AI SBOM과 규제 대응

AI 모델의 구성요소 명세를 만들고 규제 문서화 상태를 확인합니다.

AI SBOM은 모델과 학습 데이터셋, 그 출처와 라이선스를 기계가 읽을 수 있게 정리한 명세입니다. SBOM이 소프트웨어의 구성요소 목록이라면, AI SBOM은 모델 가중치와 학습 데이터처럼 일반 SBOM이 표현하지 못하는 층을 담습니다.

모델 카드에 적힌 내용에서 만들어지므로, 모델 카드가 부실하면 AI SBOM도 그만큼 빕니다.

왜 만드는가

두 가지 쓰임이 있습니다.

공개하는 쪽에서는 문서화가 얼마나 갖춰졌는지 확인하는 자기 점검 수단입니다. 무엇이 비어 있는지 목록으로 보이므로 공개 전에 메울 수 있습니다.

공개한 뒤에는 다른 팀이나 조직이 이 모델을 도입할 때 검토 근거가 됩니다. 코드에 SBOM을 요구하듯 AI 모델에도 같은 문서를 요구하는 곳이 늘고 있습니다.

G7 최소 요소

2026년 5월 미국 사이버보안 기관 CISA와 G7 국가들이 “Software Bill of Materials for AI — Minimum Elements"를 공동 발행했습니다. 독일 BSI, 이탈리아 ACN 같은 각국 사이버보안 기관이 주도했고, AI 모델의 명세가 갖춰야 할 최소 요소 50개를 일곱 묶음으로 정의합니다. 법적 구속력이 있는 규정이 아니라 권고입니다.

묶음요소 수사람이 판단해야 하는 수내용
메타데이터100명세를 누가 언제 어떤 도구로 만들었는가
시스템 속성94시스템의 이름, 적용 분야, 데이터 흐름
모델130모델의 식별자, 라이선스, 무결성, 학습 속성
데이터셋 속성105데이터셋의 출처, 통계, 민감도, 라이선스
인프라20소프트웨어 의존성과 하드웨어
보안 속성43보안 통제, 정책, 취약점 대응
성능 지표21보안 지표와 운영 성능

50개 중 13개는 자동으로 확인할 방법이 없습니다. 의도한 적용 분야나 학습 데이터의 민감도처럼 모델 카드의 어떤 필드로도 증명되지 않는 항목이라, 사람이 판단해서 채워야 합니다.

규제와의 관계

G7 최소 요소는 권고지만, 그 항목들이 실제 규제가 요구하는 기술 문서와 상당 부분 겹칩니다.

EU 인공지능법은 2026년 8월 2일부터 고위험 시스템과 투명성 의무가 적용됩니다. 제11조와 부속서 IV가 요구하는 기술 문서는 시스템의 목적과 구조, 학습 데이터의 출처와 처리 방법, 성능과 한계를 담아야 합니다. G7 묶음 중 시스템 속성, 모델, 데이터셋 속성이 여기에 대응합니다.

인공지능 기본법은 2026년 1월 22일 시행됐습니다. 제31조 투명성, 제32조 안전성, 제33조와 제34조 고영향 인공지능, 제35조 영향평가가 관련됩니다. 다만 세부 문서화 요구는 시행령에 있어 대응 관계가 EU보다 성깁니다. 제32조는 시행령이 정하는 연산량 임계치 이상으로 학습한 시스템에만 적용되므로, 해당 항목이 걸린다고 해서 곧바로 의무 대상이 되는 것은 아닙니다.

만드는 방법

BomLens에 모델 id를 주면 모델 카드를 읽어 CycloneDX(SBOM 표준 형식) 형식의 AI SBOM을 만들고, G7 요소 충족도와 규제 대응 관계를 함께 정리합니다. 모델 가중치를 내려받지 않고 모델 카드만 조회합니다.

설치와 실행 방법, 보고서를 읽는 방법은 BomLens AI 모델 가이드에 있습니다(전용 이미지가 따로 필요하고, 웹 화면으로도 실행할 수 있습니다). 아래 명령은 BomLens를 설치한 상태에서 실행하는 예시입니다.

./scripts/scan-sbom.sh --project my-llm --version 1.0.0 \
  --model "my-org/my-llm" --generate-only

비공개 저장소는 읽기 권한이 있는 토큰이 필요합니다. 공개 전에 점검하는 방법은 AI 모델 공개하기를 참고하세요.

결과로 다음이 나옵니다.

  • 모델과 데이터셋을 담은 AI SBOM
  • 요소별 충족 여부와, 비어 있는 항목을 채우는 방법
  • EU 인공지능법과 인공지능 기본법 대응 관계 정리
  • 라이선스 검토가 필요한 항목 표시

AI SBOM 파이프라인 — 모델 카드를 입력으로 BomLens가 네 가지 산출물을 만들고, 검토 전용 요소·데이터셋 라이선스·개인정보는 사람이 판단

결과 읽기

전체 판정이 통과로 나와도 G7 항목이 다 채워졌다는 뜻은 아닙니다. 통과와 실패는 SBOM이 갖춰야 할 필수 형식 항목에서 갈리고, G7 요소는 모두 권고라 판정을 좌우하지 않습니다. 그래서 채워진 수와 비어 있는 수를 따로 보셔야 합니다.

비어 있는 항목은 두 종류로 나뉩니다. 모델 카드에 쓰면 채워지는 것과, 사람이 판단해야 하는 것입니다. 앞의 것부터 메우시면 됩니다.

관련 문서

참고 자료

문의

AI SBOM 생성과 해석에 관한 문의는 OSRB(opensource@sktelecom.com)로 연락하세요.


최종 수정 2026년 7월 21일: docs(release): add two diagrams to the AI model guide (636cc73ba)