Itsenäiset kehittäjät ja freelancerit

Turvallisuusvelvoitteet, jotka jo koskevat sinua

Jos olet freelancer tai itsenäinen kehittäjä, joka käsittelee asiakastietoja, et voi kieltäytyä turvallisuussääntelystä olemalla pieni. Käsittelijän velvoitteet GDPR:n nojalla, ottajan velvoitteet EU AI Act:in nojalla ja asiakkaidesi sopimuksellinen turvallisuusvaatimukset kaikki liittyvät sinuun suoraan – tänään, nykyisessä koossasi. Tässä on mitä jo soveltuu, nimetty säännöstö säännöstöllä, ja mitä on parhaillaan paljastettu omalla tilillä.

Mitä jo soveltuu sinuun

GDPR: olet tiedon käsittelijä – henkilökohtaisesti

Kun asiakas antaa sinulle henkilötietoja – käyttäjätietokannan, tuotantojärjestelmän, viennin – toimit GDPR:n mukaisesti tiedon käsittelijänä (ja joskus hallitsijana). Tämä asema ei vaadi yritystä: se liittyy „luonnolliseen tai oikeushenkilöön". Se velvoittaa sinua käsittelemään sopimuksella, ottamaan käyttöön asianmukaiset turvallisuustoimet omaamillesi tiedoille, ja ilmoittamaan asiakkaallesi ilman kohtuutonta viivettä jos se on rikottu – ja se altistaa sinut korvausvaatimuksille ja hallinnollisille sakoille.

Perusta: GDPR artikla 4 (määritelmät), artikla 28 (sopimuksella tapahtuva käsittely), artikla 32 (käsittelyn turvallisuus), artikla 33 (tietoturvaloukkauksen ilmoittaminen), artiklat 82–83 (vastuu ja hallinnolliset sakot enintään 20 miljoonaa euroa tai 4 % vuotuisesta maailmanlaajuisesta liikevaihdosta, kumpi on suurempi).

EU AI Act: AI:n ottaminen asiakkaiden käyttöön aiheuttaa velvoitteita

Jos asiakatyöhösi sisältyy AI-järjestelmien siirtäminen tuotantoon – assistentti asiakkaan tuotteessa, AI-agentti automatisoi työprosessia – EU AI Act asettaa ottajille velvoitteita: ne, jotka käyttävät AI-järjestelmiä omalla auktoriteetillaan ammatillisessa yhteydessä. Mitkä velvoitteet soveltuvat riippuu järjestelmän riskikategoriasta, mutta „minä vain integoin sen" on tarkalleen ottajan rooli, jonka kategoria kattaa.

Perusta: EU AI Act artikla 26 (korkean riskin AI-järjestelmien ottajien velvoitteet), artikla 4 (AI-lukutaito), artikla 99 (rangaistukset).

Yritysasiakkaidesi on kerättävä turvallisuustodisteet sinulta

Yritykset, jotka toimivat SOC 2:n, ISO 27001:n tai GDPR artikla 28:n alaisuudessa, käyttävät toimittajanhallintaohjelmia, joita heidän tarkastajansa todella tarkistavat – ja nämä ohjelmat eivät erota 500-hengen toimittajaa yhden hengen toimittajasta. Siksi turvallisuuskysymyslomake saapuu ennen sopimusta. Freelancerit, jotka voivat vastata todisteiden avulla, sulkeutuvat nopeammin kuin freelancerit, jotka improvisoinat.

Perusta: sopimuksellinen – tiedon käsittelysopimukset ja toimittajan turvallisuusvaatimukset, jotka asiakkaasi ovat velvoittaneet asettamaan kaikille, joille he antavat tietoja, mukaan lukien yksilöille.

Rikottu asiakasprojekti on todellinen liiketoimintariski

Turvallisuustapahtuma asiakasprojektissa voi merkitä suoraa vastuuta sopimuksesi vahingonkorvausklausuulin nojalla, voi merkitä käsittelijän vastuuta GDPR artikla 82:n nojalla missä henkilötietoja on, ja voi merkitä asiakkaan menettämistä ja siihen liittyvää referenssiä. Yhden henkilön liiketoiminnassa mainereputaatio on liiketoiminta. Tämä on riski, ei varmuus – mutta se on tavallinen seurausketju kun unohdettu valtuustieto muuttuu häiriötapahtumaksi.

Perusta: GDPR artikla 82 (oikeus korvaukseen); omat palvelusopimuksesi.

Mitä on parhaillaan paljastettu tilillä

Jokainen yllä oleva velvoite tarkoittaa samaa ensimmäistä kysymystä: kuka voi käyttää paikkaa missä asiakkaidesi työ asuu? Useimmille itsenäisille kehittäjille tuo paikka on henkilökohtainen GitHub-tili – ja se on kerännyt pääsyä vuosia. Kaikki seuraavat ovat koneen luettavia GitHub:n omasta API:sta:

Asennetut GitHub-sovellukset

Käyttöönotto-botit, CI-työkalut, AI-assistentit – jokainen pitää hallussaan oikeuden myönnystä, jonka hyväksyit kerran. Jotkut pitävät hallussaan kirjoitus- tai järjestelmän valtuuksia kaikkeen mitä omistat; jotkut kuuluvat projekteihin, jotka päättyivät kauan sitten.

Käyttöönotto-avaimet

Miehittämättömät SSH-valtuustieto palvelimilla. Luku-kirjoitusavain arkistoon, joka tarvitsi vain lukuoikeudet on koodin injisointireitti jos kyseinen palvelin koskaan vaarannetaan.

Yhteistyökumppanit

Ihmiset, jotka lisättiin yhteistyön aikana, jotka ovat sittemmin päättyneet, mutta pitävät hallussaan kirjoitusoikeuksia – myös arkistoissa, jotka ovat julkisia.

Julkiset arkistot

Mitkä arkistosi ovat julkiset ja kuka voi työntää niihin, on varastointi-inventaariokysymys, jolle useimmat kehittäjät eivät voi vastata muistista.

AI-toimittajien avaimet, jotka selviävät projekteja

OpenAI, Anthropic, Mistral tai Cursor -tili sivuprojektien takana kerää API-avaineja ja paikkoja kauan sen jälkeen kun projekti päättyy. 8200.dev:n AI Governance -näkymä merkitsee vanhat ja organisaation laajuiset avaimet, avaimet, jotka selviytyivät roolien muutoksesta ja paikat, joita kukaan ei käytä – toimittajien omista hallinnon API:sta, vain luku.

See it, then decide

Connect your personal GitHub account read-only and get the inventory: every installed app and its grants, every deploy key and whether it is read-only, every collaborator, every public repository — with the findings ranked by severity. The free tier shows your top 3 findings in full. No law requires you to run a scan; the obligations above apply either way. What a scan changes is whether you can answer the questions they imply.

Scan your account free Read the full article →

Read-only scopes. Never your source code. No credit card.

This page is general information about regulations that commonly apply to independent developers and freelancers; it is not legal advice. How each regulation applies to your specific situation depends on facts specific to you — for that, consult a lawyer.