60 millones de personas se quedaron sin luz en 5 segundos — y el sector de la IA no aprendió nada

Estaba en una llamada con un socio potencial cuando saltó la noticia. 28 de abril de 2025. Alguien de la reunión dejó un enlace en el chat: España y Portugal se habían quedado completamente a oscuras. Sesenta millones de personas, sin electricidad. Semáforos apagados. Hospitales con generadores de emergencia. Trenes detenidos en túneles.

Mi primer pensamiento —y no me enorgullece— fue de alivio. No porque hubiera ocurrido, obviamente. Sino porque aquello sobre lo que llevábamos dos años advirtiendo se había vuelto por fin imposible de ignorar. En Veriprajna llevábamos tiempo construyendo sistemas de IA deterministas precisamente porque creíamos que los modelos probabilísticos —los que vende la mayoría de las empresas de IA— acabarían fallando de forma catastrófica en infraestructuras críticas. Y ahí estaba: 15 gigavatios de capacidad de generación desaparecidos en cinco segundos. No fue un ciberataque. No fue un desastre natural. Fue una cascada de fallos de control que una IA mejor podría haber evitado.

Mi segundo pensamiento fue de rabia. Porque en cuestión de horas el relato ya se había solidificado: «Las renovables causaron el apagón». Estaba por todas partes. Y era falso.

¿Qué mató realmente a la red el 28 de abril?

Permíteme ser preciso sobre lo que ocurrió, porque los detalles importan más que los titulares.

Aquella mañana, las renovables generaban el 78% de la electricidad de España. La solar y la eólica estaban haciendo su trabajo a la perfección. Pero esto es lo que la mayoría de la gente no entiende sobre una red eléctrica: generar electricidad es solo la mitad del problema. La otra mitad es gestionar la potencia reactiva —la fuerza invisible que mantiene la tensión estable a lo largo de miles de kilómetros de líneas de transmisión.

Piénsalo como la presión del agua en un sistema de tuberías. Puedes tener agua de sobra (potencia activa), pero si la presión (la tensión) cae o se dispara en los lugares equivocados, las tuberías revientan. La potencia reactiva es lo que regula esa presión. La normativa española —en concreto lo que se conoce como Procedimiento de Operación 7.4— exige que cada central eléctrica absorba o inyecte potencia reactiva de forma dinámica para mantener las tensiones estables. Cada central debe ser capaz de aportar al menos el 30% de su potencia máxima como soporte reactivo.

El 28 de abril, la red empezó a experimentar oscilaciones extrañas hacia el mediodía: vibraciones subsíncronas a 0.21 Hz y 0.63 Hz. Los operadores del sistema de transmisión intentaron amortiguarlas mallando más líneas entre sí y cambiando los enlaces HVDC a modo de potencia fija. Movimientos razonables. Pero tuvieron una consecuencia imprevista: las tensiones empezaron a subir.

Y entonces llegó el fallo crítico: varias instalaciones de generación no absorbieron la potencia reactiva que se les exigía. Respondieron demasiado despacio, o directamente no respondieron. Una instalación importante llegó incluso a inyectar potencia reactiva en una red ya sobretensionada: justo lo contrario de lo que exigía la física. Fue como echar gasolina a un fuego que se supone que tienes que apagar.

A las 12:33 CEST, la cascada se completó. Quince gigavatios desaparecidos en cinco segundos. Apagón total en toda la península ibérica durante hasta diez horas. Varias personas murieron.

La brecha invisible que nadie vigilaba

Este es el detalle de la investigación posterior al incidente que me quitó el sueño.

Los operadores del sistema de transmisión estuvieron mirando sus pantallas todo el tiempo. En el nivel de 400 kilovoltios —la espina dorsal de alta tensión— todo parecía correcto. Las tensiones marcaban 418 kV, muy dentro de los límites. Pero en las subestaciones de nivel colector, donde los parques solares y eólicos se conectan realmente a la red a 220 kV, las tensiones ya habían alcanzado los 242 kV, por encima de los umbrales de protección que disparan las desconexiones automáticas.

