La norme ISO/IEC 22989 est le texte international qui fixe le vocabulaire de l’intelligence artificielle. Publiée en juillet 2022, elle sert de référence normative à l’ISO/IEC 42001 pour l’ensemble de ses termes, et l’ISO la met à disposition gratuitement. Deux réserves s’imposent pourtant avant d’en faire le glossaire de votre organisation : ses définitions ne recoupent pas mot pour mot celles du règlement sur l’IA (AI Act), et l’édition de 2022 est antérieure à l’IA générative. Nous avons lu le texte intégral et compté ses entrées. Ce guide décrit ce que la norme contient réellement, les points où elle s’écarte du droit européen, et une méthode pour l’utiliser sans produire de réponses fausses à des questions juridiques.
L’essentiel
- Norme de terminologie et de concepts élaborée par l’ISO/IEC JTC 1/SC 42, première édition en juillet 2022, reprise en Europe sous la référence EN ISO/IEC 22989:2023.
- 117 entrées terminologiques numérotées, réparties en sept groupes selon notre décompte, complétées par des articles conceptuels sur la confiance, le cycle de vie et les rôles des parties prenantes.
- Non certifiable : elle contient des définitions, aucune exigence. Elle figure dans la liste des normes ISO en accès libre.
- « Fournisseur », « autonomie » et « risque » n’y ont pas le même sens que dans l’AI Act.
- Aucun terme d’IA générative dans le texte de 2022. L’amendement 1 sur l’IA générative est en phase d’approbation, l’amendement 2 au stade du projet de comité.
Qu’est-ce que la norme ISO/IEC 22989 ?
Son titre complet est « Technologies de l’information, Intelligence artificielle, Concepts et terminologie relatifs à l’intelligence artificielle ». Le texte a été préparé par le comité technique mixte ISO/IEC JTC 1 (technologies de l’information), au sein de son sous-comité SC 42 consacré à l’intelligence artificielle. La fiche de la norme au catalogue de l’ISO mentionne une première édition datée de juillet 2022. Son domaine d’application tient en deux idées. L’ISO/IEC 22989 établit une terminologie et décrit des concepts, d’une part pour servir à l’élaboration d’autres normes, d’autre part pour faciliter la communication entre des parties prenantes qui ne parlent pas le même langage. Elle s’adresse à tous les types d’organisations. D’où sa place dans la norme ISO/IEC 42001 de système de management de l’IA, dont elle fournit le lexique.
Un dictionnaire, pas une exigence
L’article 2 du texte est sans ambiguïté : le document ne comporte aucune référence normative. La norme définit et décrit, elle ne formule aucune exigence au sens des normes ISO (aucun « doit »). Il n’existe donc rien à auditer, aucun référentiel d’évaluation de la conformité et aucun certificat d’organisme. Les organismes de formation vendent des attestations individuelles de fin de stage, ce qui est une autre chose. Un éditeur qui se déclare « conforme à l’ISO/IEC 22989 » avance une affirmation qu’aucun dispositif ne peut vérifier. Autre point souvent ignoré : l’ISO/IEC 22989 est gratuite. Depuis septembre 2023, elle figure dans la liste des normes ISO en accès libre (Publicly Available Standards), où elle se télécharge sans frais. Une version corrigée du texte de 2022 a par ailleurs été diffusée en décembre 2025 : vérifiez la date du fichier que vos équipes utilisent.
