ISO/IEC 22989: a norma de terminologia de IA explicada

A ISO/IEC 22989 é a norma internacional que fixa o vocabulário da inteligência artificial. Publicada em julho de 2022, é citada pela ISO/IEC 42001 como referência normativa para os termos e pode ser descarregada gratuitamente no sítio da ISO. Há, porém, dois limites que quase ninguém menciona: as suas definições não coincidem palavra por palavra com as do Regulamento da IA, e a edição de 2022 é anterior à IA generativa. Lemos o texto integral e contámos as entradas. Este guia explica o que a norma contém, onde se afasta da lei e como utilizá-la sem cometer erros de qualificação jurídica.

O essencial

• Norma de terminologia e conceitos do ISO/IEC JTC 1/SC 42, primeira edição de julho de 2022, adotada na Europa como EN ISO/IEC 22989:2023.
• Pela nossa contagem, 117 entradas de termos numeradas em sete grupos, mais cláusulas conceptuais sobre fiabilidade, ciclo de vida e papéis das partes interessadas.
• Não é certificável: contém definições, nenhum requisito. É gratuita na lista de normas publicamente disponíveis da ISO.
• “Prestador”, “autonomia” e “risco” não significam o mesmo que no Regulamento da IA.
• Nenhum termo de IA generativa no texto de 2022. A Emenda 1, sobre IA generativa, está em fase de aprovação; a Emenda 2 está em fase de projeto de comité.

O que é a ISO/IEC 22989?

O título completo é “Information technology, Artificial intelligence, Artificial intelligence concepts and terminology”. O documento foi preparado pelo comité técnico conjunto ISO/IEC JTC 1 (tecnologias de informação), subcomité SC 42 (inteligência artificial). A ficha da ISO/IEC 22989 no catálogo da ISO identifica-a como primeira edição, de julho de 2022. O objetivo vem declarado no âmbito de aplicação: estabelecer terminologia e descrever conceitos no domínio da IA, de modo a que possam ser utilizados no desenvolvimento de outras normas e a apoiar a comunicação entre partes interessadas muito diferentes entre si. Aplica-se a todos os tipos de organização. Na prática, serve para que o jurista, o cientista de dados e o auditor que discutem sistemas de IA usem as mesmas palavras.

Um dicionário, não um requisito

A cláusula 2 afirma que o documento não tem referências normativas. O texto define e descreve: não impõe qualquer requisito do tipo “deve”. A primeira: não há nada contra o qual auditar e, por isso, não existe certificado. As entidades formadoras vendem certificados pessoais de frequência de curso, o que é outra coisa. Um fornecedor que se apresente como “conforme com a ISO/IEC 22989” afirma algo que nenhum esquema de certificação consegue verificar. A segunda: a ISO/IEC 22989 é gratuita. Consta, desde setembro de 2023, da lista de normas publicamente disponíveis da ISO, de onde pode ser descarregada sem custos. A terceira: a versão importa. Em dezembro de 2025 foi emitida uma versão corrigida do texto de 2022.