Los cambiadores de tomas de los transformadores entre esos niveles de tensión no podían ajustarse con la rapidez suficiente. Así que el panel de monitorización del TSO mostraba verde mientras la red real ya estaba en crisis. Empecé a llamar a esto la brecha de observabilidad: la distancia entre lo que los operadores pueden ver y lo que la red está haciendo en realidad.

El apagón ibérico no fue un fallo de generación. Fue un fallo de inteligencia: la brecha entre lo que la sala de control podía ver y lo que la red estaba haciendo en realidad.

Cuando presenté este análisis a nuestro equipo, una de nuestras ingenieras —Priya— dijo algo que se me quedó grabado: «Es como un médico que vigila tu frecuencia cardíaca mientras la tensión arterial te está matando. Está mirando la constante vital equivocada». Exactamente eso. Y es exactamente el tipo de fallo que una IA mejor debería evitar.

¿Por qué la IA no evitó esto?

Aquí es donde me frustro de verdad con mi propio sector.

Ha habido una explosión de empresas de IA que venden soluciones de «red inteligente». La mayoría son lo que llamamos aplicaciones envoltorio —interfaces finas construidas sobre grandes modelos de lenguaje como GPT-4 o Claude. Le das datos de la red, el modelo los procesa y te devuelve un análisis. Suena sofisticado. Es peligrosamente insuficiente para este problema.

Un inversor me dijo, cosa de un año antes del apagón, que deberíamos «usar simplemente GPT con una capa afinada» para nuestro trabajo de monitorización de la red. Intenté explicarle por qué eso no funcionaría, y me miró como si le estuviera poniendo pegas. «Todo el mundo usa LLM», dijo. «¿Por qué lo complicas tanto?»

Te explico por qué. Los modelos de IA probabilísticos tienen tres debilidades fatales cuando se aplican a infraestructuras críticas:

Alucinan estados físicos. Un LLM optimiza para producir la salida que suena más plausible. Durante una crisis de red, podría informar de que «los niveles de tensión se están estabilizando» porque eso es lo que suele ocurrir en los eventos de oscilación de sus datos de entrenamiento. No tiene ningún mecanismo para verificarlo contra la física real. «Probable» y «correcto» se tratan como lo mismo.

Son demasiado lentos. La IA basada en envoltorios enruta los datos a través de API en la nube. Latencia de ida y vuelta: de 500 milisegundos a varios segundos. La cascada ibérica se completó en cinco segundos. Para cuando un modelo alojado en la nube terminara su inferencia, el apagón ya sería irreversible. Los sistemas nativos del borde que construimos en Veriprajna logran inferencias en menos de 0.7 milisegundos, lo bastante rápido como para intervenir antes de que una cascada se complete.

No se pueden verificar. No se puede demostrar formalmente que un LLM vaya a obedecer la ley de tensiones de Kirchhoff o la ecuación de oscilación. No puedes auditar su razonamiento. No puedes garantizar que no vaya a sugerir inyectar potencia reactiva durante un episodio de sobretensión: exactamente el error que cometió un operador humano el 28 de abril. Para un análisis técnico más profundo de estos modos de fallo, escribí sobre ello extensamente en nuestro artículo de investigación sobre la inmunidad determinista de la red.

En infraestructuras críticas, la diferencia entre «probablemente correcto» y «demostrablemente correcto» se mide en vidas humanas.

¿Qué significa realmente la «inmunidad determinista»?

Después del apagón, mi equipo pasó semanas diseccionando cada informe publicado: de ENTSO-E, de Red Eléctrica, de investigadores independientes. Mapeamos toda la cadena de fallos. Y volvíamos una y otra vez a la misma pregunta: ¿qué tipo de arquitectura de IA habría hecho que esta cascada fuera físicamente imposible?

No poco probable. No improbable. Imposible.

Eso es lo que entendemos por inmunidad determinista. Y construirla exige abandonar la idea de que un solo tipo de IA puede hacerlo todo.

La arquitectura que desarrollamos tiene varias capas, cada una resolviendo una parte distinta del problema. No voy a entrar aquí a fondo en las matemáticas —puedes explorar la versión interactiva de nuestro whitepaper para ver el marco técnico completo—, pero las ideas centrales son sorprendentemente intuitivas.