Ce que contient l’ISO/IEC 22989
L’article 3 regroupe les définitions. Selon notre décompte, il compte 117 entrées numérotées, réparties en sept groupes (les intitulés français ci-dessous sont nos traductions de travail). <table header-row= »true »> <tr> <td>Groupe de termes</td> <td>Nombre d’entrées</td> <td>Exemples</td> </tr> <tr> <td>Termes relatifs à l’IA</td> <td>35</td> <td>agent d’IA, système d’IA, autonomie, hétéronomie, IA générale, IA étroite, modèle, inférence</td> </tr> <tr> <td>Données</td> <td>15</td> <td>jeu de données, vérité terrain, données de test, données de validation, données de production, annotation de données</td> </tr> <tr> <td>Apprentissage automatique</td> <td>17</td> <td>apprentissage automatique, modèle entraîné, hyperparamètre, réentraînement, apprentissage par renforcement, coopération humain-machine</td> </tr> <tr> <td>Réseaux de neurones</td> <td>10</td> <td>réseau de neurones, apprentissage profond, réseau de neurones convolutif, mémoire à long et court terme</td> </tr> <tr> <td>Confiance</td> <td>18</td> <td>redevabilité, biais, contrôlabilité, explicabilité, prévisibilité, fiabilité, résilience, risque, transparence, vérification, validation</td> </tr> <tr> <td>Traitement automatique du langage naturel</td> <td>18</td> <td>compréhension du langage naturel, traduction automatique, analyse de sentiments, reconnaissance des émotions, reconnaissance de la parole</td> </tr> <tr> <td>Vision par ordinateur</td> <td>4</td> <td>vision par ordinateur, reconnaissance d’images</td> </tr> </table> Dans le groupe consacré à la confiance, la confiance elle-même désigne la capacité à répondre aux attentes des parties prenantes d’une manière vérifiable. Le biais y reçoit une définition neutre et descriptive : une différence systématique de traitement de certains objets, personnes ou groupes par rapport à d’autres. Ce n’est pas un synonyme de discrimination illicite, nuance utile quand on rédige une politique sur les biais de l’IA. Après l’article 4 (abréviations), les articles 5 à 9 décrivent des concepts : les concepts de l’IA (article 5), le cycle de vie d’un système d’IA (article 6), sa vue fonctionnelle (article 7), l’écosystème de l’IA (article 8) et les domaines de l’IA (article 9). L’article 6.2 propose un cycle de vie en huit étapes, en précisant que la norme n’impose aucun modèle particulier :
- lancement ;
- conception et développement ;
- vérification et validation ;
- déploiement ;
- exploitation et surveillance ;
- validation continue ;
- réévaluation ;
- mise hors service.
L’annexe A, informative, met ce cycle en correspondance avec celui que retient l’OCDE dans sa propre définition du cycle de vie d’un système d’IA. L’article 5.19 de l’ISO/IEC 22989 décrit enfin les rôles des parties prenantes. Le fournisseur d’IA fournit des produits ou des services qui utilisent un ou plusieurs systèmes d’IA (sous-rôles : fournisseur de plateforme, fournisseur de produit ou de service). Le producteur d’IA conçoit, développe, teste et déploie (sous-rôle : développeur). Le client d’IA utilise un produit ou un service d’IA, directement ou en le mettant à disposition d’utilisateurs (sous-rôle : utilisateur d’IA). Le partenaire d’IA recouvre l’intégrateur de systèmes, le fournisseur de données, l’auditeur et l’évaluateur. S’y ajoutent les sujets d’IA (personnes concernées par les données, autres sujets) et les autorités compétentes (décideurs publics, régulateurs). Une note précise qu’une même organisation peut cumuler plusieurs rôles.
ISO/IEC 22989 et AI Act : mêmes mots, sens différents
Le législateur européen n’a pas repris la définition de l’ISO/IEC 22989. Le règlement (UE) 2024/1689 a calqué sa définition du système d’IA sur celle de l’OCDE, dans sa version révisée du 8 novembre 2023, que l’on retrouve dans les principes de l’OCDE sur l’IA. Résultat : les deux textes emploient les mêmes mots, avec des sens qui divergent sur cinq points au moins. <table header-row= »true »> <tr> <td>Terme</td> <td>Dans la norme</td> <td>Dans l’AI Act</td> <td>Conséquence</td> </tr> <tr> <td>Système d’IA</td> <td>Système issu de l’ingénierie qui génère des sorties (contenus, prévisions, recommandations, décisions) pour un ensemble donné d’objectifs définis par l’humain (entrée 3.1.4)</td> <td>Article 3(1) : système automatisé, conçu pour fonctionner à différents niveaux d’autonomie, pouvant faire preuve d’adaptation après son déploiement, qui déduit de ses entrées, pour des objectifs explicites ou implicites, la manière de générer des sorties capables d’influencer des environnements physiques ou virtuels</td> <td>L’inférence, l’autonomie et la capacité d’adaptation figurent dans la définition légale et sont absentes de celle de la norme. Le périmètre se qualifie avec l’article 3(1).