Vad är en SBOM och en AI-BOM?
En SBOM är en maskinläsbar förteckning över en programvaras komponenter, och en AI-BOM är samma sorts förteckning utvidgad till modeller och data.
Förkortningen står för software bill of materials, ungefär en innehållsförteckning för programvara. Den listar vilka bibliotek och versioner en produkt bygger på, och hur de hänger ihop. När en sårbarhet blir känd går det då snabbt att se om den finns i de egna systemen.
För AI räcker inte en lista över programkod. En AI-BOM beskriver också vilka modeller som används, var de kommer ifrån, vilka data de har tränats eller anpassats med och vilken infrastruktur de körs på. G7:s arbetsgrupp för cybersäkerhet publicerade i maj 2026 en vägledning om vad en sådan förteckning minst bör innehålla.
EU:s cyberresiliensförordning kräver att tillverkare av produkter med digitala delar upprättar en SBOM som omfattar åtminstone produktens direkta beroenden, som en del av hanteringen av sårbarheter. Kravet gäller från den 11 december 2027.
Så fungerar det
Förteckningen tas fram automatiskt när programvaran byggs och sparas i ett standardiserat, maskinläsbart format. Den anger namn, version, leverantör och beroenden för varje komponent, och gärna kontrollsummor som visar att filerna är oförändrade.
En AI-BOM lägger till uppgifter om modellerna: var de har hämtats, vilken version som används, vilka data de har anpassats med och vilka villkor som gäller.
Därför spelar det roll
Utan förteckning tar det lång tid att svara på en enkel fråga när en sårbarhet blir känd: finns den hos oss? Med förteckningen går det att söka. Den gör också en leveranskedjeattack lättare att upptäcka och begränsa.
Att tänka på
En förteckning är bara värdefull om den hålls aktuell. Uppdatera den vid varje ny version.
Fråga leverantörer om förteckningen omfattar modeller och data, och hur de själva följer upp sårbarheter.
Vad det betyder för er
Fråga leverantören om en SBOM, och om AI-delarna ingår. Använd förteckningen för att följa upp sårbarheter och ursprung under hela tiden ni använder produkten.
Vanliga frågor
Vad är skillnaden mellan en SBOM och en AI-BOM?
En SBOM listar programvarans komponenter. En AI-BOM lägger till modeller, dataset och deras ursprung, alltså det som en vanlig förteckning över programkod missar.
Vem ska ta fram förteckningen?
Den som tillverkar eller levererar programvaran. Den som köper in kan begära den och använda den för att följa upp sårbarheter. Läs mer om leveranskedjeattacker.
Behöver vi en SBOM för egna AI-lösningar?
Det är klokt så snart lösningen bygger på öppna modeller eller paket utifrån. Förteckningen gör det möjligt att svara snabbt när en sårbarhet blir känd.
Källor: NIST om software bill of materialsCISA om SBOMG7, SBOM for AI Minimum Elements (2026)Förordning (EU) 2024/2847 på EUR-Lex
Relaterade begrepp
Läs mer
Alla begrepp Uppdaterad