Enseñar a las redes neuronales a obedecer la física

Las redes neuronales estándar aprenden patrones a partir de los datos. Muéstrales suficientes ejemplos del comportamiento de la red y aprenderán a predecir lo que viene después. Pero no tienen ningún concepto de por qué ocurren las cosas. No saben que la tensión y la potencia reactiva están ligadas por leyes electromagnéticas fundamentales. Solo saben que, cuando aparece el patrón de entrada A, normalmente le sigue el patrón de salida B.

Las redes neuronales informadas por la física —las PINN— son diferentes. Incorporamos las ecuaciones diferenciales reales que gobiernan la dinámica de los sistemas eléctricos directamente en el proceso de entrenamiento. La red neuronal no solo aprende de datos históricos; aprende sujeta a la restricción de que sus salidas deben satisfacer las leyes de la física.

Esto es lo que significa en la práctica. Durante el evento ibérico, las oscilaciones subsíncronas a 0.63 Hz eran una señal de alarma que los controladores convencionales interpretaron como ruido. Un controlador basado en PINN habría reconocido esas oscilaciones como una violación dinámica de las ecuaciones de estabilidad y habría aplicado amortiguación activa: nuestras simulaciones muestran tiempos de respuesta hasta 87 veces más rápidos que los de los métodos de optimización convencionales. No porque la red neuronal sea más rápida con las matemáticas, sino porque ya conoce las matemáticas. La física está integrada en su arquitectura.

Recuerdo la tarde en que conseguimos que esto funcionara por primera vez en simulación. Llevábamos semanas peleándonos con la estabilidad del entrenamiento: las restricciones físicas no dejaban de chocar con el aprendizaje basado en datos. Nuestro responsable de ML, que venía de un entorno de deep learning puro, dudaba de que las restricciones ayudaran en lugar de perjudicar. Entonces pasamos el escenario ibérico por el modelo entrenado. La PINN detectó el patrón de oscilación a las 12:00 del mediodía, treinta y tres minutos antes de la cascada real. Se quedó mirando la pantalla y dijo: «Vale. Ahora lo entiendo».

El sándwich que bloquea las decisiones estúpidas

La inferencia informada por la física es la primera capa. La segunda es lo que llamamos el Sándwich Neurosimbólico —y es la pieza que habría evitado directamente el fallo más flagrante del 28 de abril.

¿Recuerdas la central eléctrica que inyectó potencia reactiva durante un episodio de sobretensión? Aquello ocurrió porque el sistema de control de la central —fuera automatizado o dirigido por humanos— emitió una orden que violaba el Procedimiento de Operación 7.4. La orden era físicamente posible de ejecutar, así que se ejecutó. La red no tenía ningún sistema inmunitario para rechazarla.

En nuestra arquitectura, una capa de lógica simbólica rodea la red neuronal como una barrera constitucional. Codificamos todo el reglamento del P.O. 7.4 —y cualquier otro código de red aplicable— en un lenguaje formal específico del dominio. La red neuronal propone acciones. La capa simbólica comprueba cada acción propuesta contra las reglas rígidas antes de que llegue al equipo físico.

Si la tensión está por encima del umbral máximo y subiendo, y la capa neuronal sugiere inyectar potencia reactiva —por el motivo que sea, por muy segura que esté de su predicción—, la capa simbólica lo bloquea. No con una advertencia. No con una puntuación de probabilidad. Físicamente no puede pasar. El sistema trata el cumplimiento normativo como un puente trata la gravedad: no como una directriz, sino como una restricción que no se puede violar.

Un controlador de red neurosimbólico no te advierte de las malas decisiones. Hace que las malas decisiones sean físicamente imposibles de ejecutar.

Esto es a lo que me refiero cuando hablo de superar la «falacia de la libertad infinita»: la suposición de que una IA más flexible es siempre una IA mejor. En infraestructuras críticas quieres menos libertad, no más. Quieres una IA brillantemente adaptativa dentro de unos límites rígidos y absolutamente inflexible en esos límites.

¿Por qué la inteligencia tiene que vivir en el borde?

Hay una pregunta práctica que surge cada vez que presento este trabajo: ¿dónde ocurre el cómputo?