O que contém a ISO/IEC 22989

A cláusula 3 reúne os termos e as definições. Pela nossa contagem, são 117 entradas numeradas, distribuídas por sete grupos. <table header-row=”true”> <tr> <td>Grupo de termos</td> <td>Entradas</td> <td>Exemplos</td> </tr> <tr> <td>Termos relativos à IA</td> <td>35</td> <td>agente de IA, sistema de IA, autonomia, heteronomia, IA geral, IA estreita, modelo, inferência</td> </tr> <tr> <td>Dados</td> <td>15</td> <td>conjunto de dados, verdade de referência (ground truth), dados de teste, dados de validação, dados de produção, anotação de dados</td> </tr> <tr> <td>Aprendizagem automática</td> <td>17</td> <td>aprendizagem automática, modelo treinado, hiperparâmetro, retreino, aprendizagem por reforço, trabalho conjunto entre humano e máquina</td> </tr> <tr> <td>Redes neuronais</td> <td>10</td> <td>rede neuronal, aprendizagem profunda, rede neuronal convolucional, memória de longo e curto prazo (LSTM)</td> </tr> <tr> <td>Fiabilidade</td> <td>18</td> <td>responsabilização, enviesamento, controlabilidade, explicabilidade, previsibilidade, fiabilidade, resiliência, risco, transparência, verificação, validação</td> </tr> <tr> <td>Processamento de linguagem natural</td> <td>18</td> <td>compreensão de linguagem natural, tradução automática, análise de sentimento, reconhecimento de emoções, reconhecimento de fala</td> </tr> <tr> <td>Visão computacional</td> <td>4</td> <td>visão computacional, reconhecimento de imagem</td> </tr> </table> Duas definições merecem leitura atenta. A fiabilidade, no sentido de “trustworthiness”, é a capacidade de corresponder às expectativas das partes interessadas de forma verificável. O enviesamento é definido como uma diferença sistemática no tratamento de certos objetos, pessoas ou grupos em comparação com outros. É uma definição neutra e descritiva, não um sinónimo de discriminação ilícita, o que conta para quem trabalha o viés na IA ou a explicabilidade com equipas técnicas e jurídicas na mesma sala. A seguir aos termos vêm as cláusulas conceptuais da ISO/IEC 22989. A cláusula 4 lista as abreviaturas. As cláusulas 5 a 9 tratam, por esta ordem, dos conceitos de IA, do ciclo de vida do sistema de IA, da visão funcional de um sistema de IA, do ecossistema de IA e dos domínios da IA. O Anexo A, informativo, faz a correspondência entre este ciclo de vida e o da OCDE. A cláusula 6.2 descreve oito fases de ciclo de vida, avisando que não prescreve um modelo específico:

• conceção inicial (inception);
• projeto e desenvolvimento;
• verificação e validação;
• implantação;
• operação e monitorização;
• validação contínua;
• reavaliação;
• retirada de serviço.

A cláusula 5.19 descreve os papéis das partes interessadas. O prestador de IA fornece produtos ou serviços que utilizam um ou mais sistemas de IA, com os subpapéis de prestador de plataforma e de prestador de produto ou serviço. O produtor de IA concebe, desenvolve, testa e implanta, e inclui o programador de IA. O cliente de IA utiliza um produto ou serviço de IA diretamente ou disponibilizando-o a utilizadores, e inclui o utilizador de IA. O parceiro de IA abrange o integrador de sistemas, o fornecedor de dados, o auditor e o avaliador de IA. Seguem-se o sujeito de IA (titular dos dados e outros sujeitos) e as autoridades competentes (decisores políticos e reguladores). Uma nota esclarece que a mesma organização pode acumular vários papéis.

