AI-BOM
機械学習モデル版のSBOM。どの重み、どのデータセット、どのライセンスが実際に中に入っているかを記録する。
通常のSBOMはライブラリとバージョンを列挙するが、モデルはコードだけでは済まない。ファインチューニングの元になったベースモデル、学習データ、重みのライセンス、その上に重ねたデータセットは、セキュリティにも法的リスクにも同じくらい効いてくる。AI-BOM（ML-BOMとも呼ぶ）は、この系譜を機械可読な形で記述する。CycloneDXは2023年のバージョン1.5でML-BOMに対応し、SPDX 3.0は2024年にAIとデータセット専用のプロファイルを備えて登場した。
背景の一つは規制で、EUのAI法は汎用モデルの提供者に学習データの文書化を求めている。もう一つは、LlamaライセンスやOpenRAILのようなモデルのライセンスが、利用制限を下流まで引き継ぐことだ。中身のモデルが何か分からなければ、自分が何に同意したのかも分からない。