</td> </tr> <tr> <td>Fournisseur</td> <td>Organisation qui fournit des produits ou des services utilisant un ou plusieurs systèmes d’IA ; le développement relève d’un autre rôle, le producteur d’IA</td> <td>Article 3(3) : développe ou fait développer un système d’IA ou un modèle d’IA à usage général et le met sur le marché ou en service sous son propre nom ou sa propre marque, à titre onéreux ou gratuit</td> <td>Le fournisseur de la loi ressemble souvent au producteur de la norme. Les obligations les plus lourdes suivent la définition légale.</td> </tr> <tr> <td>Utilisateur et déployeur</td> <td>L’utilisateur d’IA est un sous-rôle du client d’IA ; le mot « déployeur » n’apparaît pas</td> <td>Article 3(4) : le déployeur utilise un système d’IA sous sa propre autorité, sauf dans le cadre d’une activité personnelle à caractère non professionnel</td> <td>Un contrat rédigé avec « utilisateur » ne dit rien des obligations du déployeur.</td> </tr> <tr> <td>Autonomie</td> <td>Caractéristique d’un système capable de modifier son domaine d’utilisation prévu ou son objectif sans intervention, contrôle ni supervision externes (entrée 3.1.5)</td> <td>Un certain degré d’indépendance des actions par rapport à l’intervention humaine, selon les lignes directrices de la Commission</td> <td>Le seuil légal est bien plus bas. Un système « non autonome » au sens de la norme reste un système d’IA au sens de la loi.</td> </tr> <tr> <td>Risque</td> <td>« Effet de l’incertitude sur les objectifs », la définition de l’ISO 31000, l’effet pouvant être positif, négatif ou les deux (entrée 3.5.11)</td> <td>Article 3(2) : combinaison de la probabilité d’un préjudice et de la sévérité de celui-ci</td> <td>La loi ne vise que le préjudice. Un registre des risques bâti sur la seule définition ISO mélange opportunités et atteintes aux personnes.</td> </tr> </table> La confusion la plus coûteuse porte sur le mot « fournisseur ». Une organisation qui se décrit comme « client d’IA » ou « utilisateur d’IA » dans le vocabulaire de l’ISO peut parfaitement être fournisseur au sens de l’article 3(3) : il suffit qu’elle fasse développer un système par un prestataire et qu’elle le mette en service sous son propre nom. Elle hérite alors des obligations du fournisseur, y compris, le cas échéant, celles qui pèsent sur un système d’IA à haut risque. Le règlement définit en outre l’importateur, le distributeur, le mandataire et l’opérateur, autant de mots que la norme ne connaît pas. L’ISO/IEC 22989 oppose l’autonomie à l’hétéronomie, c’est-à-dire le fonctionnement sous la contrainte d’une intervention, d’un contrôle ou d’une supervision externes, et distingue une troisième notion, l’automatisation (fonctionner sans intervention humaine dans des conditions spécifiées). Avec ce vocabulaire, presque tous les systèmes d’IA en production aujourd’hui sont hétéronomes et automatisés, pas autonomes. Les exigences de supervision humaine du règlement s’appliquent pourtant à eux. Les deux définitions répondent à des questions différentes. La norme décrit, la loi attribue des obligations. Pour délimiter un périmètre réglementaire, la définition légale l’emporte donc toujours, et les lignes directrices de la Commission du 6 février 2025 sur la définition du système d’IA, bien que non contraignantes, servent de référence pour les cas limites.
Ce que le texte de 2022 ne définit pas : IA générative et amendements
Notre recherche dans l’édition de 2022 donne zéro occurrence de « generative », « foundation model », « large language model », « prompt », « hallucination » et « fine-tuning ». L’« IA générale » de la norme désigne l’intelligence artificielle générale et non le « modèle d’IA à usage général » de l’AI Act. L’ISO/IEC 22989 définit bien l’agent d’IA, entité automatisée qui perçoit son environnement, y réagit et entreprend des actions pour atteindre ses objectifs, mais cette définition a été écrite avant les agents fondés sur des modèles de langage. Les travaux de mise à jour sont engagés :
- Amendement 1, « IA générative » : projet d’amendement diffusé en 2025, soumis à l’enquête européenne sous la référence EN ISO/IEC 22989:2023/prA1:2025. Lors de notre vérification du 8 octobre 2026, la fiche de l’amendement 1 au catalogue de l’ISO l’affichait comme projet final « en phase d’approbation ».
