SBOM vs AIBOM vs MLBOM: comparativa
Tres listas de materiales que se confunden a menudo, comparadas lado a lado: qué inventaría cada una, sus formatos, qué regulación las impulsa y cuál necesitas.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Tres listas de materiales que se confunden a menudo. Una lista de materiales de software (Software Bill of Materials, SBOM) enumera tus componentes de software y sus licencias. Una lista de materiales de machine learning (Machine Learning Bill of Materials, MLBOM) describe la composición de un único modelo: arquitectura, datos de entrenamiento y pesos. Una lista de materiales de IA (AI Bill of Materials, AIBOM) es el superconjunto que engloba ambas: el software más cada modelo y conjunto de datos. Las SBOM usan SPDX o CycloneDX; las MLBOM, el ML-BOM de CycloneDX; las AIBOM, las extensiones de ML de CycloneDX o el perfil de IA de SPDX 3.0. Las SBOM las impulsan la orden ejecutiva EO 14028 de EE. UU. y la Cyber Resilience Act de la UE; las AIBOM, las obligaciones de documentación técnica de la Ley de IA de la UE para los sistemas de alto riesgo. Si publicas funciones de IA, necesitas una AIBOM: una SBOM sola no recoge los pesos del modelo ni los datos de entrenamiento, que es donde está el riesgo real. Compáralas lado a lado y después genera la tuya. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Compara lado a lado qué inventaría cada documento: componentes de software, la composición de un modelo o el sistema de IA completo.
- Revisa los formatos de cada uno (SPDX, CycloneDX, ML-BOM de CycloneDX, perfil de IA de SPDX 3.0) y la regulación que lo impulsa.
- Mira lo que se le escapa a cada uno: una SBOM no recoge los pesos del modelo ni los datos de entrenamiento.
- Decide cuál necesitas: software sin IA, una SBOM; software con funciones de IA, una AIBOM (que incluye la SBOM); si entrenas o ajustas modelos, una MLBOM por modelo referenciada desde tu AIBOM.
Preguntas frecuentes
¿Qué diferencia hay entre una SBOM y una AIBOM?
Una SBOM (Software Bill of Materials) inventaría los componentes de software y las dependencias de una compilación, cada uno con su versión y su licencia. Una AIBOM (AI Bill of Materials) extiende esa idea a un sistema de IA: incluye el software de una SBOM más cada modelo y conjunto de datos con los que está construido el sistema, cada uno etiquetado con su licencia, versión y procedencia. La AIBOM recoge justo las piezas que una SBOM corriente nunca recogió: los pesos del modelo y los datos de entrenamiento.
¿Qué es una MLBOM? ¿Es lo mismo que una AIBOM?
Una MLBOM (Machine Learning Bill of Materials) describe la composición de un modelo de machine learning concreto: su arquitectura, los conjuntos de datos con los que se entrenó, los hiperparámetros y la procedencia de sus pesos. Es más acotada que una AIBOM. Piensa en la MLBOM como el registro a nivel de modelo y en la AIBOM como el registro de todo el sistema, que envuelve la MLBOM junto con el software de la aplicación que la rodea.
¿Cuál exige la Ley de IA de la UE?
La Ley de IA de la UE no usa el término AIBOM, pero sus obligaciones de documentación técnica y de conservación de registros para los sistemas de IA de alto riesgo exigen exactamente lo que recoge una AIBOM: los modelos y conjuntos de datos usados, su procedencia y cómo está compuesto el sistema. Una AIBOM es el artefacto práctico que cumple esas obligaciones, igual que una SBOM cumple los requisitos de transparencia del software.
¿Necesito las tres?
Rara vez las tres como documentos separados. Si publicas software, empieza por una SBOM. Si ese software incluye funciones de IA, pasa a una AIBOM, que engloba la SBOM. Si entrenas o ajustas modelos, mantén una MLBOM por cada artefacto de modelo para tener el linaje de sus datos de entrenamiento; tu AIBOM puede entonces referenciar esas MLBOM.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.