ISO/IEC 22989 e Regulamento da IA: as mesmas palavras, sentidos diferentes

O Regulamento da IA, Regulamento (UE) 2024/1689, não foi buscar a sua definição de sistema de IA à ISO. Seguiu a definição da OCDE, na versão revista em 8 de novembro de 2023, associada aos Princípios da OCDE para a IA. Os dois textos partilham vocabulário e divergem no conteúdo: um glossário copiado da ISO/IEC 22989 dá respostas erradas a perguntas jurídicas. <table header-row=”true”> <tr> <td>Termo</td> <td>Na norma</td> <td>No Regulamento da IA</td> <td>Consequência</td> </tr> <tr> <td>Sistema de IA</td> <td>Entrada 3.1.4: “sistema de engenharia que gera resultados, tais como conteúdos, previsões, recomendações ou decisões, para um dado conjunto de objetivos definidos por humanos”</td> <td>Artigo 3.º, ponto 1: sistema baseado em máquinas, concebido para funcionar com níveis de autonomia variáveis, que pode apresentar capacidade de adaptação após a implantação e que, para objetivos explícitos ou implícitos, infere, a partir dos dados de entrada que recebe, a forma de gerar resultados como previsões, conteúdos, recomendações ou decisões que podem influenciar ambientes físicos ou virtuais</td> <td>”De engenharia” contra “baseado em máquinas”; objetivos “definidos por humanos” contra “explícitos ou implícitos”; inferência, autonomia e adaptação estão na definição legal e não na da ISO.</td> </tr> <tr> <td>Prestador</td> <td>Cláusula 5.19: quem fornece produtos ou serviços que utilizam sistemas de IA</td> <td>Artigo 3.º, ponto 3: quem desenvolve, ou manda desenvolver, um sistema de IA ou um modelo de IA de finalidade geral e o coloca no mercado ou em serviço sob o seu próprio nome ou marca, a título oneroso ou gratuito</td> <td>O papel ISO descreve uma posição na cadeia de valor; o papel legal desencadeia obrigações</td> </tr> <tr> <td>Utilizador e responsável pela implantação</td> <td>”Utilizador de IA” é um subpapel do cliente de IA. A palavra “deployer” não aparece no texto</td> <td>Artigo 3.º, ponto 4: quem utiliza um sistema de IA sob a sua própria autoridade, salvo em atividade pessoal de caráter não profissional. O regulamento define ainda importador, distribuidor, mandatário e operador</td> <td>A norma não serve para atribuir papéis legais</td> </tr> <tr> <td>Autonomia</td> <td>Entrada 3.1.5: característica de um sistema capaz de modificar o seu domínio de utilização previsto ou o seu objetivo sem intervenção, controlo ou supervisão externos</td> <td>Um certo grau de independência das ações em relação à intervenção humana, segundo as orientações da Comissão</td> <td>A fasquia legal é muito mais baixa. “Não é autónomo” no sentido ISO não retira o sistema do âmbito do regulamento</td> </tr> <tr> <td>Risco</td> <td>Entrada 3.5.11: “efeito da incerteza nos objetivos”, a definição da ISO 31000, com nota de que o efeito pode ser positivo, negativo ou ambos</td> <td>Artigo 3.º, ponto 2: combinação da probabilidade de ocorrência de um dano com a gravidade desse dano</td> <td>A lei só olha para o dano; a definição ISO abrange também efeitos positivos</td> </tr> </table> A ISO/IEC 22989 distingue três noções: autonomia, heteronomia (funcionar sob a restrição de intervenção, controlo ou supervisão externos) e automatização (funcionar sem intervenção humana em condições especificadas). Neste vocabulário, quase todos os sistemas de IA hoje em produção são heterónomos e automatizados, não autónomos. Daí não se conclui que o sistema escapa à definição legal, nem que a supervisão humana é dispensável. A confusão mais cara é a de “prestador”. Uma organização que, em vocabulário ISO, se descreve como “cliente de IA” ou “utilizador de IA” pode ser prestador na aceção do artigo 3.º, ponto 3, se mandar desenvolver um sistema e o colocar em serviço sob o seu próprio nome. O contrato fala em cliente; a lei fala em prestador, com a avaliação da conformidade que daí decorre para os sistemas de risco elevado. As duas definições respondem a perguntas diferentes. A norma descreve; a lei distribui obrigações. Por isso, na delimitação do âmbito, a definição legal prevalece sempre. Para os casos de fronteira, a referência são as orientações da Comissão sobre a definição de sistema de IA, publicadas em 6 de fevereiro de 2025, que não são vinculativas.

O que o texto de 2022 não define: IA generativa e emendas

Fizemos uma pesquisa no texto integral da ISO/IEC 22989, edição de 2022. As palavras “generative”, “foundation model”, “large language model”, “prompt”, “hallucination” e “fine-tuning” têm zero ocorrências. O mesmo acontece com o vocabulário próprio do regulamento europeu: “deployer”, “importer”, “distributor”, “intended purpose”, “high-risk” e “substantial modification” não constam. Há duas armadilhas de leitura. A “IA geral” da norma designa a inteligência artificial geral, e não o “modelo de IA de finalidade geral” do Regulamento da IA. E a norma define, sim, “agente de IA”: uma entidade automatizada que deteta o seu ambiente, lhe responde e empreende ações para atingir os seus objetivos. Essa definição foi escrita antes dos agentes baseados em grandes modelos de linguagem. A correção está em curso, em três frentes:

• Emenda 1, “Generative AI”: o projeto de emenda circulou em 2025, com inquérito europeu sob a referência EN ISO/IEC 22989:2023/prA1:2025. Quando verificámos, em 8 de outubro de 2026, o catálogo da ISO apresentava-a como projeto final “em fase de aprovação”.
• Emenda 2: em fase de projeto de comité na ISO. O projeto europeu correspondente foi registado em 28 de outubro de 2025 no âmbito do CEN/CLC/JTC 21, como mostra a página de projeto do DIN.
• Parte 2: um item de trabalho para uma parte dedicada à saúde.