- Amendement 2 : au stade du projet de comité à l’ISO. Le projet européen correspondant a été enregistré le 28 octobre 2025 sous l’égide du CEN/CLC/JTC 21, comme l’indique la fiche projet publiée par le DIN.
- Partie 2 : un sujet de travail est ouvert pour une partie consacrée au secteur de la santé.
Tant que l’amendement 1 n’est pas publié, vos termes d’IA générative doivent venir d’ailleurs : de l’AI Act, dont l’article 3(63) définit le modèle d’IA à usage général, et du profil NIST AI 600-1 consacré à l’IA générative. Et votre glossaire doit porter une date.
Où se situe l’ISO/IEC 22989 dans l’empilement des normes
L’ISO/IEC 22989 est la couche de vocabulaire sur laquelle reposent les autres textes du SC 42. L’ISO/IEC 42001:2023, norme certifiable de système de management de l’IA, la cite comme référence normative : ses termes et définitions sont ceux de la norme de terminologie, complétés par les siens. L’ISO/IEC 23894 (lignes directrices de gestion des risques) et l’ISO/IEC 23053 (cadre pour les systèmes d’IA fondés sur l’apprentissage automatique) s’appuient sur le même lexique. Voir notre analyse de l’ISO 42001 comme boîte à outils pour l’AI Act. Le NIST AI RMF 1.0, publié en janvier 2023, indique que sa description d’un système d’IA est adaptée de la recommandation de l’OCDE de 2019 et de l’ISO/IEC 22989:2022. Notre guide du cadre NIST AI RMF détaille ce référentiel. En Europe, le CEN et le CENELEC ont adopté le texte sous la référence EN ISO/IEC 22989:2023, publiée le 28 juin 2023. Leurs membres reprennent les normes européennes à l’identique dans leur collection nationale, ce qui donne au texte le statut de norme nationale dans chaque pays. En France, c’est l’AFNOR, membre français du CEN, qui intègre les normes européennes dans la collection française. La version française de la norme donne les termes officiels en français, ce qui compte quand la version française du règlement parle de « fournisseur » et de « déployeur ». Reste la question de la présomption de conformité. Le comité JTC 21 du CEN-CENELEC rédige les normes harmonisées demandées par la Commission pour l’AI Act. Selon les outils publics de suivi, aucune norme harmonisée au titre de l’AI Act n’avait été citée au Journal officiel de l’Union européenne en juillet 2026 : aucune norme ne confère donc encore la présomption de conformité prévue à l’article 40. Une norme de vocabulaire ne la conférerait de toute façon pour aucune exigence, puisqu’elle n’en contient pas. Depuis l’omnibus numérique sur l’IA, règlement (UE) 2026/1744 entré en vigueur le 27 juillet 2026, les échéances sont les suivantes : pratiques interdites et maîtrise de l’IA applicables depuis le 2 février 2025 ; obligations des modèles d’IA à usage général depuis le 2 août 2025 ; obligations de transparence de l’article 50 depuis le 2 août 2026 ; obligations des systèmes à haut risque de l’annexe III à compter du 2 décembre 2027 ; systèmes intégrés à des produits relevant de l’annexe I à compter du 2 août 2028.
Comment utiliser l’ISO/IEC 22989 : une méthode de glossaire en cinq étapes
L’usage raisonnable de l’ISO/IEC 22989 tient en un registre à deux colonnes, qui conserve côte à côte le terme de la norme et le terme légal.
- Adoptez la norme comme glossaire par défaut. Désignez-la comme lexique de référence de votre système de management de l’IA et écrivez-le dans votre politique IA. Tout terme non défini ailleurs se lit alors dans le sens de la norme.
- Tenez un registre des écarts. Chaque terme que le droit applicable à votre organisation définit autrement reçoit deux colonnes (norme, loi) et une règle précisant quelle définition gouverne quel document. Commencez par les cinq lignes du tableau comparatif entre la norme et l’AI Act.
- Enregistrez les rôles deux fois par système. Dans votre inventaire des systèmes d’IA, notez pour chaque système le rôle de l’article 5.19 de la norme, utile pour les contrats et la cartographie de la chaîne d’approvisionnement, et le rôle au sens de l’AI Act, qui décide des obligations.
- Alignez le vocabulaire du cycle de vie. Faites correspondre les noms de vos étapes internes aux huit étapes de la norme, afin que les preuves soient classées sous les mêmes intitulés d’une équipe à l’autre. La documentation de chaque système d’IA devient alors comparable entre projets.
