ISO/IEC 22989: qué define la norma de terminología de IA

ISO/IEC 22989 es la norma internacional que fija el vocabulario de la inteligencia artificial. Publicada en julio de 2022, es la referencia normativa de términos de ISO/IEC 42001 y se descarga gratis desde el sitio de ISO. Hasta aquí llega lo que repite cualquier ficha de catálogo. Lo que casi nunca se dice es que sus definiciones no coinciden palabra por palabra con las del Reglamento de IA y que la edición de 2022 es anterior a la IA generativa. Hemos leído el texto completo y hemos contado. Esta guía explica qué contiene la norma, dónde se aparta de la ley y cómo utilizarla en un programa de gobernanza sin dar respuestas equivocadas a preguntas jurídicas.

Lo esencial

• Norma de terminología y conceptos elaborada por ISO/IEC JTC 1/SC 42, primera edición de julio de 2022, adoptada en Europa como EN ISO/IEC 22989:2023.
• Según nuestro recuento, 117 entradas de términos numeradas en siete grupos, más capítulos de conceptos sobre fiabilidad, ciclo de vida y roles de las partes interesadas.
• No es certificable: contiene definiciones, no requisitos. Es gratuita y figura en la lista de normas de acceso público de ISO.
• «Proveedor», «autonomía» y «riesgo» no significan lo mismo que en el Reglamento de IA.
• El texto de 2022 no incluye ningún término de IA generativa. La Enmienda 1, dedicada a ella, está en fase de aprobación; la Enmienda 2, en borrador de comité.

¿Qué es ISO/IEC 22989?

El título completo de ISO/IEC 22989 es «Information technology, Artificial intelligence, Artificial intelligence concepts and terminology». La preparó el comité técnico conjunto ISO/IEC JTC 1 (tecnologías de la información), a través de su subcomité SC 42, dedicado a la inteligencia artificial. La ficha del catálogo de ISO la presenta como primera edición, de julio de 2022. Su objeto, tal como lo declara el propio texto, es doble: establecer una terminología y describir conceptos. Ese material sirve para elaborar otras normas y para facilitar la comunicación entre partes interesadas muy distintas: ingeniería, cumplimiento, jurídico, compras, auditoría. Se dirige a todo tipo de organizaciones. Es el diccionario que da por supuesto todo sistema de gestión de la IA, como explicamos en nuestra guía sobre ISO/IEC 42001.

Un diccionario, no un requisito

El capítulo 2 del documento lo dice sin rodeos: no hay referencias normativas. El texto define y describe, pero no impone ninguna obligación del tipo «la organización debe». La consecuencia práctica es directa: no hay nada contra lo que auditar y no existe certificado de empresa. Las entidades de formación venden certificados personales de asistencia a cursos, que son otra cosa. Un proveedor de software que se anuncia como «conforme con ISO/IEC 22989» afirma algo que ningún esquema puede verificar. ISO/IEC 22989 es gratuita desde septiembre de 2023, cuando se incorporó a la lista de normas de acceso público de ISO. En diciembre de 2025 se publicó una versión corregida del texto de 2022. Descárguela siempre de la fuente oficial.

