Cómo crear un AIBOM (AI Bill of Materials): guía práctica
«¿Cómo creo un AIBOM?» es el paso práctico tras entender qué es uno. Un AI Bill of Materials es solo un inventario estructurado de todo lo que compone tu sistema de IA —modelos, datos, software y sus licencias—, pero crear uno útil significa ser disciplinado con lo que capturas y expresarlo en un formato que una máquina pueda comprobar. Este es el proceso.
Paso 1: inventaría los modelos
Para cada modelo del sistema, registra: nombre, versión, fuente o editor, licencia y un hash de integridad o firma. Este es el núcleo de un AIBOM y la parte que un SBOM normal se salta: tienes que poder responder «¿qué modelo, de dónde, bajo qué licencia y podemos probar que no se ha manipulado?». Para un fine-tune, registra también el modelo base; identidad, procedencia y linaje del AIBOM muestra cómo.
Paso 2: inventaría los datos
Captura los datasets de entrenamiento y de fine-tuning: fuente, licencia y sensibilidad (¿contienen PII o datos regulados?). La procedencia de los datos es donde vive gran parte del riesgo legal y de privacidad de la IA, así que incluso un registro parcial es valioso. Ese núcleo de modelo y datos es también lo que captura por sí mismo un ML-BOM (machine learning bill of materials). La sección de datos del AIBOM cubre en detalle los datasets, las licencias y los datos sensibles.
Paso 3: captura el software que lo rodea (SBOM)
Un sistema de IA sigue siendo software. Genera un SBOM de las librerías y dependencias alrededor del modelo para que el AIBOM cubra también la cadena de suministro convencional: las dependencias vulnerables siguen siendo uno de los riesgos más comunes en el mundo real.
Paso 4: registra la procedencia y la integridad
Documenta de dónde vino cada componente y cómo se obtuvo, y adjunta hashes o firmas para poder verificar la integridad. Eso es lo que convierte un inventario en un artefacto de confianza. Firmar un modelo y adjuntar la procedencia lo recorre de principio a fin.
Paso 5: usa un formato legible por máquina
Expresa el AIBOM en CycloneDX o SPDX —ambos admiten o se están extendiendo a componentes de IA/ML— para poder generarlo en tu pipeline y validarlo de forma automática en busca de licencias prohibidas, procedencia desconocida o componentes con vulnerabilidades conocidas. Una hoja de cálculo estática no puede hacer eso. Para ver cómo es un archivo terminado, lee CycloneDX ML-BOM: campos y un ejemplo resuelto.
Paso 6: mantenlo actualizado
Genera el AIBOM en tu pipeline de build/release para que coincida con lo que realmente está desplegado, y regenéralo ante cualquier cambio de modelo, de datos o de dependencia. Un AIBOM obsoleto crea una confianza falsa.
Genera e inspecciona uno ahora con el generador de AIBOM →, parte de una estructura con la plantilla de AIBOM y mira en qué se diferencia de inventarios relacionados en SBOM frente a AIBOM frente a MLBOM.
Preguntas frecuentes
¿Qué es un AIBOM? Un inventario legible por máquina de los modelos, los datos, el software y las licencias de un sistema de IA: un SBOM extendido a los componentes específicos de la IA.
¿Qué debe incluir? Modelos (nombre, versión, fuente, licencia, hash), datasets (fuente, licencia, sensibilidad), dependencias de software y procedencia.
¿Qué formato? CycloneDX o SPDX, para poder generarlo y validarlo de forma automática.
¿Cómo lo mantengo actualizado? Genéralo en tu pipeline y regenéralo ante cualquier cambio de modelo, datos o dependencia.
Preguntas frecuentes
¿Qué es un AIBOM?
Un AIBOM (AI Bill of Materials) es un inventario estructurado e, idealmente, legible por máquina de los componentes de un sistema de IA: los modelos y de dónde vinieron, los datos de entrenamiento y fine-tuning, las dependencias de software y las licencias de cada uno. Extiende el concepto de software bill of materials (SBOM) para cubrir las partes específicas de modelo y datos de un producto de IA que un SBOM normal no recoge.
¿Qué debe incluir un AIBOM?
Como mínimo: cada modelo (nombre, versión, fuente/editor, licencia y un hash de integridad o firma); los datasets de entrenamiento y fine-tuning (fuente, licencia y estado de sensibilidad/PII); las dependencias de software que lo rodean (en la práctica, un SBOM); e información de procedencia/linaje que muestre de dónde vino cada componente y cómo se obtuvo. Las licencias y la procedencia son las partes con mayor valor de gobernanza.
¿Qué formato debo usar para un AIBOM?
Usa un formato de BOM establecido y legible por máquina en lugar de un documento: CycloneDX y SPDX admiten (o se están extendiendo para admitir) componentes de IA y ML, así que un AIBOM expresado en uno de ellos se puede generar, compartir y validar con las herramientas existentes. Un AIBOM legible por máquina es mucho más útil que una hoja de cálculo estática porque se puede comprobar de forma automática en busca de licencias prohibidas, procedencia desconocida o componentes con vulnerabilidades conocidas.
¿Cómo mantengo un AIBOM actualizado?
Genéralo como parte de tu pipeline de build o release para que refleje el sistema realmente desplegado, y regenéralo cada vez que cambie un modelo, un dataset o una dependencia. Trata un cambio de modelo o un fine-tune como un cambio que produce un nuevo AIBOM, igual que una actualización de dependencia produce un nuevo SBOM. Un AIBOM obsoleto es peor que ninguno porque crea una confianza falsa.