AI-BOM
En SBOM för maskininlärningsmodeller: vilka vikter, dataset och licenser som faktiskt ingår.
En vanlig SBOM listar bibliotek och versioner, men en modell består av mer än kod. Basmodellen den finjusterats från, träningsdata, licensen på vikterna och vilka dataset som lagts till spelar lika stor roll för både säkerhet och juridik. En AI-BOM, även kallad ML-BOM, beskriver den kedjan maskinläsbart. CycloneDX fick stöd för ML-BOM i version 1.5 år 2023, och SPDX 3.0 kom 2024 med särskilda profiler för AI och dataset.
Drivkraften är dels regleringen – AI-förordningen kräver dokumentation av träningsdata för allmänna modeller – dels att modellicenser som Llama-licensen och OpenRAIL har användningsvillkor som följer med nedströms. Den som inte vet vilken modell som sitter under huven vet inte heller vilka villkor den har förbundit sig till.