AI BOM: a lista de materiais de IA lida por um auditor

Uma AI BOM (lista de materiais de IA) é o registo estruturado e legível por máquina daquilo de que é feito um sistema de IA: modelos, conjuntos de dados, dependências de software, infraestrutura e as relações entre eles. Até 2026, o seu conteúdo era o que cada fabricante de ferramentas decidisse. Desde 12 de maio de 2026 existe uma base oficial, publicada pelas agências de cibersegurança do G7: 7 grupos e 50 elementos, pela nossa contagem, de adoção voluntária. Este guia lê essa lista como um auditor a leria: o que regista, o que deixa de fora, que diplomas tornam o seu conteúdo exigível e como construir uma sem a escrever à mão.

O essencial

• Uma AI BOM estende a lista de materiais de software (SBOM) a modelos, dados, infraestrutura e linhagem; soma-se à SBOM, não a substitui.
• As orientações do G7 de 12 de maio de 2026 enumeram 7 grupos e 50 elementos mínimos, pela nossa contagem; são voluntárias e não citam leis.
• Nenhum texto da UE a exige pelo nome, mas o Regulamento da IA (anexo IV, artigo 25.º, n.º 4, anexos XI e XII) e o anexo I do Regulamento de Ciber-Resiliência exigem quase todo o conteúdo.
• Não regista risco, supervisão humana nem testes: é uma lista de ingredientes, não um dossiê técnico.
• Datas: modelos de finalidade geral desde 2 de agosto de 2025, comunicações do CRA desde 11 de setembro de 2026, risco elevado e SBOM do CRA em dezembro de 2027.

O que é uma AI BOM?

As agências do G7 definem o artefacto como um registo estruturado, ou inventário, dos detalhes e das relações da cadeia de abastecimento dos componentes usados para construir um sistema de IA. Ou, na imagem do próprio documento, uma lista de ingredientes. A SBOM clássica não chega. Um modelo não é uma biblioteca: o seu comportamento resulta de pesos e de dados de treino que nenhum manifesto de pacotes descreve. Um conjunto de dados tem proveniência, licença e nível de sensibilidade. E um sistema chama serviços externos que nenhuma árvore de dependências mostra. Para o G7, os sistemas de IA são também sistemas de software: a SBOM continua válida e os elementos próprios da IA vêm por acréscimo.

AI BOM, AIBOM, ML-BOM, SBOM para IA: um artefacto, vários nomes

Os nomes variam consoante quem fala. AIBOM ou AI BOM (de AI bill of materials) é o uso da indústria e da OWASP. ML-BOM é o nome que o CycloneDX dá ao objeto. SBOM for AI é a designação das agências e do G7. AI SBOM é o nome da iniciativa da OWASP. É sempre o mesmo artefacto. Convém distingui-lo de dois vizinhos. O model card é a documentação em prosa de um modelo, escrita para pessoas; a lista do G7 remete para ele por ligação. O inventário de sistemas de IA é a lista, ao nível da organização, de todos os sistemas em uso: cada versão de um sistema tem a sua AI BOM, pendurada na ficha correspondente do inventário.

