AI-BOM

Una SBOM tradizionale elenca librerie e versioni, ma un modello è più del codice. Il modello base da cui deriva il fine-tuning, i dati di addestramento, la licenza dei pesi e gli eventuali dataset aggiunti contano altrettanto per la sicurezza e per l'esposizione legale. Una AI-BOM, detta anche ML-BOM, descrive questa filiera in forma leggibile da macchina. CycloneDX ha introdotto il supporto ML-BOM nella versione 1.5 nel 2023, mentre SPDX 3.0 è arrivato nel 2024 con profili dedicati a IA e dataset.

Una parte della spinta è normativa: l'AI Act europeo impone ai fornitori di modelli di uso generale di documentare i dati di addestramento. L'altra è che licenze come Llama e OpenRAIL portano con sé restrizioni d'uso che si trasmettono a valle. Se non si sa quale modello c'è sotto il cofano, non si sa nemmeno a che cosa si è aderito.