Uavhengige utviklere og frilansere

Sikkerhetsforpliktelser som allerede gjelder deg

Hvis du er frilanser eller uavhengig utvikler som håndterer klientdata, får du ikke valgt deg fra sikkerhetsregulering ved å være liten. Behandleransvar under GDPR, distribusjonsforpliktelser under EU AI Act, og dine klienters avtalemessige sikkerhetskrav hefter alle til deg direkte — i dag, på nåværende størrelse. Her er hva som allerede gjelder, navngitt regel for regel, og hva som for øyeblikket er eksponert på din egen konto.

Hva som allerede gjelder deg

GDPR: du er en databehandler — personlig

Når en klient gir deg persondata — en brukerdatabase, et produksjonssystem, en eksport — handler du som en databehandler (og noen ganger kontroller) under GDPR. Den statusen krever ikke et selskap: den hefter til «en fysisk eller juridisk person». Den forplikter deg til å behandle under en kontrakt, å implementere hensiktsmessige sikkerhetstiltak for data du holder, og å varsle klienten din uten unødig forsinkelse hvis den blir brutt — og den utsetter deg for erstatningskrav og administrative bøter.

Grunnlag: GDPR artikkel 4 (definisjoner), artikkel 28 (behandling under kontrakt), artikkel 32 (sikkerhet ved behandling), artikkel 33 (bruddvarsel), artikler 82–83 (ansvar og administrative bøter på opptil €20 millioner eller 4 % av årlig verdensomfattende omsetning, som er høyest).

EU AI Act: distribuering av AI for klienter har forpliktelser

Hvis klientarbeidet ditt inkluderer å sette AI-systemer i produksjon — en assistent i en klients produkt, en AI-agent som automatiserer en arbeidsflyt — pålegger EU AI Act distribusjonsforpliktelser: de som bruker AI-systemer under sin egen myndighet i en faglig sammenheng. Hvilke forpliktelser som gjelder avhenger av systemets risikokategori, men «jeg integrerte det bare» er nøyaktig rollen distribusjonen dekker.

Grunnlag: EU AI Act artikkel 26 (forpliktelser for distribusjonsenheter av høyrisiko-AI-systemer), artikkel 4 (AI-kompetanse), artikkel 99 (straffer).

Dine bedriftsklienter må samle sikkerhetsbev is fra deg

Bedrifter som opererer under SOC 2, ISO 27001 eller GDPR artikkel 28 kjører leverandørstyrings programmer som revisorene faktisk sjekker — og disse programmene skiller ikke mellom en 500-person leverandør og en en-person leverandør. Det er derfor sikkerhetsspørreskjemaet ankommer før kontrakten gjør det. Frilansere som kan svare med bevis lukkes raskere enn frilansere som improviserer.

Grunnlag: avtalemessig — databehandlingsavtaler og leverandørsikkerhetskrav klientene dine er forpliktet til å pålegge alle de gir data til, inkludert enkeltpersoner.

Et brutt klientprosjekt er en reell forretningsrisiko

En sikkerhetshendelse i et klientprosjekt kan bety direkte ansvar under kontraktens erstatningsklausul, kan bety behandleransvar under GDPR artikkel 82 hvor persondata er involvert, og kan bety å miste klienten og referansen som fulgte med. For en en-persons virksomhet er det reputasjonsmessige aktivumet virksomheten. Dette er risiko, ikke sikkerhet — men det er den ordinære konsekvenskjeden når en glemt legitimasjon blir en incident.

Grunnlag: GDPR artikkel 82 (rett til erstatning); dine egne serviceavtaler.

Hva som for øyeblikket er eksponert på kontoen din

Hver forpliktelse ovenfor innebærer det samme første spørsmålet: hva har tilgang til stedet hvor klientarbeidet ditt lever? For de fleste uavhengige utviklere er det stedet en personlig GitHub-konto — og det har samlet tilgang i årevis. Alt det følgende er maskinleselig fra GitHubs eget API:

Installerte GitHub-apper

Distribusjonsroboter, CI-verktøy, AI-assistenter — hver holding tillatelsesgaven du godkjente en gang. Noen holder skrive- eller admin over alt du eier; noen tilhører prosjekter som endte for lenge siden.

Distribusjonsnøkler

Uovervåkete SSH-legitimasjoner på servere. En lese-skrive-nøkkel på et arkiv som bare trengte lesing er en kodeinjeeksjonsbane hvis den serveren blir noen gang kompromittert.

Samarbeidere

Folk som ble lagt til under samarbeid som siden endte, som fortsatt holder skrivetilgang — inkludert på repositories som er offentlige.

Offentlige repositories

Hvilket av dine repositories som er offentlige, og hvem som kan skyve til dem, er et inventarspørsmål de fleste utviklere ikke kan svare på fra hukommelsen.

AI-leverandørnøkler som overlever prosjekter

OpenAI-, Anthropic-, Mistral- eller Cursor-kontoen bak sideprosektene dine samler API-nøkler og seter lenge etter at prosjektet ender. 8200.dev's AI Governance-visning flagg stale og org-wide nøkler, nøkler som overlevet en rolle endring, og seter ingen bruker — fra leverandørenes egne admin APIer, skrivebeskyttet.

Se det, bestem deg deretter

Koble din personlige GitHub-konto skrivebeskyttet og få inventaret: hver installert app og dens tillatelser, hver distribute-nøkkel og om det er skrivebeskyttet, hver samarbeider, hver offentlig repository — med funnene rangert etter alvorlighetsgrad. Det gratis nivået viser dine topp 3 funn i full. Ingen lov krever at du kjør en skanning; forpliktelsene ovenfor gjelder uansett. Hva en skanning endrer er om du kan svare på spørsmålene de innebærer.

Skann kontoen din gratis Les hele artikkelen →

Skrivebeskyttede områder. Aldri kildekoden din. Intet kredittkort.

Denne siden er generell informasjon om reguleringer som vanligvis gjelder uavhengige utviklere og frilansere; det er ikke juridisk råd. Hvordan hver regulering gjelder din spesifikke situasjon avhenger av fakta spesifikk for deg — for det, konsulter en advokat.