La brecha de observabilidad que condenó a la red ibérica existía porque la inteligencia estaba centralizada. La sala de control del TSO monitorizaba la espina dorsal de 400 kV. Las subestaciones de nivel colector de 220 kV —donde se estaba desarrollando la crisis real— volaban esencialmente a ciegas. Los datos de esas subestaciones se agregaban, se promediaban y se comunicaban en ciclos demasiado lentos para captar una cascada de cinco segundos.

Nuestros Controladores Neuronales de Red son dispositivos de computación en el borde que se instalan en el propio transformador del lado colector. Realizan mediciones de sincro-forma de onda de alta resolución, ejecutan bucles de optimización continuos cada 100 milisegundos y emiten órdenes a los inversores para mantener la estabilidad de tensión local dentro de ±0.02 por unidad. No esperan a que la sala de control detecte un problema. No envían datos a una API en la nube y esperan una respuesta. Actúan localmente, a la velocidad que exige la física.

Hubo un momento durante las pruebas de nuestro hardware de borde —un jueves por la noche, de esas sesiones que empiezan a las 2 de la tarde y terminan a medianoche— en el que nos dimos cuenta de que nuestro prototipo estaba detectando anomalías de tensión simuladas más rápido de lo que el sistema de monitorización podía siquiera mostrar esas anomalías. La anomalía se corregía antes de que el panel se actualizara. Uno de nuestros ingenieros de hardware se rió y dijo: «Acabamos de dejar obsoleta la sala de control». Estaba bromeando. Más o menos.

¿Y qué pasa cuando la red se apaga de todos modos?

Incluso con prevención, necesitas recuperación. La red ibérica tardó hasta 24 horas en restablecerse por completo: un proceso dolorosamente manual de reinicio de unidades de generación, reconexión cuidadosa de islas de carga y sincronización de la frecuencia entre regiones.

Utilizamos aprendizaje por refuerzo multiagente para la restauración automatizada de la red. Piénsalo como un equipo de agentes de IA, cada uno gestionando una isla eléctrica local, coordinados por agentes de nivel superior que supervisan la sincronización. Durante la recuperación de 2025, Marruecos aportó 900 MW y Francia contribuyó con 2 GW de potencia de apoyo. Pero encaminar esa potencia a los lugares correctos, en la secuencia correcta y sin provocar colapsos secundarios exigió que los operadores humanos tomaran cientos de decisiones secuenciales bajo una presión extrema.

Nuestras simulaciones sugieren que unos agentes autónomos que operen dentro del mismo marco determinista —informados por la física, restringidos simbólicamente— podrían reducir una restauración de 24 horas a unas cuatro horas. No por ser más listos que los operadores humanos, sino por ser más rápidos, estar mejor coordinados y ser incapaces de los errores impulsados por el pánico que se acumulan durante una crisis.

¿Cómo sobrevive esto al escrutinio regulatorio?

La gente me lo pregunta constantemente, y es una pregunta justa. El Reglamento de IA de la UE clasifica el control de la red como infraestructura crítica, lo que significa que cualquier sistema de IA que opere en este ámbito se enfrenta a estrictos requisitos de transparencia y explicabilidad. Aquí es donde los LLM basados en envoltorios se topan con su problema más fundamental: literalmente no pueden explicar por qué han hecho una predicción concreta. Las matemáticas no funcionan así.

Nuestra arquitectura neurosimbólica produce un rastro de auditoría completo para cada intervención. No una racionalización a posteriori, sino una traza de decisión real:

La capa neuronal detectó una oscilación subsíncrona de 0.63 Hz. La capa simbólica identificó una violación del P.O. 7.4: superado el límite dinámico de tensión de 435 kV. La capa simbólica impuso la absorción obligatoria de potencia reactiva al 30% de la capacidad máxima. La tensión se estabilizó en 418 kV. Se evitó el disparo de protección del lado colector.

Cada eslabón de la cadena es inspeccionable, auditable y jurídicamente defendible. Esto no es un extra deseable. Tras el apagón ibérico, los reguladores de toda Europa están reescribiendo los códigos de red. Los sistemas que sobrevivan a la próxima década de endurecimiento regulatorio serán aquellos que puedan demostrar —no solo afirmar— que su IA cumple las reglas.

