¿Qué es un AIBOM (lista de materiales de IA)? Guía para CISO
Un AIBOM (AI Bill of Materials, o lista de materiales de IA) es un inventario legible por máquina de los modelos, datasets y dependencias de código de un producto de IA, cada uno con su versión, licencia y procedencia. Responde a la pregunta «¿qué modelo, entrenado con qué datos y bajo qué licencia?» igual que un SBOM responde «¿qué código?».
AIBOM frente a SBOM
Un SBOM inventaría el código. Un AIBOM lo amplía con los componentes que un SBOM nunca describió: los modelos (base y fine-tunes), los datasets de entrenamiento y evaluación, y las licencias y procedencia de cada uno. En un producto de IA, el modelo y sus datos de entrenamiento son dependencias con riesgo, igual que un paquete de npm.
Qué debe incluir un buen AIBOM
- Cada modelo como componente de primer nivel, con versión, licencia y model card.
- Cada dataset, con su licencia y procedencia.
- Las dependencias de código de IA/ML.
- Un formato estándar como CycloneDX, para que tus herramientas puedan leerlo.
Por qué importa ahora
Una licencia no comercial o copyleft que se cuela en un producto de pago es la trampa silenciosa que un AIBOM está pensado para atrapar. Además, clientes empresariales y reguladores empiezan a pedir un inventario de IA como parte de la diligencia debida. Empezar es sencillo: genera tu primer AIBOM con el conversor ML-BOM, valídalo con el validador de AIBOM y revisa las licencias con el verificador de licencias de modelos.
Preguntas frecuentes
¿En qué se diferencia un AIBOM de un SBOM?
Un SBOM inventaría código; un AIBOM añade los modelos y datasets, con sus licencias y procedencia, que un SBOM ignora.
¿Qué formato usa un AIBOM?
Normalmente CycloneDX, que incluye componentes de machine-learning-model y data en las versiones recientes del estándar.
¿Por qué me pedirían un AIBOM?
Clientes y reguladores lo piden como prueba de que sabes qué modelos y datos hay en tu producto y bajo qué licencias.