Os próprios IATA dizem que é um código de três letras :
A codificação de locais de comércio da ONU também diz a mesma coisa:Airlines and CRSs [computer reservations systems] may request the assignment of a unique three-letter code to identify an airport
when a three-letter code is used alone to indicate a location, it designates the name of an airport or location as adopted by IATA (whose code only has three letters)
Segundo a Wikipedia, a IATA tem vários diferentes tipos de código que podem ter de um a quatro caracteres, mas códigos de aeroporto especificamente são sempre três com base em todas as fontes que mencionei.