- Datez le glossaire et prévoyez sa révision. Revoyez-le à la publication de l’amendement 1, puis chaque fois qu’une norme harmonisée de terminologie ou une ligne directrice de la Commission modifie une définition.
Côté outillage, une plateforme de gouvernance de l’IA telle qu’AI Sigil permet de conserver au même endroit le glossaire, les rôles et les enregistrements associés à chaque système.
Questions fréquentes
Qu’est-ce que l’ISO/IEC 22989, en termes simples ? C’est le dictionnaire international de l’intelligence artificielle. Préparée par le sous-comité SC 42 de l’ISO et de l’IEC et publiée en juillet 2022, la norme définit 117 termes selon notre décompte (système d’IA, modèle, biais, risque, autonomie, entre autres) et décrit les grands concepts du domaine : cycle de vie, rôles des parties prenantes, propriétés de confiance. Elle ne prescrit rien. Son objet est de donner un vocabulaire commun aux équipes et aux autres normes sur l’IA. L’ISO/IEC 22989 est-elle gratuite ? Oui. Depuis septembre 2023, la norme figure dans la liste des normes ISO en accès libre et se télécharge sans frais sur le site de l’ISO. Le texte reste protégé par le droit d’auteur : vous pouvez le lire et vous y référer, pas le republier. Pensez aussi à vérifier que vous disposez bien de la version corrigée diffusée en décembre 2025. Une entreprise peut-elle être certifiée ISO/IEC 22989 ? Non. La norme ne contient aucune exigence, donc aucun critère au regard duquel un auditeur pourrait conclure à une conformité. Aucun organisme ne délivre de certificat d’entreprise sur cette base, et les attestations des organismes de formation sont des certificats individuels de suivi de cours. Pour une certification en matière d’IA, tournez-vous vers l’ISO/IEC 42001, qui fixe des exigences de système de management auditables et utilise ce vocabulaire. Comment la norme définit-elle un système d’IA ? L’entrée 3.1.4 le définit comme un « système conçu par ingénierie qui génère des sorties telles que des contenus, des prévisions, des recommandations ou des décisions pour un ensemble donné d’objectifs définis par l’humain » (notre traduction). La définition ne mentionne ni l’inférence, ni l’autonomie, ni la capacité d’adaptation, que l’article 3(1) de l’AI Act, repris de l’OCDE, place au centre. Pour savoir si un logiciel relève du règlement, seule la définition légale compte. Quel est le lien entre l’ISO/IEC 22989 et l’ISO/IEC 42001 ? L’ISO/IEC 42001:2023 cite l’édition de 2022 de la norme de terminologie comme référence normative : ses termes et définitions sont ceux du dictionnaire, auxquels elle ajoute les siens. La première est le lexique, la seconde le référentiel d’exigences. Une organisation qui prépare une certification a intérêt à adopter le lexique dès le départ, plutôt que de corriger ses documents au moment de l’audit. L’ISO/IEC 22989 couvre-t-elle l’IA générative ? Pas dans son édition de 2022. Notre recherche n’y a trouvé aucune occurrence des termes anglais « generative », « foundation model », « large language model », « prompt », « hallucination » ou « fine-tuning ». Un amendement 1 consacré à l’IA générative est en préparation : le catalogue de l’ISO l’affichait en phase d’approbation le 8 octobre 2026. En attendant, tirez vos définitions de l’AI Act, notamment de son article 3(63), et du profil NIST AI 600-1.
Conclusion
Un vocabulaire partagé est le contrôle le moins cher de toute la gouvernance de l’IA, et celui que les organisations sautent le plus souvent. L’ISO/IEC 22989 le fournit gratuitement : 117 termes, un cycle de vie en huit étapes, une grille de rôles, le tout déjà repris par l’ISO/IEC 42001. Ses limites sont connues et se gèrent. Le texte date de 2022, il ignore l’IA générative jusqu’à la publication de l’amendement 1, et ses définitions ne sont pas celles du règlement sur l’IA. Adoptez la norme comme glossaire par défaut, consignez dans un registre chaque écart avec le droit applicable, datez l’ensemble. Vous aurez un dictionnaire fiable, à condition de ne jamais le prendre pour un référentiel de conformité.