Pengembang independen dan pekerja lepas

Kewajiban keamanan yang sudah berlaku untuk Anda

Jika Anda seorang pekerja lepas atau pengembang independen yang menangani data klien, Anda tidak dapat memilih keluar dari regulasi keamanan dengan menjadi kecil. Kewajiban pemroses menurut GDPR, kewajiban pengguna menurut Undang-Undang AI UE, dan persyaratan keamanan kontraktual klien Anda semuanya melekat pada Anda secara langsung — hari ini, pada ukuran Anda saat ini. Berikut adalah apa yang sudah berlaku, dinamai regulasi demi regulasi, dan apa yang saat ini terbuka di akun Anda sendiri.

Apa yang sudah berlaku untuk Anda

GDPR: Anda adalah pemroses data — secara pribadi

Ketika klien menyerahkan data pribadi kepada Anda — database pengguna, sistem produksi, ekspor — Anda bertindak sebagai pemroses data (dan kadang-kadang pengontrol) di bawah GDPR. Status itu tidak memerlukan perusahaan: itu melekat pada „orang alami atau badan hukum". Ini mewajibkan Anda untuk memproses di bawah kontrak, menerapkan ukuran keamanan yang sesuai untuk data yang Anda pegang, dan memberi tahu klien Anda tanpa penundaan yang tidak perlu jika itu dilanggar — dan itu membuka Anda untuk klaim kompensasi dan denda administratif.

Dasar: GDPR Pasal 4 (definisi), Pasal 28 (pemrosesan di bawah kontrak), Pasal 32 (keamanan pemrosesan), Pasal 33 (pemberitahuan pelanggaran), Pasal 82–83 (tanggung jawab dan denda administratif hingga €20 juta atau 4% dari omset tahunan di seluruh dunia, mana yang lebih tinggi).

Undang-Undang AI UE: penerapan AI untuk klien membawa kewajiban

Jika pekerjaan klien Anda mencakup penyusunan sistem AI ke produksi — asisten dalam produk klien, agen AI mengotomatisasi alur kerja — Undang-Undang AI UE menerapkan kewajiban pada pengguna: mereka yang menggunakan sistem AI di bawah otoritas mereka sendiri dalam konteks profesional. Kewajiban mana yang berlaku tergantung pada kategori risiko sistem, tetapi „saya hanya mengintegrasikannya" adalah tepat peran yang dicakup kategori pengguna.

Dasar: Undang-Undang AI UE Pasal 26 (kewajiban pengguna sistem AI berisiko tinggi), Pasal 4 (literasi AI), Pasal 99 (penalti).

Klien perusahaan Anda harus mengumpulkan bukti keamanan dari Anda

Perusahaan yang beroperasi di bawah SOC 2, ISO 27001, atau GDPR Pasal 28 menjalankan program manajemen vendor yang benar-benar diperiksa auditor mereka — dan program tersebut tidak membedakan antara vendor 500 orang dan vendor satu orang. Itulah mengapa kuesioner keamanan tiba sebelum kontrak. Pekerja lepas yang dapat menjawab dengan bukti menutup lebih cepat daripada pekerja lepas yang mengimprov.

Dasar: kontraktual — perjanjian pemrosesan data dan persyaratan keamanan vendor yang wajib dikenakan klien Anda pada siapa pun yang mereka serahkan data, termasuk individu.

Proyek klien yang dilanggar adalah risiko bisnis nyata

Insiden keamanan dalam proyek klien dapat berarti tanggung jawab langsung di bawah klausal ganti rugi kontrak Anda, dapat berarti tanggung jawab pemroses di bawah GDPR Pasal 82 di mana data pribadi terlibat, dan dapat berarti kehilangan klien dan referensi yang datang dengannya. Untuk bisnis satu orang, aset reputasi adalah bisnis. Ini adalah risiko, bukan kepastian — tetapi ini adalah rantai konsekuensi biasa ketika kredensial yang terlupakan berubah menjadi insiden.

Dasar: GDPR Pasal 82 (hak atas kompensasi); kontrak layanan Anda sendiri.

Apa yang saat ini terbuka di akun Anda

Setiap kewajiban di atas menyiratkan pertanyaan pertama yang sama: apa yang memiliki akses ke tempat di mana pekerjaan klien Anda tinggal? Bagi sebagian besar pengembang independen tempat itu adalah akun GitHub pribadi — dan itu telah mengumpulkan akses selama bertahun-tahun. Semua hal berikut dapat dibaca mesin dari API GitHub sendiri:

Aplikasi GitHub yang Diinstal

Bot penerapan, alat CI, asisten AI — masing-masing memegang pemberian izin yang Anda setujui sekali. Beberapa memegang tulis atau admin di atas segalanya yang Anda miliki; beberapa milik proyek yang berakhir lama.

Kunci penerapan

Kredensial SSH tanpa pengawasan di server. Kunci baca-tulis pada repositori yang hanya membutuhkan baca adalah jalur injeksi kode jika server itu pernah dikompromikan.

Kolaborator

Orang yang ditambahkan selama kolaborasi yang sejak saat itu berakhir, masih memegang akses tulis — termasuk di repositori yang bersifat publik.

Repositori publik

Repositori Anda mana yang bersifat publik, dan siapa yang dapat mendorong ke repositori tersebut, adalah pertanyaan inventaris yang tidak dapat dijawab sebagian besar pengembang dari memori.

Kunci vendor AI yang bertahan lebih lama dari proyek

Akun OpenAI, Anthropic, Mistral, atau Cursor di belakang proyek sampingan Anda mengumpulkan kunci API dan kursi lama setelah proyek berakhir. Tampilan Tata Kelola AI 8200.dev menandai kunci basi dan seluruh organisasi, kunci yang bertahan lebih lama dari perubahan peran, dan kursi yang tidak digunakan siapa pun — dari API admin vendor sendiri, baca-saja.

Lihat, kemudian putuskan

Hubungkan akun GitHub pribadi Anda baca-saja dan dapatkan inventaris: setiap aplikasi yang diinstal dan izinnya, setiap kunci penerapan dan apakah itu baca-saja, setiap kolaborator, setiap repositori publik — dengan temuan yang diberi peringkat berdasarkan keparahan. Tingkat gratis menunjukkan 3 temuan teratas Anda secara penuh. Tidak ada hukum yang mengharuskan Anda menjalankan pemindaian; kewajiban di atas berlaku bagaimanapun. Apa yang berubah pemindaian apakah Anda dapat menjawab pertanyaan yang mereka implikasikan.

Pindai akun Anda gratis Baca artikel lengkap →

Ruang lingkup baca-saja. Jangan kode sumber Anda. Tanpa kartu kredit.

Halaman ini adalah informasi umum tentang peraturan yang biasanya berlaku untuk pengembang independen dan pekerja lepas; ini bukan nasihat hukum. Cara setiap peraturan berlaku untuk situasi spesifik Anda tergantung pada fakta spesifik untuk Anda — untuk itu, konsultasikan dengan pengacara.