A consequência prática é simples. Enquanto a Emenda 1 não for publicada, os termos de IA generativa do seu glossário têm de vir de outras fontes: do Regulamento da IA, em particular o artigo 3.º, ponto 63, que define o modelo de IA de finalidade geral, e do NIST AI 600-1. E o glossário deve ser datado.

Onde se situa a ISO/IEC 22989 no conjunto das normas

A ISO/IEC 42001:2023, a norma certificável de sistema de gestão de IA, indica a ISO/IEC 22989:2022 como referência normativa: os seus termos e definições são os desta norma, acrescidos dos que lhe são próprios. Quem implementa a norma de sistema de gestão de IA trabalha, portanto, com este vocabulário. A ISO/IEC 23894, com orientações de gestão de riscos de IA, e a ISO/IEC 23053, que descreve um quadro para sistemas de IA baseados em aprendizagem automática, partem do mesmo vocabulário. Fora da ISO, o NIST AI RMF 1.0, de janeiro de 2023, declara que a sua descrição de sistema de IA foi adaptada da Recomendação da OCDE sobre IA de 2019 e da ISO/IEC 22989. Quem aplica o NIST AI RMF encontra uma terminologia próxima. Na Europa, o texto foi adotado pelo CEN e pelo CENELEC como EN ISO/IEC 22989:2023, publicada em 28 de junho de 2023. Os membros do CEN e do CENELEC implementam as normas europeias como normas nacionais idênticas. É também o CEN-CENELEC, através do JTC 21, que redige as normas harmonizadas pedidas para o Regulamento da IA. Segundo os registos públicos de acompanhamento, até julho de 2026 nenhuma norma harmonizada relativa a este regulamento tinha sido citada no Jornal Oficial. Nenhuma norma confere ainda, por isso, a presunção de conformidade prevista no artigo 40.º. De qualquer modo, uma norma de vocabulário nunca daria presunção de conformidade com qualquer requisito: as normas e o regulamento cumprem funções distintas. Em Portugal, o IPQ é o membro nacional do CEN, pelo que a norma europeia integra o acervo normativo português. Do lado da supervisão, a ANACOM foi designada em setembro de 2025 como autoridade de fiscalização do mercado e ponto de contacto único para o Regulamento da IA. O texto português do regulamento usa “prestador” e “responsável pela implantação”: são estes os termos da coluna legal do seu glossário. O calendário legal, depois do Omnibus Digital sobre a IA, Regulamento (UE) 2026/1744, em vigor desde 27 de julho de 2026, é o seguinte. As práticas proibidas e a literacia em IA aplicam-se desde 2 de fevereiro de 2025. As obrigações relativas aos modelos de IA de finalidade geral aplicam-se desde 2 de agosto de 2025. Os deveres de transparência do artigo 50.º aplicam-se desde 2 de agosto de 2026. As obrigações de risco elevado para os sistemas do anexo III aplicam-se a partir de 2 de dezembro de 2027 e, para os sistemas integrados em produtos do anexo I, a partir de 2 de agosto de 2028.

Como utilizar a ISO/IEC 22989: um método de glossário em cinco passos

1. Adote a norma como glossário por omissão. Declare na política de IA que os termos do sistema de gestão de IA são os da ISO/IEC 22989, salvo indicação em contrário.
2. Mantenha um registo de desvios. Para cada termo que a lei aplicável define de outra forma, crie duas colunas (norma e lei) e uma regra que diga qual das duas rege cada documento. Comece pelas cinco linhas da tabela acima.
3. Registe os papéis duas vezes por sistema. No inventário de sistemas de IA, indique o papel da cláusula 5.19, útil para contratos e para o mapeamento da cadeia de fornecimento, e o papel do Regulamento da IA, que decide as obrigações e a responsabilidade de cada interveniente.
4. Alinhe o vocabulário de ciclo de vida. Faça corresponder os nomes internos das fases às oito fases da norma, para que as evidências e a documentação do sistema de IA sejam arquivadas sob os mesmos nomes em todas as equipas.
5. Date o glossário e defina os gatilhos de revisão. Reveja-o quando a Emenda 1 for publicada e sempre que uma norma harmonizada de terminologia ou uma orientação da Comissão altere uma definição.

