Onafhankelijke ontwikkelaars en freelancers

Beveiligingsverplichtingen die al voor u gelden

Als u een freelancer of een onafhankelijke ontwikkelaar bent die clientgegevens verwerkt, kunt u zich niet onttrekken aan beveiligingsregeling door klein te zijn. GDPR-verwerkersplichten, EU AI Act-deployer-verplichtingen en contractuele beveiligingsvereisten van uw clients zijn allemaal rechtstreeks op u van toepassing — vandaag, op uw huidige schaal. Hier staat wat al van toepassing is, genoemd voor elke regelgeving, en wat momenteel op uw eigen account wordt blootgesteld.

Wat al voor u geldt

GDPR: u bent persoonlijk een gegevensverwerkingsverantwoordelijke

Wanneer een client u persoonlijke gegevens geeft — een gebruikersdatabase, een productiesysteem, een export — handelt u als een gegevensverwerkingsverantwoordelijke (en soms ook als een verwerkingsverantwoordelijke) onder de GDPR. Deze status vereist geen bedrijf: deze kleeft aan een „natuurlijke of rechtspersoon". Het verplicht u om onder contract te verwerken, passende beveiligingsmaatregelen voor de gegevens die u bezit in te voeren en uw client zonder onredelijke vertraging in kennis te stellen als deze worden geschonden — en het stelt u bloot aan schadeclaims en administratieve boetes.

Basis: GDPR artikel 4 (definities), artikel 28 (verwerking onder contract), artikel 32 (beveiliging van verwerking), artikel 33 (meldingsplicht bij gegevensbreuk), artikelen 82–83 (aansprakelijkheid en administratieve boetes tot € 20 miljoen of 4% van jaarlijkse wereldwijde omzet, welke hoger is).

EU AI Act: het inzetten van AI voor clients brengt verplichtingen met zich mee

Als uw clientwerk het in productie nemen van AI-systemen omvat — een assistent in een clientproduct, een AI-agent die een workflow automatiseert — legt de EU AI Act verplichtingen op implementeerders: degenen die AI-systemen onder hun eigen gezag in een professionele context gebruiken. Welke verplichtingen van toepassing zijn, hangt af van de risicocategorie van het systeem, maar „ik heb het alleen geïntegreerd" is precies de rol die de implementeerdercategorie omvat.

Basis: EU AI Act artikel 26 (verplichtingen van implementeerders van AI-systemen met hoog risico), artikel 4 (AI-geletterdheid), artikel 99 (boetes).

Uw bedrijfsclients moeten beveiligingsbewijzen van u verzamelen

Bedrijven die werken onder SOC 2, ISO 27001 of GDPR artikel 28 voeren leverancierbeheerprogramma's uit die auditors werkelijk controleren — en deze programma's onderscheiden niet tussen een leverancier van 500 personen en een leverancier van één persoon. Daarom komt de beveiligingsvragenlijst voor het contract aan. Freelancers die met bewijs kunnen antwoorden sluiten sneller af dan freelancers die improviseren.

Basis: contractueel — gegevensverwerkingsovereenkomsten en beveiligingsvereisten van leveranciers die uw clients verplicht zijn op te leggen aan iedereen aan wie zij gegevens geven, inclusief personen.

Een geschonden clientproject is een echt bedrijfsrisico

Een beveiligingsincident in een clientproject kan rechtstreekse aansprakelijkheid onder uw contractvergoedingsclausule betekenen, kan verwerkersaansprakelijkheid onder GDPR artikel 82 betekenen wanneer persoonlijke gegevens betrokken zijn, en kan het verliezen van de client en de referentie die daarmee comes betekenen. Voor een eenmans-bedrijf is het reputatie-actief het bedrijf. Dit is risico, geen zekerheid — maar het is de normale gevolgreeks wanneer een vergeten inloggegevens in een incident verandert.

Basis: GDPR artikel 82 (recht op schadevergoeding); uw eigen servicecontracten.

Wat wordt momenteel op uw account blootgesteld

Elke verplichting hierboven impliceert dezelfde eerste vraag: wat heeft toegang tot de plaats waar uw clientwerk leeft? Voor de meeste onafhankelijke ontwikkelaars is die plaats een persoonlijk GitHub-account — en het heeft jaren lang toegang aan het verzamelen. Al het volgende is machine-readable van GitHub's eigen API:

Geïnstalleerde GitHub-apps

Implementatiebots, CI-tools, AI-assistenten — elk met de toestemmingsverlening die u ooit hebt goedgekeurd. Sommige hebben schrijf- of beheertoegang over alles wat u bezit; sommige behoren tot projecten die lang geleden zijn beëindigd.

Sleutels implementeren

Onbeheerde SSH-inloggegevens op servers. Een lees-schrijf-sleutel in een repository die alleen lezen nodig had, is een code-injectie-pad als die server ooit wordt gecompromitteerd.

Medewerkers

Personen die zijn toegevoegd tijdens samenwerkingen die sindsdien zijn beëindigd, nog steeds schrijftoegang hebben — inclusief op repositories die openbaar zijn.

Openbare repositories

Welke van uw repositories openbaar zijn en wie er naar kan pushen, is een inventarisvraag die de meeste ontwikkelaars niet uit het hoofd kunnen beantwoorden.

AI-leveranciersleutels die projecten overleven

Het OpenAI-, Anthropic-, Mistral- of Cursor-account achter uw side-projecten verzamelt API-sleutels en seats lang nadat het project is beëindigd. 8200.dev's AI Governance-weergave markeert achterhaalde en organisatie-brede sleutels, sleutels die een rolwijziging hebben overleefd en seats die niemand gebruikt — van de eigen admin-API's van de leveranciers, alleen-lezen.

Zie het, kies dan

Verbind uw persoonlijke GitHub-account alleen-lezen en krijg de inventaris: elke geïnstalleerde app en haar toewijzingen, elke sleutel implementeren en of deze alleen-lezen is, elke medewerker, elke openbare repository — met de bevindingen gerangschikt op ernst. De gratis laag toont uw top 3 bevindingen volledig. Geen wet verplicht u om een scan uit te voeren; de bovenstaande verplichtingen gelden toch. Wat een scan verandert, is of u de vragen die ze impliceren, kunt beantwoorden.

Scan uw account gratis Lees het volledige artikel →

Alleen-lezen bereiken. Nooit uw broncode. Geen creditcard.

Deze pagina bevat algemene informatie over regelgeving die meestal van toepassing is op onafhankelijke ontwikkelaars en freelancers; het is geen juridisch advies. Hoe elke regelgeving op uw specifieke situatie van toepassing is, hangt af van feiten die specifiek voor u gelden — daarvoor raadpleegt u een advocaat.