O grupo G7 definiu uma estrutura comum para os elementos mínimos de uma «lista de materiais de software de inteligência artificial» (AIBOM), em uma iniciativa destinada a tornar mais rastreáveis os componentes dos sistemas de inteligência artificial, suas fontes e suas relações de dependência. A estrutura é uma extensão do conceito de lista de materiais de software (SBOM), mas se concentra nas características adicionais que distinguem os sistemas de inteligência artificial, como modelos, conjuntos de dados, infraestrutura e resultados de avaliação.
De acordo com o artigo publicado na MONOist, Alemanha e Itália abordaram o conceito de «SBOM para inteligência artificial» no âmbito dos trabalhos do G7 desde 2023. Resultados relacionados a essa iniciativa também foram aprovados durante a reunião do Grupo de Trabalho de Cibersegurança em Ottawa, Canadá, nos dias 12 e 13 de maio de 2025. Em 12 de maio de 2026, foi publicada uma estrutura intitulada Software Bill of Materials (SBOM) for Artificial Intelligence - Minimum Elements, com a participação de órgãos de cibersegurança dos países do G7.
O que o AIBOM acrescenta ao SBOM?
A estrutura não trata o AIBOM como uma simples versão ampliada da lista de software tradicional. Ela vincula os componentes do sistema ao seu ciclo de vida, incluindo treinamento, testes, validação, conjuntos de dados utilizados no treinamento e resultados de avaliação. O objetivo declarado é apoiar a segurança dos sistemas de inteligência artificial por meio do aprimoramento da compreensão da cadeia de suprimentos e das relações entre os componentes.
Segundo o artigo, a estrutura exige três princípios fundamentais: deve ser possível distinguir o sistema de inteligência artificial dos sistemas de software tradicionais por meio de suas características específicas; as informações devem ser apresentadas em um formato legível por máquina e processável por ferramentas; e a estrutura de dados deve permitir a inclusão das informações exigidas por diferentes partes interessadas, representando as relações entre os componentes de maneira escalável.
Sete grupos de elementos
A estrutura organiza os elementos mínimos em sete grupos principais, incluindo características do sistema e dados no nível do sistema, características do modelo, características dos conjuntos de dados, infraestrutura, características de segurança e indicadores de avaliação de desempenho, como indicadores-chave de desempenho (KPI). Essa organização permite vincular os componentes do sistema a informações que vão além do nome do pacote de software ou de seu número de versão, abrangendo elementos que afetam efetivamente o comportamento e os riscos do sistema.
O artigo também indica que a rápida disseminação dos agentes de inteligência artificial aumenta a importância de documentar elementos como autonomia e intenção. No entanto, esses elementos podem variar de acordo com a forma como o sistema é utilizado; por isso, foi apresentada a necessidade de mais estudos, em vez de serem propostos como requisitos completos e definitivos.
Por que esta notícia é importante?
Na prática, o AIBOM oferece às instituições e aos órgãos reguladores uma base comum para compreender o que entra na construção de um sistema de inteligência artificial, quem fornece esses elementos e como seus componentes se relacionam. Isso é importante ao investigar um incidente de segurança ou avaliar o impacto de uma alteração em um modelo, conjunto de dados ou componente externo. A iniciativa também está alinhada a aplicações regulatórias e de segurança mais amplas, entre elas o Regulamento Europeu de Inteligência Artificial, estruturas de cibersegurança e requisitos do Espaço Europeu de Dados de Saúde (EHDS).
Mas a estrutura, por si só, não resolve o problema da segurança da cadeia de suprimentos de inteligência artificial. O artigo alerta que o AIBOM sozinho não é suficiente para garantir a segurança dos fornecedores e que sua aplicação exige integração com ferramentas de gestão de riscos, outras práticas de segurança e consultores ou mecanismos capazes de verificar as informações e acompanhar suas mudanças. Além disso, a interoperabilidade continuará vinculada à evolução das ferramentas e dos padrões, incluindo os trabalhos do projeto SPDX.