Qué contiene ISO/IEC 22989

El núcleo del documento es el capítulo 3, con las definiciones. Según nuestro recuento sobre la edición de 2022, son 117 entradas numeradas repartidas en siete grupos. <table header-row=»true»> <tr> <td>Grupo de términos</td> <td>Entradas</td> <td>Ejemplos</td> </tr> <tr> <td>Términos relativos a la IA</td> <td>35</td> <td>agente de IA, sistema de IA, autonomía, heteronomía, IA general, IA estrecha, modelo, inferencia</td> </tr> <tr> <td>Datos</td> <td>15</td> <td>conjunto de datos, verdad fundamental (ground truth), datos de prueba, datos de validación, datos de producción, anotación de datos</td> </tr> <tr> <td>Aprendizaje automático</td> <td>17</td> <td>aprendizaje automático, modelo entrenado, hiperparámetro, reentrenamiento, aprendizaje por refuerzo, equipo humano-máquina</td> </tr> <tr> <td>Redes neuronales</td> <td>10</td> <td>red neuronal, aprendizaje profundo, red neuronal convolucional, memoria a corto y largo plazo (LSTM)</td> </tr> <tr> <td>Fiabilidad</td> <td>18</td> <td>rendición de cuentas, sesgo, controlabilidad, explicabilidad, predictibilidad, resiliencia, riesgo, transparencia, verificación, validación</td> </tr> <tr> <td>Procesamiento del lenguaje natural</td> <td>18</td> <td>comprensión del lenguaje natural, traducción automática, análisis de sentimiento, reconocimiento de emociones, reconocimiento del habla</td> </tr> <tr> <td>Visión artificial</td> <td>4</td> <td>visión artificial, reconocimiento de imágenes</td> </tr> </table> Algunas de estas definiciones merecen leerse despacio. La fiabilidad se entiende como la capacidad de cumplir las expectativas de las partes interesadas de forma verificable. El sesgo se define como una diferencia sistemática en el tratamiento de ciertos objetos, personas o grupos respecto de otros: una definición neutra y descriptiva, que no equivale a discriminación ilícita. Lo mismo vale para la explicabilidad o la rendición de cuentas, términos que cada equipo tiende a rellenar con su propio significado. Después de las definiciones y de las abreviaturas del capítulo 4, los capítulos 5 a 9 desarrollan los conceptos: conceptos de IA, ciclo de vida del sistema de IA, visión funcional del sistema, ecosistema de IA y campos de la IA. El capítulo 6 propone un ciclo de vida en ocho etapas, aunque el texto advierte de que no prescribe ningún modelo concreto:

• concepción;
• diseño y desarrollo;
• verificación y validación;
• despliegue;
• operación y seguimiento;
• validación continua;
• reevaluación;
• retirada.

El anexo A, de carácter informativo, pone este ciclo de vida en correspondencia con el de la OCDE. El apartado 5.19 de ISO/IEC 22989 describe los roles de las partes interesadas. El proveedor de IA suministra productos o servicios que utilizan uno o varios sistemas de IA, con dos subroles: proveedor de plataforma y proveedor de producto o servicio. El productor de IA diseña, desarrolla, prueba y despliega, e incluye al desarrollador. El cliente de IA utiliza un producto o servicio de IA directamente o lo pone a disposición de usuarios de IA, que son su subrol. El socio de IA agrupa al integrador de sistemas, al proveedor de datos, al auditor y al evaluador. Completan el cuadro el sujeto de IA (el interesado en materia de datos y otros sujetos) y las autoridades competentes (responsables políticos y reguladores). Una nota aclara que una misma organización puede ocupar varios roles.

ISO/IEC 22989 frente al Reglamento de IA: mismas palabras, significados distintos

