獨立開發人員和自由職業者
如果您是自由職業者或獨立開發人員處理用戶端資料，您不能因為規模小就選擇不遵守安全法規。GDPR 下的處理者義務、EU AI Act 下的部署者義務以及用戶端的合約安全要求都直接適用於您——今天，在您目前的規模下。以下是已適用的內容（按法規逐一命名）以及您自己帳戶上當前暴露的內容。
當用戶端向您提供個人資料——使用者資料庫、生產系統、匯出——您以 GDPR 下的資料處理者（有時是控制者）身份行動。該狀態不需要公司：它適用於「自然人或法人」。它要求您在合約下進行處理，為您持有的資料實施適當的安全措施，並在遭到洩露時立即通知您的用戶端——它也使您面臨賠償請求和行政罰款。
依據：GDPR 第 4 條（定義）、第 28 條（合約下的處理）、第 32 條（處理安全）、第 33 條（洩露通知）、第 82-83 條（責任和最高達 2000 萬歐元或全球年營業額 4% 的行政罰款，以較高者為準）。
如果您的用戶端工作包括將 AI 系統投入生產——用戶端產品中的助手、自動化工作流程的 AI 代理——EU AI Act 對部署者（在專業背景下以自己的權威使用 AI 系統的人）施加義務。適用哪些義務取決於系統的風險類別，但「我只是整合了它」正是部署者類別涵蓋的角色。
依據：EU AI Act 第 26 條（高風險 AI 系統部署者的義務）、第 4 條（AI 素養）、第 99 條（罰款）。
在 SOC 2、ISO 27001 或 GDPR 第 28 條下運營的公司執行供應商管理計畫，其稽核員實際檢查——這些計畫不區分 500 人供應商和一人供應商。這就是為什麼安全問卷在合約之前送達。能夠提供證據的自由職業者比即興回答的自由職業者更快地成交。
依據：合約——資料處理協議和供應商安全要求，您的用戶端必須對任何他們交付資料的人（包括個人）強制執行。
用戶端專案中的安全事件可能意味著根據您合約的彌償條款的直接責任，在涉及個人資料的 GDPR 第 82 條下可能意味著處理者責任，也可能意味著失去用戶端和隨之而來的參考。對於一人企業來說，聲譽資產就是業務。這是風險，不是確定性——但當遺忘的憑據變成事件時，這是常見的後果鏈。
依據：GDPR 第 82 條（賠償請求）；您自己的服務合約。
上述每項義務都暗示了相同的第一個問題：什麼有權存取您的用戶端工作所在的地方？對於大多數獨立開發人員來說，那個地方是個人 GitHub 帳戶——它已經累積了多年的存取權。以下所有內容都可以從 GitHub 自己的 API 中機器可讀：
部署機器人、CI 工具、AI 助手——每個都持有您曾批准的權限授予。有些對您擁有的所有內容都擁有寫入或管理員權限；有些屬於已結束的專案。
伺服器上的無人值守 SSH 憑據。只需讀取的儲存庫上的讀寫密鑰是程式碼注入路徑，如果該伺服器被洩露。
在已結束的協作期間新增的人員，仍然持有寫入存取權——包括公開儲存庫上的存取權。
您的哪些儲存庫是公開的，誰可以推送到它們，是大多數開發人員無法從記憶中回答的清單問題。
您側項專案背後的 OpenAI、Anthropic、Mistral 或 Cursor 帳戶在專案結束後很長時間內累積 API 密鑰和座位。8200.dev 的 AI Governance 檢視會標記過期和整個組織的密鑰、超越角色變更的密鑰以及沒有人使用的座位——來自供應商自己的管理 API、唯讀。
連線您的個人 GitHub 帳戶唯讀並取得清單：每個已安裝應用程式及其授予、每個部署密鑰以及它是否唯讀、每個協作者、每個公開儲存庫——尋找結果按嚴重程度排列。免費層完整顯示您的前 3 個尋找結果。沒有法律要求您執行掃描；上述義務無論如何都適用。掃描改變的是您是否可以回答它們暗示的問題。
唯讀範圍。永遠不是您的原始碼。無需信用卡。
本頁是關於通常適用於獨立開發人員和自由職業者的法規的一般資訊；它不是法律意見。每項法規如何適用於您的特定情況取決於特定於您的事實——為此，請諮詢律師。