4 Lästid CISA och dess partners inom G7 presenterade denna veckan nya riktlinjer som beskriver minimikraven för så kallaed software bills of materials (SBOM) för artificiell intelligens – ett ramverk som kan förändra hur organisationer bedömer säkerheten och ursprunket hos AI-system som införs i företagsmiljöer. släppte denna vecka vägledning som beskriver minimala element för software bills of materials inom artificiell intelligens, ett ramverk som kan förändra hur organisationer bedömer säkerheten och ursprunget för AI-system som kommer in i företagsmiljöer.
Vägledningen, som publicerad 12 maj 2026, bygger vidare på traditionella SBOM-koncept och anpassar dem till AI-system genom krav på dokumentation av modeller, dataset, mjukvarukomponenter, leverantörer, licenser och beroenden. CISA betonar att de kompletterade minimikraven är frivilliga men framhåller samtidigt att de speglar en gemensam syn bland G7-ländernas experter och kommer att utvecklas i takt med att AI-tekniken förändras
För säkerhetschefer placerar dokumentet AI-risker nu tydligare inkluderas i arbetet med leverantörskedjesäkerhet. AI- SBOM blir därmed en del av samma riskdiskussioner som redan omger mjukvarukomponenter, molntjänster och tredjepartsplattformar.
Ramverket bygger på sju huvudområden
G7:s ramverk organiserar AI SBOM i sju centrala områden: Metadata, Modeller, Dataset-egenskaper, Systemnivåegenskaper, Nyckelprestandaindikatorer, Säkerhetsegenskaper och Infrastruktur.
Metadataområdet innehåller information om själva SBOM-dokumentationen, medan de övriga delarna beskriver komponenter i den bredare AI-leverantörkedjan.
Området för modeller omfattar grundlägganed information som identifierar AI-modeller och beskriver hur modellvikter har producerats. Datasetegenskaper innehåller information om de dataset som används under modellens hela livscykel, inklusive ursprung och identitet. Säkerhetsegenskaper fokuserar på cybersäkerhetsåtgärder kopplade till AI-modeller och system.
Allan Friedman, som ledde CISA:s SBOM-arbete fram till juli 2025 och nu arbetar vid Institute for Security and Technology, beskriver väglednngen som ett ”ett bra dokument”. Samtidigt påpekar han att flera av områdena är ”svåra att mäta eller till och med svåra att definiera på ett specifikt sätt mellan organisationer”.
Hans kommentar pekar på att den centrala utmaningen med AI-SBOM: dokumentationen kan visa vad leverantörer säger finns i deras system, men den bevisar inte nödvändigtvis att systemen är tillförlitliga eller lämpliga för specifika verksamhetskritiska användingsområden.
Den frivilliga etiketten döljer verklig reglertryck
Trots den frivilliga inramningen kommer vägledningen vid en tidpunkt när AI-transparens blir ett regulatoriskt krav i flera jurisdiktioner. EU:s AI-lag inkluderar omfattande transparensförpliktelser för högrisk-AI-system, medan upphandlingsprocesser i allt högre grad kräver synlighet i leverantörskedjan.
Det nya dokumentet bygger på CISA:s tidigare arbete för att etablera en gemensam vision för software bills of materials och sammanfaller med bredare regulatorisk momentum kring AI-systemdokumentation. Tysklands BSI, Frankrikes ANSSI och andra G7-cybersäkerhetsorganisationer publicerade gemensamt dokumentet tillsammans med CISA och Storbritanniens NCSC.
Den internationella samordningen antyder att AI SBOM sannolikt kommer att bli grundläggande krav vid upphandling för företags-AI-implementationer, oavsett deras frivilliga status. Stora leverantörer kommer att behöva svara på specifika frågor om tredjepartsmodellberoenden, dataflöden och modelluppdateringsrutiner oavsett om de frivilligt valt transparens eller inte.
Implementeringen blir avgörande
Vägledningen erkänner att AI-system introducerar komplexitet bortom traditionell mjukvara och rekommenderar kompletterande minimala element skräddarsydda för AI-miljöer. Den erkänner dock att en AI SBOM ensam är otillräcklig för leverantörskedjesäkerhet. Dokumentet betonar att koppla SBOM till sårbarhetsverktyg, säkerhetsbulletiner och utvecklingsövervakningsmekanismer.
För företag som utvärderar AI-leverantörer blir SBOM-diskussionen ett användbart filter. Leverantörer som kan producera omfattande dokumentation som täcker modellhärkomst, dataset-ursprung och beroendetracking visar operativ mognad. De som inte kan gör det bygger kanske på fundament de inte helt förstår eller kontrollerar.
Utmaningen är verifiering. Säkerhetsteam kan få detaljerade AI SBOM från leverantörer, men de behöver fortfarande avgöra om dessa dokument återspeglar produktionssystem och förblir aktuella när AI-miljöer förändras. Det verifieringskravet förvandlar AI SBOM-diskussioner från regelefterlevnadsövningar till substantiella tekniska due diligence-processer.
Referenser
- CISA Software Bill of Materials for AI – Minimum Elements
- CISA G7 Partners Release SBOM for AI Guidance
- CISA’s AI SBOM Guidance Pushes Software Supply-Chain Oversight
- Major World Economies Spell Out Key Elements of AI Ingredients List
This post is also available in:
English
Related News
IMF varnar: AI kan utlösa systemkris inom finanssektorn
Internationella valutafonden har varnat för att AI-drivna cyberangrepp kan utlösa systemstörningar över hela den globala finansmarknaden. I en blogg publicerad 7 maj konstaterade IMF att…
maj 19, 2026 
Microsoft 365 Copilot-bugg läste konfidentiella mejl i tre veckor
februari 23, 2026