Oberoende utvecklare och frilansare

Säkerhetsskyldigheter som redan gäller för dig

Om du är frilansare eller oberoende utvecklare som hanterar klientdata kan du inte välja bort säkerhetsgranskning genom att vara liten. Processansvar enligt GDPR, distribueringsskyldigheter enligt EU AI Act och dina klienters avtalsbaserade säkerhetskrav gäller alla för dig direkt — idag, i din nuvarande storlek. Här är vad som redan gäller, uppräknat regel för regel, och vad som för närvarande är exponerat på ditt eget konto.

Vad som redan gäller för dig

GDPR: du är en databehandlare — personligen

När en klient ger dig personuppgifter — en användardb, ett produktionssystem, en export — agerar du som databehandlare (och ibland ansvarig) enligt GDPR. Den statusen kräver inte ett företag: den gäller för „en fysisk eller juridisk person". Den förpliktar dig att bearbeta enligt ett avtal, att genomföra lämpliga säkerhetsmått för data du innehar och att meddela din klient utan onödig försening om det bryts — och den exponerar dig för skadeståndsanspråk och administrativa böter.

Grund: GDPR artikel 4 (definitioner), artikel 28 (bearbetning enligt avtal), artikel 32 (säkerhet för bearbetning), artikel 33 (brottsanmälan), artiklarna 82–83 (ansvar och administrativa böter upp till 20 miljoner euro eller 4 % av årlig världsomfattande omsättning, vilket är högre).

EU AI Act: distribution av AI för klienter medför skyldigheter

Om ditt klientarbete inkluderar att sätta AI-system i produktion — en assistent i en klients produkt, en AI-agent som automatiserar ett arbetsflöde — ålägger EU AI Act skyldigheter för distributörer: de som använder AI-system under egen myndighet i professionell sammanhang. Vilka skyldigheter som gäller beror på systemets riskkategori, men „jag integrerade bara det" är exakt den roll som distributörskategorin täcker.

Grund: EU AI Act artikel 26 (skyldigheter för distributörer av högrisk AI-system), artikel 4 (AI-kompetens), artikel 99 (påföljder).

Dina Enterprise-klienter måste samla säkerhetsbevissäkerhet från dig

Företag som är verksamma enligt SOC 2, ISO 27001 eller GDPR artikel 28 driver leverantörhanterings program som deras revisorer faktiskt kontrollerar — och dessa program skiljer inte mellan en leverantör med 500 personer och en leverantör med en person. Det är därför säkerhetsfrågeformuläret kommer innan kontraktet. Frilansare som kan svara med bevis avslutar snabbare än frilansare som improviserar.

Grund: avtalsbaserad — databehandlingsavtal och leverantörsäkerhetskrav som dina klienter är skyldiga att ställa på alla de ger data till, inklusive individer.

Ett brott i ett klientprojekt är en verklig affärsrisk

En säkerhetsincident i ett klientprojekt kan innebära direkt ansvar enligt ditt avtals skadeståndsbestämmelse, kan innebära processoransvar enligt GDPR artikel 82 där personuppgifter är inblandade och kan innebära att tappa klienten och referensen som följde med det. För en verksamhet med en person är den ryktbara tillgången verksamheten. Detta är risk, inte säkerhet — men det är den normala konsekvenskedjan när en bortglömd autentisering blir en incident.

Grund: GDPR artikel 82 (rätt till skadeersättning); dina egna servicekontrakt.

Vad som för närvarande är exponerat på ditt konto

Varje skyldighet ovan innebär samma första fråga: vad har åtkomst till den plats där ditt klientarbete är? För de flesta oberoende utvecklare är den platsen ett personligt GitHub-konto — och det har ackumulerat åtkomst under år. Allt följande är maskinläsbara från GitHub:s egna API:

Installerade GitHub-appar

Distributions bots, CI-verktyg, AI-assistenter — var och en innehåller tillatelsebidrag du godkände en gång. Några innehåller skrivning eller admin över allt du äger; några tillhör projekt som avslutades för länge sedan.

Distribuera nycklar

Obetjänade SSH-autentiseringsuppgifter på servrar. En läs-skrivnyckel på ett arkiv som bara behövde läsa är en kodinspritsningsväg om den servern någonsin komprometteras.

Medarbetare

Människor tillagda under samarbeten som sedan avslutats, fortfarande innehåller skrivåtkomst — inklusive på arkiv som är offentliga.

Offentliga arkiv

Vilka av dina arkiv som är offentliga och vem som kan skicka till dem är en inventeringsfråga de flesta utvecklare inte kan svara från minnet.

AI-leverantörsnycklar som överlever projekt

OpenAI-, Anthropic-, Mistral- eller Cursor-kontot bakom dina sidoprojekt ackumulerar API-nycklar och platser långt efter att projektet är slut. 8200.dev:s AI Governance-vy flaggar gamla och organisationsövergripande nycklar, nycklar som överlevde en rollförändring och platser som ingen använder — från leverantörernas egna admin-API:er, skrivskyddade.

Se det, sedan besluta

Anslut ditt personliga GitHub-konto skrivskyddat och få inventeringen: varje installerad app och dess bidrag, varje distributionsnyckel och om den är skrivskyddad, varje medarbetare, varje offentligt arkiv — med fynden rangordnade efter allvarlighetsgrad. Gratisversionen visar dina tre bästa fynd i sin helhet. Ingen lag kräver att du kör en genomsökning; skyldigheterna ovan gäller hur som helst. Vad en genomsökning ändrar är om du kan svara på de frågor de innebär.

Skanna ditt konto kostnadsfritt Läs hela artikeln →

Skrivskyddade omfattningar. Aldrig din källkod. Inget kreditkort.

Den här sidan är allmän information om regelverk som vanligtvis gäller för oberoende utvecklare och frilansare; det är inte juridisk rådgivning. Hur varje förordning gäller för din specifika situation beror på fakta som är specifika för dig — för det, rådgör en advokat.