O que contém uma AI BOM: os 50 elementos mínimos do G7

O documento intitula-se “Software Bill of Materials for AI, Minimum Elements” e foi publicado a 12 de maio de 2026 por sete agências: BSI (Alemanha), ACN (Itália), ANSSI (França), CSE (Canadá), CISA (Estados Unidos), NCSC (Reino Unido) e NCO (Japão), em colaboração com a Comissão Europeia. O grupo de trabalho foi coliderado pela ACN e pelo BSI, sob as presidências canadiana (2025) e francesa (2026) do G7. Segue a “visão partilhada do G7” de junho de 2025, foi redigido entre agosto de 2025 e fevereiro de 2026 e tem 26 páginas (também na página do BSI). Lemos o texto integral e contámos. Das 14 páginas mais bem posicionadas que analisámos para esta pesquisa, nenhuma reproduz a lista. <table header-row=”true”> <tr> <td>Grupo</td> <td>N.º de elementos</td> <td>O que regista</td> </tr> <tr> <td>Metadados</td> <td>10</td> <td>O próprio documento: autor, versão, nome e versão do formato, assinatura digital do autor, ferramenta e versão, contexto de geração (antes, durante ou depois da compilação), data e hora, relação de dependência</td> </tr> <tr> <td>Propriedades ao nível do sistema</td> <td>9</td> <td>O sistema no seu todo: nome, componentes (modelos, bases de dados, outro software), produtor, versão, data e hora, fluxo de dados entre componentes e para serviços externos, utilização dos dados, entradas e saídas, domínio de aplicação previsto</td> </tr> <tr> <td>Modelos</td> <td>13</td> <td>Cada modelo: nome, identificador, versão, data e hora, produtor, descrição (capacidades, limitações conhecidas, linhagem), hash e algoritmo, propriedades (arquitetura, número de parâmetros), entradas e saídas (janela de contexto, modalidade), propriedades de treino, licença, referências externas (model card, artigo)</td> </tr> <tr> <td>Propriedades dos conjuntos de dados</td> <td>10</td> <td>Cada conjunto de dados: nome, descrição (pré-treino, ajuste fino ou avaliação), conteúdo, identificador, hash, proveniência (origem, método de recolha, tratamento e rotulagem, dados sintéticos), propriedades estatísticas, sensibilidade (dados pessoais, direitos de autor, registos financeiros ou médicos), relação de dependência, licença</td> </tr> <tr> <td>Infraestrutura</td> <td>2</td> <td>O software necessário à execução (firmware, bibliotecas, frameworks, ambientes de execução, ferramentas) e o hardware, por ligação a uma lista de materiais de hardware (HBOM)</td> </tr> <tr> <td>Propriedades de segurança</td> <td>4</td> <td>Controlos de segurança (gerais e específicos da IA, como filtros de entrada e saída), conformidade (certificações e normas), política de cibersegurança (ligação ao security.txt do produtor), referenciação de vulnerabilidades</td> </tr> <tr> <td>Indicadores-chave de desempenho</td> <td>2</td> <td>Métricas de segurança (resistência à manipulação por terceiros) e desempenho operacional (disponibilidade, resolução de incidentes, latência, débito)</td> </tr> </table> Total: 7 grupos, 50 elementos. Três observações da nossa leitura. O peso está nos modelos e nos dados. 23 dos 50 elementos descrevem modelos e conjuntos de dados; apenas 2 descrevem a infraestrutura, e o hardware resolve-se com uma ligação para uma HBOM. A sensibilidade dos dados é um elemento próprio, ponto de contacto com o RGPD aplicado à IA. A integridade vem de origem. Um hash e o respetivo algoritmo para cada modelo, um hash para cada conjunto de dados, a assinatura digital do autor no próprio documento. Quando o autor não dispõe de uma informação, as orientações pedem que indique que o valor é desconhecido, em vez de deixar o campo vazio. O model card não é substituído. Os elementos “propriedades de treino do modelo” e “referências externas do modelo” apontam para ele por ligação.

Formatos de AI BOM: CycloneDX e SPDX

Dois formatos abertos transportam hoje o artefacto. O CycloneDX, projeto da OWASP normalizado como ECMA-424, inclui uma lista de materiais de aprendizagem automática (ML-BOM) desde a versão 1.5. O SPDX 3.0, da Linux Foundation, acrescentou um perfil de IA e um perfil de conjuntos de dados, descritos no relatório “Implementing AI Bill of Materials (AI BOM) with SPDX 3.0”. A comparação seguinte vem de uma apresentação feita no NIST a 19 de maio de 2026 por Cassie Crossley e Allan Friedman. <table header-row=”true”> <tr> <td>Formato</td> <td>Ponto forte</td> <td>Limite</td> </tr> <tr> <td>CycloneDX ML-BOM (versões 1.5 a 1.7)</td> <td>Tipos nativos de aprendizagem automática e suporte alargado nas ferramentas</td> <td>Menos campos de metadados de IA; sem campo nativo para dados pessoais sensíveis, explicabilidade, autonomia ou risco de segurança</td> </tr> <tr> <td>Perfil de IA do SPDX 3.0.1</td> <td>Os metadados de IA mais profundos (explicabilidade, energia, dados pessoais sensíveis, risco de segurança) e relações formais “treinado com” e “testado com”</td> <td>Ferramentas ainda em maturação e um formato JSON-LD menos cómodo nas cadeias de compilação</td> </tr> </table> Do lado das ferramentas, o AIBOM Generator da iniciativa AI SBOM da OWASP, de código aberto e apresentado na RSAC 2025, produz documentos CycloneDX 1.6 para modelos alojados no Hugging Face; o mapeamento para o perfil de IA do SPDX estava ainda em curso em maio de 2026. As orientações do G7 não prescrevem formato: o grupo de metadados pede apenas o nome e a versão do formato usado. A regra prática é escolher o formato que as suas ferramentas de SBOM já produzem, porque o CRA vai pedir a SBOM na mesma cadeia de compilação. Os riscos de conteúdo gerado ficam para o perfil NIST AI 600-1.

