Nezávislí vývojáři a freelanceři

Bezpečnostní povinnosti, které vás již platí

Pokud jste freelancer nebo nezávislý vývojář, který zpracovává data klientů, nemůžete se vyhnout bezpečnostnímu nařízení, pokud jste malí. Povinnosti zpracovatele podle GDPR, povinnosti nasazujícího podle zákona o umělé inteligenci EU a požadavky na bezpečnost vašich klientů se na vás vztahují přímo – dnes, v aktuální velikosti. Zde je, co již platí, pojmenované nařízení po nařízení, a co je v současné době vystaveno na vašem vlastním účtu.

Co na vás již platí

GDPR: jste zpracovatel osobních údajů – osobně

Když vám klient předá osobní údaje – databázi uživatele, produkční systém, export – jednáte jako zpracovatel osobních údajů (a někdy také jako správce) podle GDPR. Tento stav nevyžaduje společnost: platí pro „fyzickou či právnickou osobu". Zavazuje vás ke zpracování na základě smlouvy, k zavedení vhodných bezpečnostních opatření pro údaje, které máte, a k oznámení klientovi bez zbytečného odkladu, pokud je porušen – a vystavuje vás nároku na náhradu a správním pokutám.

Základna: GDPR článek 4 (definice), článek 28 (zpracování na smlouvu), článek 32 (bezpečnost zpracování), článek 33 (oznámení porušení), články 82–83 (odpovědnost a správní pokuty až do 20 milionů EUR nebo 4% roční celosvětového obratu, podle toho, která je vyšší).

Zákon EU o umělé inteligenci: nasazování umělé inteligence pro klienty má povinnosti

Pokud vaše práce pro klienty zahrnuje uvedení systémů umělé inteligence do provozu – asistent v produktu klienta, agent umělé inteligence automatizující pracovní postup – zákon EU o umělé inteligenci ukládá povinnosti nasazujícím: těm, kdo používají systémy umělé inteligence pod svou vlastní autoritou v profesionálním kontextu. Které povinnosti se vztahují, závisí na kategorii rizika systému, ale „Já jsem to pouze integroval" je přesně role, kterou kategorie nasazujícího pokrývá.

Základna: Zákon EU o umělé inteligenci článek 26 (povinnosti nasazujících vysokorizikových systémů umělé inteligence), článek 4 (gramotnost umělé inteligence), článek 99 (postihy).

Vaši podnikatelé klienti musí od vás sbírat bezpečnostní důkazy

Společnosti provozované podle SOC 2, ISO 27001 nebo GDPR článku 28 provozují programy správy prodejců, které auditorři skutečně kontrolují – a tyto programy nerozlišují mezi 500 osobami prodejcem a jednoosobou prodejcem. Proto příchází bezpečnostní dotazník před smlouvou. Freelanceři, kteří mohou odpovědět s důkazy, se zavřou rychleji než freelanceři, kteří improvizují.

Základna: smluvní – smlouvy o zpracování údajů a bezpečnostní požadavky prodejců, které jsou vaši klienti povinni nařizovat komukoli, komu svěří údaje, včetně jednotlivců.

Porušený klientský projekt je skutečné obchodní riziko

Bezpečnostní incident v klientském projektu může znamenat přímou odpovědnost podle klauzule o odškodnění vaší smlouvy, může znamenat odpovědnost zpracovatele podle GDPR články 82, kde jsou zahrnuty osobní údaje, a může znamenat ztrátu klienta a reference, která s ním přišla. Pro jednoosobovou firmu je reputační aktivum samotný obchod. Toto je riziko, ne jistota – ale je to běžný řetězec důsledků, když zapomenuté pověření se změní na incident.

Základna: GDPR článek 82 (právo na náhradu); vaše vlastní smlouvy o službách.

Co je v současné době vystaveno na vašem účtu

Každá výše uvedená povinnost předpokládá stejnou první otázku: co má přístup k místu, kde je vaše práce pro klienty živá? Pro většinu nezávislých vývojářů toto místo je osobní účet GitHub – a hromadí přístup léta. Všechno níže uvedené je strojově čitelné z vlastního GitHub API:

Nainstalované GitHub aplikace

Boti nasazení, nástroje CI, asistenti umělé inteligence – každý drží grant oprávnění, který jste jednou schválili. Někteří drží zápis nebo admin přes vše, co vlastníte; někteří patří projektům, které skončily давно.

Klíče nasazení

Nepoužívané SSH pověření na serverech. Klíč pro čtení a zápis v úložišti, které potřebovalo pouze čtení, je cesta pro vkládání kódu, pokud je tento server někdy narušen.

Spolupracovníci

Lidé přidáni během spoluprací, které od té doby skončily, stále drží právo psaní – včetně v úložištích, která jsou veřejná.

Veřejná úložiště

Která vaše úložiště jsou veřejná a kdo do nich může tlačit, je otázka inventáře, na kterou se większost vývojářů z paměti nedokázat odpovědět.

Klíče prodejců umělé inteligence, které překonávají projekty

OpenAI, Anthropic, Mistral nebo Cursor účet za vaše vedlejší projekty hromadí klíče API a místa dlouho poté, co projekt skončil. Pohled na řízení umělé inteligence 8200.dev označuje zastaralé a celoorganizační klíče, klíče, které překonaly změnu role, a místa, která nikdo nepoužívá – z vlastních API správce prodejců, pouze pro čtení.

Vidět to, pak se rozhodnout

Připojte svůj osobní účet GitHub pouze pro čtení a získejte inventář: každá nainstalovaná aplikace a její granty, každý klíč nasazení a zda je pouze pro čtení, každý spolupracovník, každé veřejné úložiště – s pozváním seřazeným podle závažnosti. Bezplatná úroveň zobrazuje vaše top 3 zjištění v plné výši. Žádný zákon nevyžaduje spuštění skenování; výše uvedené povinnosti se vztahují buď tak nebo onak. To, co skenování změní, je, zda můžete odpovědět na otázky, které znamenají.

Skenujte svůj účet zdarma Přečtěte si celý článek →

Rozsahy pouze pro čtení. Nikdy váš zdrojový kód. Žádná kreditní karta.

Tato stránka je obecné informace o nařízeních, která se běžně vztahují na nezávislé vývojáře a freelancery; nejde o právní poradenství. Jak se jednotlivá nařízení vztahují na vaši konkrétní situaci, závisí na skutečnostech specifických pro vás – v tom si poraďte s právníkem.