El Reglamento (UE) 2024/1689 no tomó su definición de sistema de IA de ISO, sino de la OCDE, en la versión revisada el 8 de noviembre de 2023 de sus principios sobre la IA. Resultado: ISO/IEC 22989 y la ley comparten palabras y no significados. Un glosario copiado de la norma responde mal a las preguntas jurídicas. <table header-row=»true»> <tr> <td>Término</td> <td>En la norma</td> <td>En el Reglamento de IA</td> <td>Consecuencia</td> </tr> <tr> <td>Sistema de IA</td> <td>«Sistema de ingeniería que genera resultados como contenidos, previsiones, recomendaciones o decisiones para un conjunto dado de objetivos definidos por el ser humano» (entrada 3.1.4)</td> <td>Sistema basado en una máquina, con distintos niveles de autonomía y posible adaptación tras el despliegue, que, para objetivos explícitos o implícitos, infiere de la información de entrada cómo generar predicciones, contenidos, recomendaciones o decisiones que pueden influir en entornos físicos o virtuales (artículo 3, punto 1)</td> <td>Inferencia, autonomía y adaptación están en la definición legal y no en la de ISO</td> </tr> <tr> <td>Proveedor</td> <td>Suministra productos o servicios que utilizan sistemas de IA</td> <td>Desarrolla un sistema de IA o un modelo de IA de uso general, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio con su nombre o marca, previo pago o gratis (artículo 3, punto 3)</td> <td>Un «cliente de IA» en vocabulario ISO puede ser proveedor en sentido legal</td> </tr> <tr> <td>Usuario y responsable del despliegue</td> <td>«Usuario de IA» es un subrol del cliente de IA. La palabra «deployer» no aparece</td> <td>El responsable del despliegue utiliza un sistema de IA bajo su autoridad, salvo en una actividad personal no profesional (artículo 3, punto 4). Se definen además importador, distribuidor, representante autorizado y operador</td> <td>La norma carece de estos términos</td> </tr> <tr> <td>Autonomía</td> <td>Capacidad de modificar el ámbito de uso previsto o el objetivo sin intervención, control ni supervisión externos. Su contrario es la heteronomía; la automatización es una tercera noción</td> <td>Cierto grado de independencia de las acciones respecto de la intervención humana, según las directrices de la Comisión</td> <td>Listón legal mucho más bajo. En vocabulario ISO, casi todos los sistemas en producción son heterónomos y automatizados, no autónomos</td> </tr> <tr> <td>Riesgo</td> <td>«Efecto de la incertidumbre sobre los objetivos» (entrada 3.5.11), la definición de ISO 31000, con una nota: el efecto puede ser positivo, negativo o ambos</td> <td>Combinación de la probabilidad de que se produzca un perjuicio y la gravedad de dicho perjuicio (artículo 3, punto 2)</td> <td>La ley solo mira el daño; ISO admite también efectos positivos</td> </tr> </table> La confusión más cara es la de «proveedor». Una organización que, en vocabulario ISO, se describe a sí misma como «cliente de IA» o «usuario de IA» puede ser proveedor a efectos del artículo 3, punto 3, si encarga el desarrollo de un sistema y lo pone en servicio con su propio nombre. Ese cambio de etiqueta arrastra las obligaciones más pesadas del texto: documentación técnica, evaluación de la conformidad y seguimiento posterior a la comercialización cuando el sistema es de alto riesgo. Las dos definiciones responden a preguntas distintas. ISO/IEC 22989 describe: quiere que ingenieros, juristas y auditores hablen de lo mismo. La ley reparte obligaciones. Por eso la definición legal prevalece siempre a la hora de delimitar el alcance, y la de ISO sirve para todo lo demás. Para los casos fronterizos (una hoja de cálculo con macros, un motor de reglas, una regresión estadística), la referencia son las directrices de la Comisión sobre la definición de sistema de IA, publicadas el 6 de febrero de 2025 y no vinculantes. La autonomía en sentido legal enlaza además con la supervisión humana.

Lo que el texto de 2022 no define: IA generativa y enmiendas

Hicimos una búsqueda literal en la edición de 2022. Estas palabras tienen cero apariciones: «generative», «foundation model», «large language model», «prompt», «hallucination» y «fine-tuning». Tampoco aparecen «deployer», «importer», «distributor», «intended purpose», «high-risk» ni «substantial modification». Dos precisiones evitan malentendidos. La primera: cuando ISO/IEC 22989 habla de «IA general» se refiere a la inteligencia artificial general, y no al «modelo de IA de uso general» del Reglamento de IA. La segunda: la norma sí define «agente de IA» como una entidad automatizada que percibe su entorno, responde a él y actúa para alcanzar sus objetivos. Es una definición redactada antes de los agentes basados en modelos de lenguaje. La corrección está en marcha, pero no publicada:

• Enmienda 1, «IA generativa»: el proyecto de enmienda circuló en 2025 y pasó la encuesta europea como EN ISO/IEC 22989:2023/prA1:2025. Cuando lo comprobamos, el 8 de octubre de 2026, el catálogo de ISO la mostraba como proyecto final «en fase de aprobación».
• Enmienda 2: borrador de comité en ISO. El proyecto europeo correspondiente se registró el 28 de octubre de 2025 bajo CEN/CLC/JTC 21, como muestra la página de proyecto de DIN.
• Parte 2: existe un tema de trabajo para una parte dedicada al sector sanitario.