O que uma AI BOM não prova

O texto do G7 afirma que não cria requisitos, normas nem legislação, e as suas 26 páginas não citam nenhum regulamento (verificámos o texto integral). É um documento de cibersegurança. O quadro seguinte é a nossa leitura, não um mapeamento do G7 nem da Comissão. <table header-row=”true”> <tr> <td>O que o anexo IV do Regulamento da IA pede</td> <td>Está na AI BOM?</td> <td>Onde vive a prova</td> </tr> <tr> <td>Finalidade prevista, prestador, versões (ponto 1)</td> <td>Em parte: nome do sistema, produtor, versão, domínio de aplicação previsto</td> <td>Instruções de utilização, registo de classificação</td> </tr> <tr> <td>Sistemas pré-treinados e ferramentas de terceiros usados, e modo de integração (ponto 2, alínea a))</td> <td>Sim: grupo Modelos, linhagem, componentes do sistema</td> <td>AI BOM e acordos com fornecedores</td> </tr> <tr> <td>Arquitetura do sistema e forma como os componentes se alimentam entre si (ponto 2, alínea c))</td> <td>Sim: componentes do sistema, fluxo de dados</td> <td>AI BOM e descrição da arquitetura</td> </tr> <tr> <td>Dados de treino: proveniência, âmbito, modo de obtenção, rotulagem, limpeza (ponto 2, alínea d))</td> <td>Em grande medida: grupo dos conjuntos de dados</td> <td>Fichas de dados, registo de governação dos dados (artigo 10.º)</td> </tr> <tr> <td>Medidas de supervisão humana (ponto 2, alínea e))</td> <td>Não</td> <td>Conceção e atribuição da supervisão (artigo 14.º)</td> </tr> <tr> <td>Validação e testes: métricas, registos de testes, relatórios assinados (ponto 2, alínea g))</td> <td>Marginal: dois elementos de indicadores</td> <td>Relatórios de testes, métricas de exatidão (artigo 15.º)</td> </tr> <tr> <td>Sistema de gestão de riscos (ponto 5)</td> <td>Não</td> <td>Dossiê de gestão de riscos (artigo 9.º)</td> </tr> <tr> <td>Normas aplicadas, declaração UE de conformidade, plano de acompanhamento pós-comercialização (pontos 7, 8 e 9)</td> <td>Não (apenas certificações de segurança)</td> <td>Dossiê de conformidade</td> </tr> </table> Metade das linhas responde “não” ou “marginal”. É a distância entre uma lista de ingredientes e a documentação de um sistema de IA que sustenta a avaliação da conformidade. Os resultados de um red teaming de IA, por exemplo, ficam fora dela. A omissão deliberada. O grupo do G7 discutiu um elemento sobre o nível de tomada de decisão ou de autonomia do sistema, reconheceu a sua relevância por causa da IA agêntica e decidiu não o destacar: cada jurisdição pode tratá-lo de forma diferente, nomeadamente por requisitos de segurança. Na UE, é disso que tratam o artigo 14.º (supervisão humana) e a classificação de risco elevado: o registo tem de existir noutro sítio. A conclusão do próprio G7. Uma AI BOM, por si só, não basta: tem de estar ligada às ferramentas de análise e gestão de vulnerabilidades e aos avisos e boletins de segurança.

Que diplomas tornam exigível o conteúdo de uma AI BOM

Nenhum diploma europeu usa o nome. Vários exigem o conteúdo.

