar technisch mee kan rekenen. Een organisatorische beschikbaarheidsbeperking kan relevant zijn zonder de onderliggende persoonlijke of medische reden in de roosteromgeving op te nemen.

• welke gegevens rechtstreeks uit HR-, rooster- en opleidingssystemen komen;
• welke voorkeuren medewerkers zelf invoeren en hoe vrijwillig dat werkelijk is;
• welke harde veiligheids- of cao-randvoorwaarden nooit mogen worden overschreven;
• welke zachte voorkeuren tegen elkaar worden afgewogen en met welk gewicht;
• welke uitkomsten zichtbaar zijn voor planner, leidinggevende en medewerker;
• welke gegevens of conclusies terugstromen naar andere personeelsprocessen.

Voer de privacytoets uit vóórdat echte medewerkers meedoen

De Autoriteit Persoonsgegevens benadrukt dat de AVG geldt wanneer een algoritme persoonsgegevens verwerkt. Het ziekenhuis moet onder meer doel, grondslag, noodzakelijkheid, transparantie, beveiliging en rechten van betrokkenen kunnen uitleggen. Een leverancierscontract of technisch dashboard neemt die verantwoordelijkheid niet over.

Een DPIA is verplicht wanneer de verwerking waarschijnlijk een hoog privacyrisico oplevert. Beoordeel dat vóór de pilot en documenteer waarom een DPIA wel of niet nodig is. Gebruik geen echte rooster-, voorkeurs- of verzuimgegevens in een vrijblijvende proefomgeving voordat die beoordeling, toegangsbeperking, bewaartermijn en verwijderroute zijn geregeld.

Houd wettelijke grenzen buiten de optimalisatie

Een optimalisator mag niet zelf bepalen welke arbeidsrechtelijke, cao- of veiligheidsgrens rekbaar is. Zet arbeidstijd, rust, vereiste kwalificaties, minimale veilige bezetting en individueel vastgelegde beperkingen als gecontroleerde randvoorwaarden buiten de vrije wegingsruimte. Laat een fout of ontbrekend gegeven leiden tot blokkade of menselijke beoordeling, niet tot een stilzwijgende aanneming.

Maak ook duidelijk wat het systeem níét kan beoordelen. Een mathematisch sluitend rooster kan nog steeds onuitvoerbaar zijn door patiëntzwaarte, onverwachte opleidingsbehoefte, teamervaring of opeenstapeling van belastende diensten. Geef planner en leidinggevende daarom een expliciete professionele toets voordat een voorstel wordt gepubliceerd.

Ontwerp menselijke correctie die in de praktijk werkt

Een knop waarmee een planner een uitkomst kan wijzigen is niet genoeg wanneer medewerkers niet weten dat de uitkomst uit een algoritmische afweging komt of wanneer afwijking feitelijk wordt ontmoedigd. Leg vast wie mag corrigeren, op welke gronden, binnen welke termijn en hoe een medewerker een onjuiste invoer of onredelijke uitkomst kan laten herstellen.

Bewaar voor controle de relevante versie van regels, brongegevens en menselijke aanpassing zonder een nieuw schaduwpersoneelsdossier te bouwen. Gebruik die informatie om patronen te onderzoeken: worden bepaalde medewerkers structureel minder vaak op voorkeursdiensten geplaatst, krijgen deeltijders onevenredig veel losse diensten of corrigeert één afdeling veel vaker dan andere? Een patroon is aanleiding voor onderzoek, niet automatisch bewijs van discriminatie of fout beleid.

Geef de pilot meetbare stop- en succescriteria

Meet niet alleen tijdwinst en het aantal gevulde diensten. Leg vooraf vast wat een acceptabele verdeling van nachten, weekenden, korte wissels, voorkeuren en correcties is. Vergelijk met een relevante uitgangsperiode en controleer resultaten per contractvorm, team en andere passende groepen, zonder daarvoor onnodig nieuwe gevoelige datasets te maken.

Formuleer stopcriteria voor foutieve bevoegdheidstoewijzing, overschrijding van rustgrenzen, onverklaarbare scheefgroei, beveiligingsincidenten en een te hoog aandeel handmatige reparaties. Spreek af wie de pilot kan pauzeren en wie beslist over uitbreiding. Een pilot die alleen technisch wordt geëvalueerd levert geen voldoende basis voor organisatiebrede invoering.

Regel leverancier, beheer en klachten vóór opschaling

Vraag de leverancier welke gegevens het model of de regels gebruiken, waar verwerking plaatsvindt, of gegevens worden hergebruikt voor productverbetering en hoe versies en uitkomsten zijn te reconstrueren. Leg rollen, beveiliging, subverwerkers, verwijdering, incidentmelding en ondersteuning bij inzage of correctie contractueel vast. Accepteer geen black-boxantwoord op vragen die het ziekenhuis zelf aan medewerkers moet kunnen uitleggen.

Wijs intern één proceseigenaar aan voor het roosterbeleid en één technisch eigenaar voor configuratie en wijzigingen. Laat nieuwe gegevensvelden of wegingsregels opnieuw door HR, privacy, informatiebeveiliging en medezeggenschap beoordelen wanneer hun effect materieel verandert. Bied medewerkers een herkenbare route voor vragen en bezwaren en koppel terug wat met signalen is gedaan.