Die Industrie rüstet auf für ein neues Zeitalter der KI-Transparenz. Während sogenannte AI Bills of Materials (AI BOMs) lange Zeit als akademisches Konzept galten, werden sie zunehmend zur regulatorischen Notwendigkeit – mit unmittelbaren Konsequenzen für die deutsche Wirtschaft.
Standardisierungsorganisationen haben den Weg bereitet. Die OWASP-Initiative mit ihrem CycloneDX-Standard und die Linux Foundation mit SPDX haben KI-spezifische Erweiterungen entwickelt. Die neue SPDX-Version 3.0 bietet dedizierte Profile für KI-Modelle und Datenherkünfte, während die OpenSSF AI/ML Working Group 2025 eine offizielle Spezifikation für digitale Modell-Signaturen verabschiedete – unterstützt durch Google, NVIDIA und HiddenLayer. Das OWASP AI BOM Generator ist bereits das erste Open-Source-Tool, das automatisch AI BOMs aus Hugging-Face-Modellen generiert.
Kommerziellen Druck aufgebaut haben Tech-Anbieter: Manifest Cyber, Cycode, JFrog und Apiiro integrieren AI-BOM-Funktionen in ihre Plattformen. Ein Januar-2026-Paper stellte sogar AIBoMGen vor – eine Plattform zur Generierung kryptografisch signierter AI BOMs während des Modell-Trainings.
Die regulatorische Welle ist nicht mehr zu stoppen. Die EU AI Act verpflichtet Unternehmen mit hochrisiko-Systemen bis August 2026 zu vollständiger technischer Dokumentation, Conformity Assessments und Datenbank-Registrierung. Dies deckt sich direkt mit den Anforderungen eines AI BOM: Provenance-Informationen, Logging, Post-Market-Monitoring und Datenherkünfte. Für deutsche Firmen im Industrie-, Finanz- und Gesundheitssektor ist dies bindend.
In den USA schärfen das DoD und die SEC den Druck nach: Das Verteidigungsministerium fordert von Softwareanbietern die Dokumentation aller KI-Komponenten. Die SEC hat KI-Governance zur Untersuchungspriorität 2026 erklärt.
Auch Versicherer spielen eine entscheidende Rolle. Nach dem Modell der Ransomware-Underwriting-Reform 2021 machen Cyber-Versicherer KI-Governance-Dokumentation zur Bedingung für Deckung – ein fehlender Model Inventory gilt als Risikofaktor. CyberCube empfahl bereits im April 2026, Versicherer sollten AI-Agent-Governance evaluieren.
Für Sicherheitsteams und Compliance-Officer in Deutschland ist die Botschaft klar: AI BOMs sind 2026 keine Option mehr, sondern ein Muss.