G7 publikuje wytyczne AI SBOM. Co to oznacza dla firm w Polsce?

Agencje rządowe państw Grupy Siedmiu (G7) opublikowały pierwsze wspólne wytyczne dotyczące tworzenia specyfikacji materiałowej (SBOM) dla systemów sztucznej inteligencji. Dokument, zatytułowany „Software Bill of Materials for AI – Minimum Elements”, ma pomóc organizacj organizacjom – zarówno publicznym, jak i prywatnym – zwiększyć przejrzystość w zakresie komponentów używanych w AI oraz ułatwić śledzenie podatności w łańcuchu dostaw. Choć wytyczne nie są prawnie wiążące, wyznaczają kierunek, w którym mogą podążać przyszłe regulacje, także w Unii Europejskiej.

Czym jest AI SBOM i dlaczego powstał?

SBOM (Software Bill of Materials) to szczegółowy, maszynowo odczytywalny manifest, który kataloguje każdy komponent, bibliotekę, zależność i moduł wchodzący w skład produktu programistycznego. W przypadku AI chodzi o udokumentowanie nie tylko kodu, ale także modeli, zbiorów danych, infrastruktury oraz właściwości bezpieczeństwa. Jak wyjaśniają autorzy dokumentu, agencje z USA, Kanady, Japonii, Niemiec, Francji, Włoch, Wielkiej Brytanii oraz Unii Europejskiej chcą w ten sposób „zwiększyć przejrzystość w systemach AI i łańcuchach dostaw” oraz „ułatwić śledzenie podatności i redukcję ryzyka”.

Dokument określa siedem głównych klastrów, które powinny znaleźć się w AI SBOM: metadane, modele, kluczowe wskaźniki wydajności (KPI), infrastruktura, właściwoę, właściwości bezpieczeństwa (SP), właściwości na poziomie systemu (SLP) oraz właściwości zbiorów danych (DP). Każdy z tych klastrów zawiera szczegółowe elementy – na przykład klaster SLP powinien obejmować nazwę systemu, producenta, wersję, komponenty, znacznik czasu, przepływ danych oraz zamierzone zastosowanie.

Wyzwania wdrożeniowe – eksperci studzą entuzjazm

Mimo że inicjatywa jest szeroko komentowana jako krok w dobrym kierunku, eksperci zwracają uwagę na praktyczne trudności. Nigel Douglas, szef działu relacji z deweloperami w firmie Cloudsmith, specjalizującej się w bezpieczeństwie łańcucha dostaw oprogramowania, zauważa, że „ramy G7 stawiają właściwe wymagania, ale organizacje próbujące je wdrożyć przekonają się, że dokumentacja stosowana retrospektywnie nie odtwarza pochodzenia”.

Douglas dodaje, że „ciągłe, automatyczne generowanie SBOM jest już podstawowym wymogiem dla organizacji poważnie traktujących bezpieczeństwo łańcucha dostaw, a nowe ramy G7 rozszerzają tę logikę na obszary, w których narzędzia i zarządzanie jeszcze nie nadążają”. Jego zdaniem problem strukturalny polega na tym, że narzędzia Generatywnej AI umożliwiają deweloperom tworzenie aplikacji lub dołączanie zależności poza formalnym procesem przeglądu. „Tradycyjne SBOM-y były projektowane dla łańcuchów dostaw o stosunkowo łatwych do prześledzenia krawędziach, ale rozwój wspomagany przez AI produkuje kod, przepływy pracy i zależności, które mogą trafić do produkcji bez przechodzenia przez ustalone procesy inwentaryzacji i zapewnienia jakości” – podkreśla Douglas.

Co to oznacza dla polskich firm?

Choć wytyczne G7 nie są bezpośrednio wiążące dla firm w Polsce, warto traktować je jako zapowiedź kierunku, w jakim zmierzają regulacje, zwłaszcza w kontekście unijnego aktu o AI oraz dyrektywy NIS2. Coraz więcej kontrahentów i klientów będzie oczekiwać przejrzystości w zakresie komponentów AI – zarówno od dostawców oprogramowania, jak i od firm wdrażających systemy sztucznej inteligencji.

Praktyczne kroki, które można podjąć już dziś:

• Zapoznanie się z dokumentem – warto przeanalizować siedem klastrów i sprawdzić, które elementy są już możliwe do udokumentowania w obecnych procesach.
• Automatyzacja tworzenia SBOM – ręczne sporządzanie specyfikacji jest podatne na błędy i nie nadąża za tempem zmian. Warto rozważyć narzędzia do automatycznego generowania SBOM dla kodu i modeli.
• Audyt łańcucha dostaw – przegląd zależności, bibliotek i modeli używanych w projektach AI pod kątem ich pochodzenia i aktualności.
• Edukacja zespołów – deweloperzy i inżynierowie danych powinni rozumieć znaczenie SBOM i wiedzieć, jak je tworzyć w sposób ciągły.

Autorzy wytycznych sami przyznają, że „te minimalne elementy nie są obowiązkowe; nie tworzą wymogów, standardów ani przepisów i są otwarte na dalsze udoskonalenia, aby nadążać za rozwojem technologicznym i ewolucją ram prawnych w państwach G7”. Mimo to dla firm, które chcą być przygotowane na przyszłe regulacje i budować zaufanie klientów, wdrożenie AI SBOM może okazać się inwestycją, która zaprocentuje.

Warto obserwować, czy podobne wytyczne pojawią się wkrótce ze strony unijnych agencji, takich jak ENISA, oraz czy Komisja Europejska włączy je do planowanego aktu o AI. Na razie G7 daje narzędzie – od firm zależy, czy z niego skorzystają.