Qu’est-ce qu’une nomenclature IA ?
L’Institut national des normes et de la technologie qualifie les AIBOM de « catalyseurs de la transparence et de la sécurité des logiciels d’IA », soulignant leur capacité à « favoriser la confiance » et à « faciliter l’innovation ». Plus précisément, il s’agit d’un « référentiel ou inventaire », explique Soni, « qui peut être lu par vos machines, par vos systèmes, et qui comprend des composants comprenant vos ensembles de données, vos invites, vos modèles, vos configurations spécifiques, l’historique des versions, les pipelines et les dépendances tierces. »
Katie Norton, responsable de recherche pour DevSecOps et la sécurité de la chaîne d’approvisionnement logicielle chez IDC, affirme que pour les organisations qui utilisent déjà des SBOM, les AIBOM constituent une prochaine étape logique : « Alors qu’un SBOM offre une visibilité sur le code d’application, les bibliothèques et les dépendances, un AIBOM capture les composants qui définissent le comportement de l’IA. »
Que contient une nomenclature IA ?
Les AIBOM ont généralement des composants similaires, bien qu’ils puissent varier légèrement en fonction de la taille, des besoins et des systèmes d’une organisation.
Norton affirme que ces inventaires structurés et lisibles par machine documentent plusieurs couches des systèmes d’IA de l’organisation, y compris les composants et les questions à poser pour chacun :
- La couche de données comprend les ensembles de données de formation et de validation, la provenance, les licences et la sensibilité. Cette couche répond aux questions : « D’où proviennent vos données de formation ? Quelles sont les conditions de licence ? Contiennent-elles des informations de santé protégées ou des informations personnellement identifiables ? »
- La couche modèle comprend l’architecture, les poids, les hyperparamètres, la gestion des versions et le lignage. Il répond aux questions : « Quelle architecture ? Quelle version ? Quelle était la configuration de la formation ? »
- Le infrastructure et couche de dépendance comprend les frameworks et le matériel requis pour exécuter le modèle. Il répond aux questions : « Sur quels frameworks et bibliothèques s’appuie-t-il et où s’exécute-t-il ? »
- La couche de métadonnées de gouvernance comprend l’utilisation prévue, les limitations connues et l’atténuation des risques. Il répond aux questions : « Qu’est-ce que ce modèle est censé faire ? Quelles sont ses limites ? Quelles garanties sont en place ? »
Norton ajoute que les organisations ont besoin d’un AIBOM en plus de leur SBOM. « Un SBOM à lui seul est insuffisant pour les systèmes d’IA, car il ne fait qu’inventorier le code », dit-elle. « Les systèmes d’IA sont basés sur des données et souvent non déterministes ; leur comportement émerge des données de formation et de la configuration du modèle plutôt que d’une logique explicitement écrite. Sans AIBOM, les responsables informatiques manquent de visibilité sur la « couche cognitive » du système, ce qui rend difficile l’audit des décisions, la reproduction des résultats ou l’évaluation des risques liés à la chaîne d’approvisionnement. «
Pourquoi la nomenclature de l’IA gagne du terrain maintenant
L’IA n’est pas nouvelle, alors pourquoi l’AIBOM commence-t-elle à peine à être plus largement adoptée ? Parce que l’IA doit être « éthique, transparente et juste », dit Soni, un cadre est nécessaire pour analyser ces principes, et c’est exactement ce que les AIBOM ont commencé à faire – particulièrement important à une époque où les « angles morts » sont devenus apparents et où la nécessité de se conformer à la réglementation est devenue obligatoire.
Norton souligne trois éléments qui convergent pour créer le besoin d’AIBOMS maintenant : « Premièrement, l’IA générative a permis aux développeurs de déposer très facilement des modèles open source dans des applications sans que personne en sécurité ne le sache. Les organisations ont soudainement réalisé qu’elles n’avaient aucune idée des modèles exécutés en production. Deuxièmement, les régulateurs ont rattrapé leur retard. La loi européenne sur l’IA et le cadre de gestion des risques liés à l’IA du NIST exigent désormais de la transparence autour des données de formation et de la lignée des modèles – des choses que les SBOM n’ont jamais été conçues pour capturer. »
Et enfin, « les outils existent enfin. Des standards tels que Software Package Data Exchange (SPDX) et CycloneDX ont désormais des profils compatibles avec l’IA, donc générer un AIBOM n’est plus un projet d’ingénierie personnalisé. Le risque a toujours été là ; nous avons maintenant les moyens d’y faire face », déclare Norton.
Alors que Gartner prévoit que l’adoption des SBOM passera de 56 % parmi les grandes entreprises en 2025 à 85 % d’ici 2028, le taux d’adoption des AIBOM reste à déterminer.
Technologie de la santé