Uma plataforma de governação de IA, como a AI Sigil, mantém o glossário, os papéis e os registos no mesmo sítio.

Perguntas frequentes

O que é a ISO/IEC 22989, em termos simples? É o dicionário internacional da inteligência artificial. Publicado pela ISO e pela IEC em julho de 2022, define, pela nossa contagem, 117 termos em sete grupos, e descreve os conceitos que os ligam: ciclo de vida, visão funcional, ecossistema e papéis das partes interessadas. Não diz o que uma organização deve fazer. Diz o que as palavras significam, para que normas, contratos e políticas internas usem uma linguagem comum. A ISO/IEC 22989 é gratuita? Sim. A ISO/IEC 22989 consta da lista de normas publicamente disponíveis da ISO desde setembro de 2023 e pode ser descarregada sem custos a partir do sítio oficial. Convém descarregar o ficheiro diretamente da ISO, porque foi emitida uma versão corrigida em dezembro de 2025. O documento está protegido por direitos de autor, pelo que deve evitar cópias não oficiais, que não garantem a versão. Uma empresa pode ser certificada segundo a ISO/IEC 22989? Não. O texto contém definições e descrições, sem qualquer requisito, pelo que não existe nada que um auditor possa verificar e nenhum organismo emite certificados de conformidade. Os certificados que aparecem no mercado são certificados pessoais de formação. Uma declaração de produto “conforme” com a norma de vocabulário não tem conteúdo verificável. A norma certificável da mesma família é a ISO/IEC 42001, relativa ao sistema de gestão de IA. Como define a ISO/IEC 22989 um sistema de IA? A entrada 3.1.4 define-o como um sistema de engenharia que gera resultados, como conteúdos, previsões, recomendações ou decisões, para um conjunto de objetivos definidos por humanos. Ao contrário do Regulamento da IA, não menciona inferência, autonomia nem capacidade de adaptação, e exige objetivos definidos por humanos, quando a lei admite objetivos explícitos ou implícitos. Para decidir se um sistema entra no âmbito do regulamento, usa-se a definição legal, lida com as orientações da Comissão de 6 de fevereiro de 2025. Qual é a relação com a ISO/IEC 42001? A ISO/IEC 42001:2023 indica esta norma como referência normativa e retira dela os seus termos e definições, a que acrescenta alguns próprios. A primeira fixa o sentido das palavras; a segunda impõe requisitos e pode ser certificada. Quem implementa a 42001 deve ter a norma de vocabulário à mão desde o início: sem o dicionário, as cláusulas do sistema de gestão ficam abertas a interpretações divergentes. A ISO/IEC 22989 abrange a IA generativa? Ainda não. O texto de 2022 não contém nenhuma ocorrência de “generative”, “foundation model”, “large language model”, “prompt”, “hallucination” ou “fine-tuning”. Uma Emenda 1 dedicada à IA generativa figurava no catálogo da ISO como projeto final em fase de aprovação em 8 de outubro de 2026, e uma Emenda 2 está em fase de projeto de comité. Até à publicação, os termos de IA generativa devem vir do Regulamento da IA, que define o modelo de IA de finalidade geral, e do NIST AI 600-1.

Conclusão

Um vocabulário partilhado é o controlo mais barato da governação de IA e o que mais vezes fica por fazer. A ISO/IEC 22989 oferece-o gratuitamente: 117 termos, oito fases de ciclo de vida e um mapa de papéis. Os seus limites são conhecidos. O texto é de 2022, não contém vocabulário de IA generativa e as suas definições não são as da lei: “prestador”, “autonomia” e “risco” têm no Regulamento da IA um sentido próprio, que prevalece sempre que estão em causa obrigações. O método resume-se a três gestos: adotar a norma como glossário por omissão, registar os desvios em duas colunas e datar o resultado.