AI-BOM

Una SBOM corriente enumera bibliotecas y versiones, pero un modelo es más que código. El modelo base del que se ajustó, los datos de entrenamiento, la licencia de los pesos y los datasets añadidos importan tanto para la seguridad como para el riesgo legal. Una AI-BOM, también llamada ML-BOM, describe ese linaje de forma legible por máquina. CycloneDX incorporó ML-BOM en su versión 1.5 en 2023, y SPDX 3.0 llegó en 2024 con perfiles específicos para IA y datasets.

El impulso es en parte normativo, pues el Reglamento de IA de la UE obliga a documentar los datos de entrenamiento de los modelos de uso general. La otra parte es que licencias como la de Llama u OpenRAIL imponen restricciones de uso que viajan aguas abajo. Quien no sabe qué modelo lleva dentro tampoco sabe a qué se ha comprometido.