La pregunta que nadie quiere hacer

Esto es lo que más me molesta de la respuesta del sector al apagón ibérico.

En cuestión de semanas, la conversación siguió adelante. Las empresas de IA volvieron a vender productos envoltorio. Los operadores de red parchearon sus vulnerabilidades más evidentes. El debate renovables-contra-fósiles consumió todo el oxígeno. Y el problema arquitectónico de fondo —que estamos gestionando sistemas energéticos del siglo XXI con paradigmas de control que no pueden ver, pensar ni actuar con la rapidez suficiente— siguió sin abordarse.

Sesenta millones de personas se quedaron sin luz. Varias personas murieron. El daño económico ascendió a miles de millones. Y la causa raíz no fue un suceso extraño. Fue una consecuencia predecible de debilidades arquitectónicas conocidas. Las oscilaciones subsíncronas ya se habían observado antes. Las brechas de cumplimiento en potencia reactiva estaban documentadas. La brecha de observabilidad entre la monitorización del nivel de transmisión y la del nivel colector estaba bien estudiada en la literatura académica.

El apagón ibérico no fue un cisne negro. Fue un rinoceronte gris: una amenaza altamente probable y de gran impacto que todo el mundo veía venir y que nadie detuvo.

Lo sabíamos. El sector lo sabía. Y aun así construimos sistemas incapaces de gestionarlo.

Esto no es un problema de las renovables

Quiero dejar esto absolutamente claro, porque la desinformación sigue circulando.

La energía renovable no causó el apagón ibérico. La penetración renovable del 78% del 28 de abril redujo la inercia del sistema, lo que hizo a la red más sensible a las perturbaciones; eso es cierto. Pero sensibilidad no es causalidad. La causa fue el incumplimiento de las instalaciones de generación a la hora de aportar el soporte de potencia reactiva que estaban legalmente obligadas a aportar. La causa fueron unos sistemas de control demasiado lentos y demasiado torpes para gestionar la dinámica de la tensión en tiempo real. La causa fue una arquitectura de observabilidad que dejó a los operadores ciegos ante la crisis que se desarrollaba en el nivel colector.

Culpar a las renovables de este apagón es como culpar a los materiales de construcción ligeros del derrumbe en un terremoto cuando el problema real era que nadie siguió el código de edificación. Los materiales requieren una ingeniería distinta. Esa ingeniería no se hizo. Eso es un fallo humano e institucional, no un fallo de la física.

Y es exactamente el tipo de fallo que la IA determinista está diseñada para eliminar: no sustituyendo el juicio humano, sino garantizando que, cuando el juicio humano falle, o cuando fallen los controladores heredados, o cuando el operador de una central tome la decisión equivocada en el momento equivocado, el propio sistema imponga las leyes que mantienen las luces encendidas.

Las luces seguirán encendidas porque lo hemos diseñado así

Fundé Veriprajna porque creía que los sistemas de IA más importantes del mundo no serían chatbots, ni generadores de imágenes, ni motores de recomendación. Serían los sistemas invisibles que gobiernan la infraestructura de la que depende la civilización: redes eléctricas, tratamiento de aguas, redes de transporte, sistemas de compensación financiera. Lugares donde «probablemente correcto» es una sentencia de muerte.

El apagón ibérico demostró que esa creencia era correcta de la peor forma posible. Quince gigavatios en cinco segundos. Toda una península a oscuras. Y la respuesta del sector de la IA fue seguir vendiendo envoltorios probabilísticos para problemas que exigen certeza determinista.

La red del futuro no se mantendrá estable porque esperemos que lo haga. No se mantendrá estable porque un LLM piense que probablemente debería. Se mantendrá estable porque hemos incrustado las leyes de la física en la arquitectura neuronal, hemos codificado la normativa en lógica simbólica, hemos empujado la inteligencia al borde, donde los milisegundos importan, y hemos construido un sistema físicamente incapaz de tomar las decisiones que tumbaron la red ibérica. Eso no es optimismo. Eso es ingeniería.