• Regulamento da IA, artigo 11.º e anexo IV. A documentação técnica dos sistemas de risco elevado é elaborada antes da colocação no mercado e mantida atualizada. O ponto 2 do anexo IV pede, entre outros, os sistemas pré-treinados ou ferramentas de terceiros usados e a sua integração, a arquitetura e as fichas de dados de treino com a sua proveniência. Conserva-se 10 anos (artigo 18.º). Aplica-se aos sistemas do anexo III a partir de 2 de dezembro de 2027 e aos integrados em produtos do anexo I a partir de 2 de agosto de 2028, após o Omnibus Digital, Regulamento (UE) 2026/1744.
• Regulamento da IA, artigo 25.º, n.º 4. O prestador de um sistema de risco elevado e o terceiro que fornece um sistema, ferramenta, serviço, componente ou processo nele utilizado especificam, por acordo escrito, as informações, as capacidades, o acesso técnico e a assistência necessários. Ficam de fora as ferramentas e os componentes, que não sejam modelos de finalidade geral, sob licença gratuita e de código aberto. É a base jurídica para pedir uma AI BOM a um fornecedor.
• Regulamento da IA, artigo 53.º e anexos XI e XII. Os prestadores de modelos de IA de finalidade geral mantêm documentação técnica para o Serviço para a IA e informam os prestadores a jusante: arquitetura e número de parâmetros, modalidade e formato das entradas e saídas, licença, tipo e proveniência dos dados de treino. Aplicável desde 2 de agosto de 2025.
• Regulamento da IA, artigo 15.º. Exatidão, solidez e cibersegurança dos sistemas de risco elevado, incluindo medidas contra o envenenamento de dados e de modelos, técnicas descritas no MITRE ATLAS.
• Regulamento de Ciber-Resiliência, Regulamento (UE) 2024/2847. O anexo I, parte II, obriga os fabricantes de produtos com elementos digitais a elaborar uma lista de materiais de software num formato de uso corrente e legível por máquina, que abranja pelo menos as dependências de nível superior. Integra a documentação técnica, é entregue às autoridades de fiscalização do mercado a pedido e não tem de ser publicada. A comunicação de vulnerabilidades ativamente exploradas aplica-se desde 11 de setembro de 2026, o regulamento completo a partir de 11 de dezembro de 2027. Nos termos do artigo 12.º, um sistema de IA de risco elevado que seja um produto com elementos digitais e cumpra os requisitos essenciais do CRA presume-se conforme com o requisito de cibersegurança do artigo 15.º do Regulamento da IA.
• NIS2. A segurança da cadeia de abastecimento é uma das medidas de gestão dos riscos do artigo 21.º, e com ela da segurança da IA.

O que dizem os juristas: na sua análise de 16 de junho de 2026, a Morgan Lewis nota que a lista do G7 se sobrepõe aos artigos 11.º e 13.º e ao anexo IV, e espera que as orientações da UE acompanhem alguns dos seus elementos. É a opinião do escritório, não uma posição da Comissão. Portugal não é membro do G7, pelo que nenhuma agência portuguesa assinou a lista; a Comissão Europeia participou nos trabalhos. O Centro Nacional de Cibersegurança é a autoridade nacional de cibersegurança, e a ANACOM foi designada em setembro de 2025 autoridade de fiscalização do mercado e ponto de contacto único para o Regulamento da IA.

Como construir uma AI BOM: um método em sete passos

1. Delimitar o âmbito. Uma AI BOM por sistema de IA e por versão, anexada à ficha desse sistema no inventário de sistemas de IA ou num registo de IA.
2. Gerar, não escrever. Extrair do registo de modelos, da cadeia de treino e da compilação, no formato que as suas ferramentas de SBOM já usam. Um documento escrito à mão morre no retreino seguinte.
3. Preencher os sete grupos e escrever “desconhecido” onde não se sabe. Sobretudo nos modelos de terceiros.
4. Calcular hashes e assinar. Ficheiros de modelo, ficheiros de dados e o próprio documento.
5. Ligar o que a AI BOM não contém. Model card, dossiê de gestão de riscos, medidas de supervisão, relatórios de testes.
6. Levá-la para os contratos. Pedir a AI BOM aos fornecedores na contratação e a cada nova versão do modelo, ao abrigo do artigo 25.º, n.º 4, quando o sistema é de risco elevado. A cláusula pertence à due diligence de fornecedores de IA.
7. Mantê-la viva. Regenerar a cada retreino, ajuste fino ou alteração de dependências e de ferramentas, alimentar com ela a gestão de vulnerabilidades e conservar as versões durante 10 anos quando se aplica o Regulamento da IA ou o CRA. É também o primeiro dado a consultar perante uma deriva do modelo ou uma comunicação de incidentes de IA.

Cada passo deixa um registo datado: um ficheiro gerado, uma assinatura, uma cláusula, uma versão arquivada.

