AIBOMとは

AIBOMとは、AIシステムを構成するモデル、データセット、ソフトウェア、運用設定などを、追跡可能な一覧として記録する考え方です。「どの部品を、どこから入れ、どこで使っているか」を見えるようにする台帳と考えると分かりやすいでしょう。

AIBOMに記録するのは、AIモデルの名称と版、学習や評価に使ったデータセット、利用するライブラリ、ライセンス、提供元、配置先などです。MLOpsの変更履歴と結びつけ、更新によって影響を受ける業務を探しやすくする仕組み。

部品表を作り、変更を追跡する

製造業の部品表は、完成品にどの部品が使われているかをたどれる点が利点です。AIBOMも同様に、社内のAIサービスを入り口として、モデル、データセット、外部API、実行環境、設定へたどれる形を目指す考え方。

• 識別する：名称、版、提供元、ライセンスを記録する
• 関連づける：どのモデルとデータが、どの業務で使われるかを結ぶ
• 変更を追う：更新日、承認者、変更理由を残す
• 影響を調べる：問題が見つかった部品を使うサービスを探す

たとえば外部モデルの利用条件や脆弱性が変わったとき、一覧がなければ担当者への聞き取りから始まるでしょう。AIBOMがあれば、確認すべきサービスと責任者を先に絞れるため、AIサプライチェーン侵害への初動や取引先への説明を速められます。

モデルカードや資産台帳との違い

モデルカードは、特定のAIモデルについて用途、性能、制約、評価結果を説明する文書です。AIBOMは一つのモデルの説明にとどまらず、モデルを含む複数の部品と依存関係を一覧にします。

一般的なIT資産台帳は、パソコンやサーバー、契約サービスなどの管理が中心です。AIBOMでは、学習データ、モデルの来歴、プロンプトや運用設定など、AI固有の要素まで追跡対象にします。ただし、一覧に載っていることは、安全性や法令適合を証明するものではありません。

調達時の提出物と更新責任を決める

導入時は、提供会社へAIBOMの提出を求めるだけでは足りません。どの項目を開示してもらうか、更新を誰が受け取るか、変更時に再評価する条件、契約終了後の記録期間まで決めます。

社内では、AIガバナンスの承認記録やリスク台帳とつなぐ設計が必要です。最初から全項目を集めるのが難しければ、業務名、責任者、モデル名と版、提供元、利用データ、最終更新日から始め、重要な業務から詳しくしていきましょう。

更新されないAIBOMは、現場と違う古い地図になります。モデル変更や外部サービス追加を本番反映する手順に、AIBOMの更新を組み込み、定期的に実環境と照合してください。

AIBOMに関するよくある質問

AIBOMには決まった書式がありますか？

単一の書式だけではなく、CycloneDXなど機械で交換できる形式も提案されています。取引先と項目名、識別子、版、更新方法をそろえ、受け取った情報を自社で利用できるか試してください。

営業秘密になるモデル情報もすべて開示する必要がありますか？

必要な開示範囲は契約とリスクに応じて決めます。詳細を公開できない場合でも、提供元、版、更新通知、問題発生時の連絡方法など、影響確認に必要な情報を合意します。

専用システムがなくてもAIBOMを始められますか？

表計算や既存の資産台帳から始められます。更新漏れを防ぐため、モデル変更や新規接続の承認手順と台帳更新を結びつけることが重要です。