Пиков / КАПО
Библиотека
Как читать авторский курс и нормативные материалы

Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.

dataset license

Почему это важно для SCA/OSA

Лицензия обучающего датасета и лицензия весов модели — это не лицензия кода, и обычные сканеры лицензий их не видят. Сканер по исходникам читает заголовки .c/.h, файлы LICENSE и SPDX-License-Identifier — но датасет приезжает бинарным архивом или ссылкой на хаб, а его условия живут в карточке датасета, а не в исходниках. При этом именно лицензия данных часто оказывается самой ограничительной в AI-поставке: «только для исследований», некоммерческое использование, обязательная атрибуция. Composition analysis для AI обязан отдельно фиксировать лицензию данных и весов, иначе юридический риск поставки остаётся неучтённым.

Как это проявляется

Код может быть под пермиссивной лицензией, а данные/веса — под совсем другой, несовместимой с коммерческой поставкой.

Артефакт Типичная лицензия Где «прячется» Что значит
Код инференса MIT / Apache-2.0 LICENSE, заголовки OSI, коммерческое использование ок
Веса модели Llama Community License, OpenRAIL карточка модели не OSI, ограничения на use-case/масштаб
Датасет CC-BY-NC-4.0, research-only карточка датасета, dataset_infos.json некоммерческое, либо обязательная атрибуция 
# сканер лицензий по исходникам видит код, но не датасет:
scancode --license --json-pretty-print out.json ./src
#   обнаружит MIT в коде — и промолчит про CC-BY-NC у данных

То есть пермиссивная лицензия кода создаёт ложное ощущение чистоты, пока некоммерческий датасет тихо запрещает коммерческое использование всей системы.

Слепая зона или приём

Лицензия данных ≠ лицензия кода «Код под Apache-2.0, значит можно» — ловушка. Если веса под Llama Community License, а датасет research-only, коммерческая поставка незаконна независимо от лицензии кода. Сканер исходников этого не покажет — нужна ручная декларация по кластеру Datasets.

Приём: вести лицензию данных и весов как отдельные записи в ML-BOM (кластеры Datasets/Model у G7), с указанием источника условий, а не выводить «лицензию системы» из лицензии кода.

Что делать на проекте

  1. Разделить три объекта лицензирования: код, веса, датасет — и проверять каждый отдельно, не перенося лицензию кода на всё.
  2. Снять условия датасета из его карточки/dataset_infos.json и зафиксировать как декларацию (сканер исходников их не достанет).
  3. Особо отмечать «research-only», -NC (некоммерческие) и use-case-ограничения (OpenRAIL) — это блокеры коммерческой поставки.
  4. Проверять совместимость лицензий данных, весов и кода между собой и с целевым способом использования.
  5. Заносить лицензию данных и весов в ML-BOM по кластерам G7 со ссылкой на источник условий.
  6. Спорные случаи отправлять в юридический workflow; до заключения держать запись с пониженным confidence.

Связь