Uafhængige udviklere og freelancere

Sikkerhedspligter, der allerede gælder for dig

Hvis du er freelancer eller uafhængig udvikler, der håndterer klientdata, kan du ikke fravælge sikkerhedsregulering ved at være lille. Processorbetingelser under GDPR, implementørbetingelser under EU AI Act og dine klienters kontraktlige sikkerhedskrav vedhefter dig direkte – i dag, på din nuværende størrelse. Her er, hvad der allerede gælder, navngivet regulering for regulering, og hvad der er i øjeblikket eksponeret på din egen konto.

Hvad der allerede gælder for dig

GDPR: du er en dataprocessor – personligt

Når en klient giver dig personoplysninger – en brugerdatabase, et produktionssystem, en eksport – handler du som dataprocessor (og nogle gange controller) under GDPR. Denne status kræver ikke et firma: den fastgøres til „en fysisk eller juridisk person". Det forpligter dig til at behandle under en kontrakt, til at implementere passende sikkerhedsforanstaltninger for de data, du holder, og til at underrette din klient uden urimelig forsinkelse, hvis det bliver krænket – og det udsætter dig for erstatningskrav og administrative bøder.

Grundlag: GDPR artikel 4 (definitioner), artikel 28 (behandling under kontrakt), artikel 32 (sikkerhed for behandling), artikel 33 (overtrædelsesmeddelelses), artikler 82–83 (ansvar og administrative bøder på op til €20 millioner eller 4% af årlig verdensomspændende omsætning, alt efter hvad der er størst).

EU AI Act: implementering af AI for klienter medfører forpligtelser

Hvis dit klientarbejde omfatter implementering af AI-systemer i produktion – en assistent i en klients produkt, en AI-agent, der automatiserer en arbejdsgang – pålægger EU AI Act implementørerne forpligtelser: de, der bruger AI-systemer under deres egen autoritet i en professionel sammenhæng. Hvilke forpligtelser, der gælder, afhænger af systemets risikokategori, men „jeg integrerede det bare" er præcis den implementørrolle, kategorien dækker.

Grundlag: EU AI Act artikel 26 (implementørpligter for højrisko-AI-systemer), artikel 4 (AI-kompetence), artikel 99 (sanktioner).

Dine virksomhedsklienter skal indsamle sikkerhedsbevis fra dig

Virksomheder, der opererer under SOC 2, ISO 27001 eller GDPR artikel 28, driver leverandørstyringsprogrammer, som deres revisorer faktisk kontrollerer – og disse programmer skelner ikke mellem en 500-persons leverandør og en en-persons leverandør. Det er derfor, sikkerhedsspørgsmålet kommer før kontrakten. Freelancere, der kan svare med bevis, lukker hurtigere end freelancere, der improviserer.

Grundlag: kontraktligt – databehandlingsaftaler og leverandørsikkerhedskrav, som dine klienter er forpligtet til at pålægge enhver, de giver data til, herunder personer.

Et krænket klientprojekt er en reel forretningsrisiko

En sikkerhedshændelse i et klientprojekt kan betyde direkte ansvar under din kontrakts indemnifikationsbestemmelse, kan betyde processoransvar under GDPR artikel 82, hvor personoplysninger er involveret, og kan betyde tab af klienten og den reference, der fulgte med det. For en virksomhed på én person er det omdømmemæssige aktiv virksomheden. Dette er risiko, ikke sikkerhed – men det er den normale konsekvenskæde, når en glemt legitimationsoplysning bliver til en hændelse.

Grundlag: GDPR artikel 82 (ret til erstatning); dine egne servicekontrakter.

Hvad der er i øjeblikket eksponeret på din konto

Hver forpligtelse ovenfor indebærer det samme første spørgsmål: hvad har adgang til det sted, hvor dit klientarbejde bor? For de fleste uafhængige udviklere er det sted en personlig GitHub-konto – og den har akkumuleret adgang i år. Alt det følgende kan læses maskint fra GitHubs egen API:

Installerede GitHub-apps

Implementeringsbots, CI-værktøjer, AI-assistenter – hver med den tilladelsesgodkendelse, du godkendte engang. Nogle har skrive- eller administratoradgang over alt, hvad du ejer; nogle tilhører projekter, der endte længe siden.

Implementeringsnøgler

Ubemandede SSH-legitimationsoplysninger på servere. En læse-skrive-nøgle på et lager, der kun havde brug for læsning, er en kodeinjektionssti, hvis den server nogensinde er krænket.

Samarbejdspartnere

Personer tilføjet under samarbejder, der siden er endt, stadig med skrivadgang – herunder på repositorier, der er offentlige.

Offentlige lagre

Hvilket af dine lagre, der er offentlige, og hvem der kan pushe til dem, er et inventarspørgsmål, de fleste udviklere ikke kan svare på fra hukommelse.

AI-leverandørnøgler, der overlever projekter

OpenAI, Anthropic, Mistral eller Cursor-kontoen bag dine sideprojekter akkumulerer API-nøgler og pladser længe efter, projektet er sluttet. 8200.dev's AI Governance-visning flagstaver tomme og organisations-omfattende nøgler, nøgler, der overlever en rolleændring, og pladser, som ingen bruger – fra leverandørernes egne administratör-API'er, kun læsning.

Se det, så beslut

Forbind din personlige GitHub-konto kun læsning og få inventaret: hver installeret app og dens godkendelser, hver implementeringsnøgle og om den er læsebeskyttet, hver samarbejdspartner, hvert offentligt lager – med resultaterne rangeret efter alvorlighed. Det gratis niveau viser dine top 3 resultater fuldt ud. Ingen lov kræver, at du kører en scan; de forpligtelser ovenfor gælder alligevel. Hvad en scan ændrer, er, om du kan svare på de spørgsmål, de indebærer.

Scan din konto gratis Læs den fulde artikel →

Læsebeskyttede omfang. Aldrig din kildekode. Intet kreditkort.

Denne side er generel information om reguleringer, der almindeligvis gælder for uafhængige udviklere og freelancere; den er ikke juridisk rådgivning. Hvordan hver regulering gælder for din specifikke situation, afhænger af fakta, der er specifikke for dig – til det, skal du konsultere en advokat.