La consecuencia práctica es sencilla. Hasta que se publique la Enmienda 1, sus términos de IA generativa tienen que venir de otra parte: del Reglamento de IA, que define el modelo de IA de uso general en el artículo 3, punto 63, y del perfil NIST AI 600-1. Y su glosario debe llevar fecha.

Dónde encaja ISO/IEC 22989 en la pila de normas

ISO/IEC 42001:2023, la norma certificable de sistema de gestión de la IA, incluye ISO/IEC 22989:2022 entre sus referencias normativas: sus términos y definiciones son los de esta, más los propios. ISO/IEC 23894, la guía de gestión de riesgos de IA, e ISO/IEC 23053, el marco para sistemas de IA basados en aprendizaje automático, se construyen sobre el mismo vocabulario. Fuera de ISO, el NIST AI RMF 1.0, de enero de 2023, indica que su descripción de sistema de IA está adaptada de la Recomendación de la OCDE de 2019 y de ISO/IEC 22989:2022. Quien trabaje con el marco del NIST parte de una definición emparentada. En Europa, CEN y CENELEC la adoptaron como EN ISO/IEC 22989:2023, publicada el 28 de junio de 2023. Los miembros de ambos organismos incorporan las normas europeas como normas nacionales idénticas. En España ese papel corresponde a UNE, miembro español de CEN. La supervisión del Reglamento de IA recae en la AESIA, la agencia creada por el Real Decreto 729/2023 y con sede en A Coruña. El trabajo de fondo lo lleva el comité JTC 21 de CEN-CENELEC, que redacta las normas armonizadas solicitadas para el Reglamento de IA. Según los seguimientos públicos consultados, en julio de 2026 ninguna norma armonizada del Reglamento se había citado todavía en el Diario Oficial, de modo que ninguna otorga aún la presunción de conformidad del artículo 40. Una norma de vocabulario, en cualquier caso, no daría presunción de conformidad respecto de ningún requisito. Lo desarrollamos en nuestro análisis de la pila de normas del Reglamento de IA. El calendario legal, tras el ómnibus digital sobre IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), queda así: las prácticas prohibidas y la alfabetización en IA se aplican desde el 2 de febrero de 2025; las obligaciones de los modelos de IA de uso general, desde el 2 de agosto de 2025; los deberes de transparencia del artículo 50, desde el 2 de agosto de 2026; las obligaciones de alto riesgo para los sistemas del anexo III, a partir del 2 de diciembre de 2027; y para los sistemas integrados en productos del anexo I, a partir del 2 de agosto de 2028.

Cómo utilizar ISO/IEC 22989: un método de glosario en cinco pasos

El uso sensato de ISO/IEC 22989 es adoptarla y anotar dónde no basta.

1. Adopte la norma como glosario por defecto. Declare en la política de IA que los términos del sistema de gestión son los de ISO/IEC 22989, salvo indicación en contrario.
2. Mantenga un registro de desviaciones. Cada término que la ley aplicable define de otra manera recibe dos columnas (norma y ley) y una regla sobre cuál de las dos rige en cada documento. Empiece por las cinco filas de la tabla anterior: sistema de IA, proveedor, usuario y responsable del despliegue, autonomía, riesgo.
3. Registre los roles dos veces por sistema. En el inventario de sistemas de IA, anote el rol del apartado 5.19, útil para contratos y para cartografiar la cadena de suministro, y el rol del Reglamento de IA, que decide las obligaciones.
4. Alinee el vocabulario del ciclo de vida. Haga corresponder los nombres internos de sus fases con las ocho etapas de la norma, para que las evidencias y la documentación del sistema de IA se archiven con los mismos nombres de etapa en todos los equipos.
5. Feche el glosario y revíselo. Hay tres desencadenantes: la publicación de la Enmienda 1, una norma armonizada sobre terminología y cualquier directriz de la Comisión que modifique una definición.

