Pembangun bebas dan pekerja bebas

Kewajipan keselamatan yang sudah terpakai kepada anda

Jika anda adalah pekerja bebas atau pembangun bebas yang mengendalikan data klien, anda tidak boleh memilih keluar daripada peraturan keselamatan dengan menjadi kecil. Kewajipan pemproses di bawah GDPR, kewajipan penempayan di bawah EU AI Act, dan keperluan keselamatan kontrak klien anda semua melekat pada anda secara langsung — hari ini, pada saiz semasa anda. Berikut adalah apa yang sudah terpakai, dinamakan peraturan demi peraturan, dan apa yang kini terdedah pada akaun anda sendiri.

Apa yang sudah terpakai kepada anda

GDPR: anda adalah pemproses data — secara peribadi

Apabila klien menyerahkan anda data peribadi — pangkalan data pengguna, sistem pengeluaran, eksport — anda bertindak sebagai pemproses data (dan kadangkala pengawal) di bawah GDPR. Status itu tidak memerlukan syarikat: ia melekat kepada „orang semula jadi atau badan undang-undang". Ia mewajibkan anda memproses di bawah kontrak, melaksanakan langkah keselamatan yang sesuai bagi data yang anda pegang, dan memberitahu klien anda tanpa kelewatan yang tidak wajar jika ia dilanggar — dan ia mendedahkan anda kepada tuntutan pampasan dan denda pentadbir.

Asas: GDPR Artikel 4 (takrif), Artikel 28 (pemprosesan di bawah kontrak), Artikel 32 (keselamatan pemprosesan), Artikel 33 (pemberitahuan pelanggaran), Artikel 82–83 (liabiliti dan denda pentadbir sehingga €20 juta atau 4% daripada pusing ganti dunia tahunan, yang mana lebih tinggi).

EU AI Act: menempayan AI untuk klien membawa kewajipan

Jika kerja klien anda termasuk meletakkan sistem AI ke dalam pengeluaran — pembantu dalam produk klien, ejen AI mengotomatikkan alur kerja — EU AI Act mengenakan kewajipan ke atas penempayan: mereka yang menggunakan sistem AI di bawah kuasa mereka sendiri dalam konteks profesional. Kewajipan mana yang terpakai bergantung pada kategori risiko sistem, tetapi „saya hanya mengintegrasikannya" adalah peranan yang tepat yang kategori penempayan diliputi.

Asas: EU AI Act Artikel 26 (kewajipan penempayan sistem AI berisiko tinggi), Artikel 4 (celik AI), Artikel 99 (hukuman).

Klien perusahaan anda mesti mengumpul bukti keselamatan daripada anda

Syarikat yang beroperasi di bawah SOC 2, ISO 27001, atau GDPR Artikel 28 menjalankan program pengurusan vendor yang juruaudit mereka benar-benar semak — dan program itu tidak membezakan antara vendor 500 orang dan vendor satu orang. Itulah sebabnya borang soal selidik keselamatan tiba sebelum kontrak. Pekerja bebas yang boleh menjawab dengan bukti ditutup lebih cepat daripada pekerja bebas yang membuat improvisasi.

Asas: kontrak — perjanjian pemprosesan data dan keperluan keselamatan vendor yang klien anda wajib mengenakan ke atas sesiapa yang mereka serahkan data, termasuk individu.

Projek klien yang dilanggar adalah risiko perniagaan sebenar

Insiden keselamatan dalam projek klien boleh bermakna liabiliti langsung di bawah klausa indemnifikasi kontrak anda, boleh bermakna liabiliti pemproses di bawah GDPR Artikel 82 di mana data peribadi terlibat, dan boleh bermakna kehilangan klien dan rujukan yang datang dengannya. Bagi perniagaan satu orang, aset reputasi ialah perniagaan itu. Ini adalah risiko, bukan kepastian — tetapi ia adalah rantai akibat biasa apabila kredensyal yang terlupa bertukar menjadi insiden.

Asas: GDPR Artikel 82 (hak untuk pampasan); kontrak perkhidmatan anda sendiri.

Apa yang kini terdedah pada akaun anda

Setiap kewajipan di atas membayangkan soalan pertama yang sama: apa yang mempunyai akses ke tempat di mana kerja klien anda hidup? Bagi kebanyakan pembangun bebas tempat itu adalah akaun GitHub peribadi — dan ia telah mengumpul akses selama bertahun-tahun. Semua perkara berikut boleh dibaca mesin daripada API GitHub sendiri:

Aplikasi GitHub yang Dipasang

Bot penempayan, alat CI, pembantu AI — masing-masing memegang hibah kebenaran yang anda luluskan sekali. Sesetengah memegang tulis atau pentadbir ke atas semua yang anda miliki; sesetengah tergolong dalam projek yang telah tamat lama.

Kunci penempayan

Kredensyal SSH yang tidak dihormati pada pelayan. Kunci baca-tulis pada repositori yang hanya memerlukan bacaan adalah laluan suntikan kod jika pelayan itu pernah dikompromikan.

Rakan Pengguna

Orang yang ditambah semasa kolaborasi yang telah tamat, masih memegang akses tulis — termasuk pada repositori yang adalah umum.

Repositori umum

Mana satu daripada repositori anda yang umum, dan siapa yang boleh menolak kepada mereka, adalah soalan inventori yang kebanyakan pembangun tidak boleh jawab daripada ingatan.

Kunci vendor AI yang melampaui projek

Akaun OpenAI, Anthropic, Mistral, atau Cursor di sebalik projek sampingan anda mengumpul kunci API dan kerusi lama selepas projek berakhir. Pandangan Tadbir Urus AI 8200.dev menandai kunci basi dan seluruh organisasi, kunci yang melampaui perubahan peranan, dan kerusi yang tiada gunakan — daripada API pentadbir vendor sendiri, baca sahaja.

Lihatnya, kemudian putuskan

Sambungkan akaun GitHub peribadi anda baca sahaja dan dapatkan inventori: setiap aplikasi yang dipasang dan gajinya, setiap kunci penempayan dan sama ada ia baca sahaja, setiap rakan pengguna, setiap repositori umum — dengan penemuan disusun mengikut keterukan. Peringkat percuma menunjukkan 3 penemuan teratas anda sepenuhnya. Tiada undang-undang memerlukan anda menjalankan imbasan; kewajipan di atas terpakai sama ada cara. Apa yang imbasan ubah adalah sama ada anda boleh menjawab soalan yang mereka bayangkan.

Imbas akaun anda percuma Baca artikel lengkap →

Skop baca sahaja. Tidak pernah kod sumber anda. Tiada kad kredit.

Laman ini adalah maklumat umum tentang peraturan yang biasanya terpakai kepada pembangun bebas dan pekerja bebas; ia bukan nasihat undang-undang. Bagaimana setiap peraturan terpakai kepada situasi khusus anda bergantung pada fakta khusus untuk anda — untuk itu, berunding dengan peguam.