Niezależni programiści i freelancerzy

Obowiązki bezpieczeństwa, które już na Ciebie dotyczą

Jeśli jesteś freelancerem lub niezależnym programistą obsługującym dane klientów, nie możesz zrezygnować z regulacji bezpieczeństwa, ponieważ jesteś mały. Obowiązki procesora zgodnie z GDPR, obowiązki wdrażającego zgodnie z Ustawą o sztucznej inteligencji UE i wymogi bezpieczeństwa umownego Twoich klientów wszystkie dotyczą Ciebie bezpośrednio — dziś, w Twojej obecnej skali. Oto co już dotyczy, wymienione regulacja po regulacji, i co jest obecnie narażone na Twoim własnym koncie.

Co już na Ciebie dotyczy

GDPR: jesteś procesorem danych — osobiście

Kiedy klient przekazuje Ci dane osobowe — bazę danych użytkowników, system produkcyjny, eksport — działasz jako procesor danych (a czasami kontroler) na mocy GDPR. Ten status nie wymaga firmy: dotyczy „osoby fizycznej lub prawnej". Obliguje Cię do przetwarzania na podstawie umowy, wdrożenia odpowiednich środków bezpieczeństwa danych, które posiadasz, i powiadomienia klienta bez zbędnej zwłoki w przypadku naruszenia — i naraża Cię na roszczenia odszkodowawcze i kary administracyjne.

Podstawa: Artykuł 4 GDPR (definicje), artykuł 28 (przetwarzanie na podstawie umowy), artykuł 32 (bezpieczeństwo przetwarzania), artykuł 33 (powiadomienie o naruszeniu), artykuły 82–83 (odpowiedzialność i kary administracyjne do 20 milionów euro lub 4% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa).

Ustawa o sztucznej inteligencji UE: wdrażanie sztucznej inteligencji dla klientów niesie zobowiązania

Jeśli praca dla klienta obejmuje wdrażanie systemów sztucznej inteligencji w produkcji — asystent w produkcie klienta, agent sztucznej inteligencji automatyzujący przepływ pracy — Ustawa o sztucznej inteligencji UE nakłada zobowiązania na wdrażających: tych, którzy używają systemy sztucznej inteligencji na własną władzę w kontekście zawodowym. Które zobowiązania mają zastosowanie, zależy od kategorii ryzyka systemu, ale „tylko go integrowałem" to dokładnie rola, którą obejmuje kategoria wdrażającego.

Podstawa: Artykuł 26 Ustawy o sztucznej inteligencji UE (obowiązki wdrażających systemów sztucznej inteligencji wysokiego ryzyka), artykuł 4 (umiejętności sztucznej inteligencji), artykuł 99 (kary).

Twoi klienci korporacyjni muszą zbierać od Ciebie dowody bezpieczeństwa

Firmy działające zgodnie z SOC 2, ISO 27001 lub artykułem 28 GDPR prowadzą programy zarządzania dostawcami, które audytorzy rzeczywiście sprawdzają — a programy te nie rozróżniają między dostawcą 500-osobowym a dostawcą jednoosobowym. Dlatego kwestionariusz bezpieczeństwa pojawia się przed umową. Freelancerzy, którzy mogą odpowiedzieć dowodami, zamykają szybciej niż freelancerzy, którzy improwizują.

Podstawa: umowna — umowy przetwarzania danych i wymogi bezpieczeństwa dostawcy, które Twoi klienci są zobowiązani nałożyć na każdego, komu przekażą dane, w tym na osoby fizyczne.

Naruszony projekt klienta to rzeczywiste ryzyko biznesowe

Incydent bezpieczeństwa w projekcie klienta może oznaczać bezpośrednią odpowiedzialność na podstawie klauzuli gwarancji w Twojej umowie, może oznaczać odpowiedzialność procesora na mocy artykułu 82 GDPR, gdy zaangażowane są dane osobowe, i może oznaczać utratę klienta i referencji, która z tym przychodzi. Dla firmy jednoosobowej aktywa reputacyjne to biznes. To ryzyko, a nie pewność — ale to zwykły łańcuch konsekwencji, gdy zapomniany credential zamienia się w incydent.

Podstawa: Artykuł 82 GDPR (prawo do odszkodowania); Twoje własne umowy usługowe.

Co jest obecnie narażone na Twoim koncie

Każdy obowiązek powyżej implikuje to samo pierwsze pytanie: co ma dostęp do miejsca, gdzie żyje Twoja praca dla klienta? Dla większości niezależnych programistów to miejsce to osobiste konto GitHub — i gromadziło dostęp przez lata. Wszystkie poniższe można odczytać z własnego API GitHub:

Zainstalowane aplikacje GitHub

Roboty wdrażające, narzędzia CI, asystenci AI — każdy posiadający przyznanie uprawnień, które raz zatwierdziłeś. Niektóre mają zapis lub administrację nad wszystkim, co posiadasz; niektóre należą do projektów, które już się skończyły.

Klucze wdrażania

Nienadzorowane poświadczenia SSH na serwerach. Klucz do odczytu-zapisu w repozytorium, które potrzebowało tylko odczytu, to ścieżka do wstrzyknięcia kodu, jeśli ten serwer kiedykolwiek zostanie zagrożony.

Współpracownicy

Osoby dodane podczas współpracy, które się skończyły, wciąż posiadające dostęp do zapisu — w tym w repozytoriach, które są publiczne.

Repozytoria publiczne

Które z Twoich repozytoriów są publiczne i kto może ich pushować, to pytanie o inwentarz, na które większość programistów nie potrafi odpowiedzieć z pamięci.

Klucze dostawców AI, które przeżywają projekty

Konto OpenAI, Anthropic, Mistral lub Cursor za Twoimi projektami bocznymi gromadzi klucze API i siedziby długo po zakończeniu projektu. Widok zarządzania sztuczną inteligencją 8200.dev oznacza zanikające i całoorganizacyjne klucze, klucze, które przeżyły zmianę roli, i siedziby, które nikt nie używa — z własnych API administratora dostawców, tylko do odczytu.

Zobacz to, potem zdecyduj

Połącz swoje osobiste konto GitHub tylko do odczytu i uzyskaj inwentarz: każda zainstalowana aplikacja i jej przyznania, każdy klucz wdrażania i czy jest tylko do odczytu, każdy współpracownik, każde publiczne repozytorium — z ustaleniami uszeregowanymi według ważności. Darmowa wersja pokazuje Twoje 3 najważniejsze ustalenia w pełni. Żadne prawo nie wymaga od Ciebie przeprowadzania skanowania; obowiązki powyżej dotyczą niezależnie. Co zmienia skanowanie, to czy możesz odpowiedzieć na pytania, które implikują.

Skanuj swoje konto za darmo Przeczytaj pełny artykuł →

Zakresy tylko do odczytu. Nigdy Twój kod źródłowy. Bez karty kredytowej.

Ta strona zawiera ogólne informacje o przepisach, które powszechnie mają zastosowanie do niezależnych programistów i freelancerów; nie stanowi porady prawnej. Jak każdy przepis ma zastosowanie do Twojej konkretnej sytuacji, zależy od faktów specyficznych dla Ciebie — w tym celu skonsultuj się z prawnikiem.