Para decidir qué entra en el inventario, la pregunta previa sigue siendo jurídica, como detalla nuestra guía sobre sistemas de IA. En cuanto a las herramientas, una plataforma de gobernanza de la IA como AI Sigil mantiene el glosario, los roles y los registros en un mismo lugar.

Preguntas frecuentes

¿Qué es ISO/IEC 22989 en términos sencillos? Es el diccionario internacional de la inteligencia artificial. Lo elaboró el subcomité SC 42 de ISO/IEC JTC 1 y se publicó en julio de 2022. Reúne, según nuestro recuento, 117 definiciones numeradas en siete grupos y varios capítulos que describen conceptos como el ciclo de vida de un sistema o los roles de las partes interesadas. Sirve para que las normas y los equipos usen las mismas palabras con el mismo sentido. ¿ISO/IEC 22989 es gratuita? Sí. Desde septiembre de 2023 figura en la lista de normas de acceso público de ISO, de donde puede descargarse sin coste. Conviene obtenerla de esa fuente oficial y no de copias que circulan por terceros, por dos razones: el texto sigue protegido por derechos de autor y en diciembre de 2025 se publicó una versión corregida de la edición de 2022. ¿Puede certificarse una empresa conforme a ISO/IEC 22989? No. El documento contiene definiciones y descripciones, pero ningún requisito, y declara expresamente que carece de referencias normativas. Sin requisitos no hay criterios de auditoría, y sin criterios no hay certificado de organización. Lo que sí existe son certificados personales emitidos por entidades de formación tras un curso. La norma certificable de la familia es ISO/IEC 42001, que establece un sistema de gestión de la IA. ¿Cómo define ISO/IEC 22989 un sistema de IA? Como un sistema de ingeniería que genera resultados (contenidos, previsiones, recomendaciones o decisiones) para un conjunto dado de objetivos definidos por el ser humano. Es una definición amplia y funcional. La del Reglamento de IA, inspirada en la OCDE, añade elementos que la norma no menciona: la inferencia, los distintos niveles de autonomía, la posible adaptación tras el despliegue y los objetivos implícitos. Para decidir si un sistema entra en el ámbito de la ley, solo vale la definición legal. ¿Qué relación tiene ISO/IEC 22989 con ISO/IEC 42001? ISO/IEC 42001:2023 la cita como referencia normativa: los términos y definiciones del sistema de gestión son los de la norma de vocabulario, completados con algunos propios. En la práctica, no se puede aplicar ni auditar la norma de gestión sin tener delante el diccionario. La relación no funciona en sentido contrario: adoptar el vocabulario no implica tener un sistema de gestión ni acerca a la certificación. ¿Cubre ISO/IEC 22989 la IA generativa? Todavía no. En la edición de 2022 no aparecen, según nuestra búsqueda, términos como «generative», «foundation model», «large language model», «prompt», «hallucination» o «fine-tuning». La Enmienda 1, dedicada a la IA generativa, figuraba en el catálogo de ISO como proyecto final en fase de aprobación el 8 de octubre de 2026. Mientras no se publique, el vocabulario de IA generativa de su organización debe apoyarse en el Reglamento de IA, que define el modelo de IA de uso general, y en el perfil NIST AI 600-1.

Conclusión

Un vocabulario compartido es el control más barato de la gobernanza de la IA y el que con más frecuencia se omite. ISO/IEC 22989 lo ofrece gratis: 117 definiciones, un ciclo de vida en ocho etapas y un mapa de roles. Sus límites son conocidos y conviene tenerlos por escrito. El texto es de 2022, no contiene vocabulario de IA generativa y sus definiciones no son las de la ley: «proveedor», «autonomía» y «riesgo» significan otra cosa en el Reglamento de IA. La recomendación cabe en tres verbos. Adopte la norma como glosario por defecto. Registre las desviaciones frente a la ley, término a término y sistema a sistema. Y feche el documento, porque la Enmienda 1 obligará a revisarlo. Es un diccionario, no un esquema de cumplimiento.