Qu’est-ce qu’un AIBOM (nomenclature d’IA) ? Guide pour CISO

Un AIBOM (AI Bill of Materials, ou nomenclature d’IA) est un inventaire lisible par machine des modèles, jeux de données et dépendances de code d’un produit d’IA, chacun avec sa version, sa licence et sa provenance. Il répond à la question « quel modèle, entraîné sur quelles données, sous quelle licence ? » comme un SBOM répond « quel code ? ».

AIBOM contre SBOM

Un SBOM inventorie le code. Un AIBOM l’étend avec les composants qu’un SBOM n’a jamais décrits : les modèles (base et fine-tunes), les jeux de données d’entraînement et d’évaluation, et les licences et la provenance de chacun. Dans un produit d’IA, le modèle et ses données d’entraînement sont des dépendances à risque, comme un paquet npm.

Ce qu’un bon AIBOM doit contenir

• Chaque modèle comme composant à part entière, avec version, licence et model card.
• Chaque jeu de données, avec sa licence et sa provenance.
• Les dépendances de code d’IA/ML.
• Un format standard comme CycloneDX, pour que vos outils puissent le lire.

Pourquoi c’est important maintenant

Une licence non commerciale ou copyleft qui se glisse dans un produit payant est le piège silencieux qu’un AIBOM est censé attraper. De plus, les clients grands comptes et les régulateurs commencent à demander un inventaire d’IA dans le cadre de la due diligence. Commencer est simple : générez votre premier AIBOM avec le convertisseur ML-BOM, validez-le avec le validateur d’AIBOM et vérifiez les licences avec le vérificateur de licences de modèles.