AI BOM para modelos de terceiros e agentes de IA

Modelos consumidos por API. Não há pesos, logo não há hash. A entrada honesta é “desconhecido”, acompanhada da documentação do prestador. Para os modelos de finalidade geral, o prestador deve aos prestadores a jusante a informação do anexo XII, que preenche a maior parte do grupo Modelos. Peça-a logo na avaliação do fornecedor. Agentes. O elemento “fluxo de dados do sistema” do G7 já nomeia as API de serviços externos, os protocolos de comunicação entre agentes e a fundamentação na Web. A apresentação do NIST de maio de 2026 esboça uma lista de sistema agêntico que acrescenta ferramentas, servidores MCP, instruções, políticas, memória e associações de identidade, além de prova em tempo de execução (chamadas a ferramentas, aprovações, ações recusadas). Hoje, nenhum formato normaliza essa camada. Registe as ferramentas e os respetivos âmbitos nos grupos de componentes do sistema e de infraestrutura, e guarde os registos de execução à parte (ver segurança da IA agêntica). Do lado do responsável pela implantação. Raramente é ele quem escreve uma AI BOM. Pede-a, lê três coisas (que modelo e que versão, que sensibilidade dos dados, que serviços externos) e arquiva-a na ficha do sistema.

Perguntas frequentes

O que é uma AI BOM, em termos simples? É a lista de ingredientes de um sistema de IA, num ficheiro que uma máquina consegue ler. Indica que modelos o sistema usa e em que versão, com que dados foram treinados, de que bibliotecas e serviços externos depende e quem produziu cada peça. Desde maio de 2026 existe uma referência comum das agências de cibersegurança do G7, com 7 grupos e 50 elementos mínimos pela nossa contagem. Qual é a diferença entre uma AI BOM e uma SBOM? A SBOM lista os componentes de software: bibliotecas, pacotes, dependências. A AI BOM acrescenta o que um manifesto de pacotes não vê: os modelos e os seus pesos, os conjuntos de dados com proveniência, licença e sensibilidade, a linhagem entre um modelo de base e a sua versão ajustada, os serviços externos chamados. Para o G7, a SBOM continua válida e os elementos de IA vêm por acréscimo. A AI BOM é obrigatória ao abrigo do Regulamento da IA? Com esse nome, não. O conteúdo, sim: o anexo IV exige, para os sistemas de risco elevado, os componentes de terceiros, a arquitetura e a proveniência dos dados de treino; os anexos XI e XII exigem informação equivalente aos prestadores de modelos de finalidade geral, desde 2 de agosto de 2025. O Regulamento de Ciber-Resiliência torna obrigatória a SBOM para os produtos com elementos digitais. Que formato devo usar? O que as suas ferramentas de SBOM já produzem. O CycloneDX tem suporte alargado e tipos nativos de aprendizagem automática desde a versão 1.5; o perfil de IA do SPDX 3.0.1 vai mais fundo nos metadados, com ferramentas ainda em maturação. As orientações do G7 não impõem nenhum: pedem apenas que o documento declare o nome e a versão do formato. Quem tem de a produzir, o prestador ou o responsável pela implantação? Quem constrói o sistema, ou seja, o prestador, porque só ele tem acesso ao registo de modelos, à cadeia de treino e à compilação. O responsável pela implantação pede o documento, verifica-o e arquiva-o na ficha do sistema. Num sistema de risco elevado, o acordo escrito do artigo 25.º, n.º 4, entre o prestador e os terceiros que lhe fornecem componentes é o veículo natural para o pedido. Uma AI BOM substitui um model card ou a documentação técnica? Não. O model card explica, em prosa, para que serve um modelo, como foi avaliado e onde falha; a lista remete para ele por ligação. A documentação técnica do anexo IV inclui o que a lista não regista: supervisão humana, gestão de riscos, resultados de testes, normas aplicadas, declaração de conformidade. A lista de materiais é uma peça desse dossiê, não o dossiê.

Conclusão

O conteúdo de uma AI BOM deixou de ser a opinião de um fabricante: sete grupos, cinquenta elementos, assinados por sete agências. O que a lista não diz é que diploma se aplica ao seu sistema nem o que mais uma autoridade vai pedir: finalidade, risco, supervisão humana e testes continuam a viver noutros documentos. Comece por um sistema, gere a lista, escreva “desconhecido” onde for verdade, assine e ligue o resto do dossiê. A AI Sigil mantém cada sistema de IA como uma ficha com os seus modelos, conjuntos de dados, componentes, riscos, controlos e evidências, pelo que a AI BOM tem onde ficar pendurada e o resto do dossiê fica a um clique.