Dezvoltatori independenți și freelanceri

Obligații de securitate care se aplică deja ție

Dacă ești un freelancer sau un dezvoltator independent care gestionează date de client, nu poți renunța la reglementarea securității prin a fi mic. Obligații de processor în cadrul GDPR, obligații de implementator în cadrul AI Act UE și cerințele de securitate contractuale ale clienților tău se aplică ție direct — astazi, la dimensiunea ta actuală. Iată ce se aplică deja, numită reglementare după reglementare, și ce este în prezent expus pe propriul tău cont.

Ce se aplică deja ție

GDPR: ești un procesor de date — personal

Când un client ți-a predat date personale — o bază de date de utilizatori, un sistem de producție, o exportare — acționezi ca procesor de date (și uneori controlator) în cadrul GDPR. Acea calitate nu necesită o companie: se aplică unei „persoane fizice sau juridice". Te obligă să procesezi în cadrul unui contract, să implementezi măsuri de securitate adecvate pentru datele pe care le deții și să notifici clientul fără întârziere nedovedită dacă sunt încălcate — și te expune la pretenții de despăgubire și amenzi administrative.

Bază: GDPR Articolul 4 (definiții), Articolul 28 (procesare în cadrul contractului), Articolul 32 (securitatea procesării), Articolul 33 (notificare de încălcare), Articolele 82–83 (răspundere și amenzi administrative de până la 20 de milioane de euro sau 4% din cifra de afaceri anuală mondială, oricare este mai mare).

AI Act UE: implementarea AI pentru clienți poartă obligații

Dacă munca ta pentru clienti include punerea în producție a sistemelor de AI — un asistent în produsul clientului, un agent AI automatizând un flux de lucru — AI Act UE impune obligații implementatorilor: cei care folosesc sisteme AI sub propria autoritate într-un context profesional. Ce obligații se aplică depinde de categoria de risc a sistemului, dar „am doar integrat-o" este exact rolul pe care îl acoperă categoria de implementator.

Bază: AI Act UE Articolul 26 (obligații ale implementatorilor sistemelor AI de risc ridicat), Articolul 4 (alfabetizare AI), Articolul 99 (penalități).

Clienții tăi de întreprindere trebuie să colecteze dovezi de securitate de la tine

Companiile care operează sub SOC 2, ISO 27001 sau GDPR Articolul 28 conduc programe de gestionare a furnizorilor pe care auditorii lor chiar le verifică — și acele programe nu fac distincție între un furnizor cu 500 de persoane și un furnizor cu o persoană. De aceea chestionarul de securitate sosește înaintea contractului. Freelancerii care pot răspunde cu dovezi se închid mai repede decât freelancerii care improvizează.

Bază: contractuală — acorduri de procesare a datelor și cerințe de securitate a furnizorilor pe care clienții tăi sunt obligați să le impună oricui le predă date, inclusiv persoanelor fizice.

Un proiect client compromis este un risc real de afaceri

Un incident de securitate într-un proiect client poate însemna răspundere directă în baza clauzei de indemnizare din contractul tău, poate însemna răspundere processor în cadrul GDPR Articolul 82 unde sunt implicate date personale și poate însemna pierderea clientului și a referinței care a venit cu el. Pentru o afacere de unu la unu, activul reputațional este afacerea. Aceasta este risc, nu certitudine — dar este lanțul obișnuit de consecințe atunci când o credință uitată se transformă într-un incident.

Bază: GDPR Articolul 82 (dreptul la compensație); propriile tale contracte de servicii.

Ce este în prezent expus pe contul tău

Fiecare obligație de mai sus implică aceeași primă întrebare: ce are acces la locul unde locuiește munca ta pentru clienti? Pentru majoritatea dezvoltatorilor independenți acel loc este un cont GitHub personal — și a acumulat acces de ani. Toate următoarele sunt machine-readable din propriul API al GitHub:

Aplicații GitHub instalate

Boti de implementare, instrumente CI, asistenți AI — fiecare cu acordul de permisiune pe care l-ai aprobat o dată. Unele dețin scriere sau admin peste tot ce deții; unele aparțin unor proiecte care s-au încheiat de mult.

Chei de implementare

Credențiale SSH neobservate pe servere. O cheie citire-scriere pe o depozit care avea nevoie doar de citire este o cale de injectare a codului dacă acel server vreodată este compromis.

Colaboratori

Persoane adăugate în timpul colaborărilor care s-au încheiat de atunci, ținând acces scriere — inclusiv pe depozite care sunt publice.

Depozite publice

Care din depozitele tale sunt publice și cine poate împinge la ele este o întrebare de inventar pe care majoritatea dezvoltatorilor nu o pot răspunde din memorie.

Chei furnizor AI care le depășesc proiectele

Contul OpenAI, Anthropic, Mistral sau Cursor din spatele proiectelor tale secundare acumulează chei API și locuri mult după ce se încheie proiectul. Viziunea Guvernanța AI a 8200.dev semnalizează chei vechi și la nivel de organizație, chei care au depășit o schimbare de rol și locuri pe care nimeni nu le folosește — din propriile API-uri de admin al furnizorilor, doar citire.

Vezi-o, apoi decide

Conectează contul tău GitHub personal doar citire și obții inventarul: fiecare aplicație instalată și granturile sale, fiecare cheie de implementare și dacă este doar citire, fiecare colaborator, fiecare depozit public — cu descoperirile clasate după severitate. Nivelul gratuit arată primele 3 descoperiri în format complet. Nicio lege nu te oblige să rulezi o scanare; obligațiile de mai sus se aplică oricum. Ceea ce o scanare schimbă este dacă poți răspunde la întrebările pe care le implică.

Scannează contul tău gratuit Citește articolul complet →

Domenii doar citire. Niciodată codul tău sursă. Fără card de credit.

Această pagină este informații generale despre reglementări care se aplică în mod obișnuit dezvoltatorilor și freelancerilor independenți; nu este sfat juridic. Cum se aplică fiecare reglementare situației tale specifice depinde de fapte specifice ție — pentru asta, consultă un avocat.