60 millions de personnes privées d'électricité en 5 secondes — et l'industrie de l'IA n'a rien appris

J'étais en appel avec un partenaire potentiel quand la nouvelle est tombée. 28 avril 2025. Quelqu'un dans la réunion a déposé un lien dans le chat : l'Espagne et le Portugal étaient plongés dans le noir complet. Soixante millions de personnes, sans électricité. Feux de circulation éteints. Hôpitaux sur groupes électrogènes de secours. Trains arrêtés dans les tunnels.

Ma première pensée — et je n'en suis pas fier — a été un soulagement. Pas que cela soit arrivé, évidemment. Mais que la chose contre laquelle nous alertions depuis deux ans soit enfin devenue impossible à ignorer. Nous construisions des systèmes d'IA déterministes chez Veriprajna précisément parce que nous étions convaincus que les modèles probabilistes — le genre que vend la plupart des entreprises d'IA — finiraient par échouer de manière catastrophique dans les infrastructures critiques. Et voilà : 15 gigawatts de capacité de production disparus en cinq secondes. Pas une cyberattaque. Pas une catastrophe naturelle. Une cascade de défaillances de commande qu'une meilleure IA aurait pu empêcher.

Ma deuxième pensée a été la colère. Parce qu'en quelques heures, le récit s'était déjà figé : « Les renouvelables ont causé le blackout. » C'était partout. Et c'était faux.

Qu'est-ce qui a réellement tué le réseau le 28 avril ?

Permettez-moi d'être précis sur ce qui s'est passé, car les détails comptent plus que les gros titres.

Ce matin-là, les renouvelables produisaient 78 % de l'électricité espagnole. Le solaire et l'éolien faisaient leur travail à merveille. Mais voici ce que la plupart des gens ne comprennent pas à propos d'un réseau électrique : produire de l'électricité n'est que la moitié du problème. L'autre moitié consiste à gérer la puissance réactive — la force invisible qui maintient la stabilité de la tension sur des milliers de kilomètres de lignes de transport.

Imaginez la pression de l'eau dans un réseau de canalisations. Vous pouvez avoir beaucoup d'eau (la puissance active), mais si la pression (la tension) chute ou grimpe aux mauvais endroits, les tuyaux éclatent. La puissance réactive est ce qui régule cette pression. La réglementation espagnole — plus précisément ce qu'on appelle la Procédure d'exploitation 7.4 — impose à chaque centrale d'absorber ou d'injecter dynamiquement de la puissance réactive pour maintenir les tensions stables. Chaque centrale doit être capable de fournir au moins 30 % de sa puissance maximale en soutien réactif.

Le 28 avril, le réseau a commencé à présenter d'étranges oscillations vers midi — des vibrations sous-synchrones à 0,21 Hz et 0,63 Hz. Les gestionnaires du réseau de transport ont tenté de les amortir en maillant davantage de lignes entre elles et en basculant les liaisons HVDC en mode puissance fixe. Des manœuvres raisonnables. Mais elles ont eu une conséquence imprévue : les tensions ont commencé à monter.

Et puis la défaillance critique : plusieurs installations de production n'ont pas absorbé la puissance réactive comme elles y étaient tenues. Elles ont réagi trop lentement, ou pas du tout. Une installation majeure a même injecté de la puissance réactive dans un réseau déjà en surtension — exactement le contraire de ce qu'exigeait la physique. C'était comme verser de l'essence sur un feu que l'on est censé éteindre.

À 12 h 33 CEST, la cascade s'est achevée. Quinze gigawatts disparus en cinq secondes. Blackout total sur la péninsule Ibérique pendant une durée pouvant atteindre dix heures. Plusieurs personnes sont mortes.

L'écart invisible que personne ne surveillait

Voici le détail de l'enquête post-incident qui m'a empêché de dormir.

Les gestionnaires du réseau de transport regardaient leurs écrans pendant tout ce temps. Au niveau 400 kilovolts — l'épine dorsale à haute tension — tout semblait normal. Les tensions affichaient 418 kV, largement dans les limites. Mais dans les postes de collecte, là où les parcs solaires et éoliens se raccordent réellement au réseau à 220 kV, les tensions avaient déjà atteint 242 kV — au-delà des seuils de protection qui déclenchent les arrêts automatiques.

Les changeurs de prises des transformateurs entre ces niveaux de tension ne pouvaient pas s'ajuster assez vite. Le tableau de bord de supervision du GRT était donc au vert alors que le réseau réel était déjà en crise. J'ai commencé à appeler cela l'écart d'observabilité : la distance entre ce que les opérateurs peuvent voir et ce que le réseau fait réellement.

Le blackout ibérique n'était pas une défaillance de production. C'était une défaillance d'intelligence — l'écart entre ce que la salle de commande pouvait voir et ce que le réseau faisait réellement.

Quand j'ai présenté cette analyse à notre équipe, l'une de nos ingénieures — Priya — a dit quelque chose qui m'est resté : « C'est comme un médecin qui surveille votre rythme cardiaque pendant que votre tension artérielle vous tue. Il surveille la mauvaise constante vitale. » C'est exactement cela. Et c'est exactement le type de défaillance qu'une meilleure IA devrait empêcher.

Pourquoi l'IA n'a-t-elle pas empêché cela ?

C'est là que mon propre secteur m'exaspère profondément.

Il y a eu une explosion d'entreprises d'IA vendant des solutions de « réseau intelligent ». La plupart d'entre elles sont ce que nous appelons des applications wrapper — de fines interfaces construites par-dessus de grands modèles de langage comme GPT-4 ou Claude. Vous leur fournissez des données de réseau, le modèle les traite, vous récupérez une analyse. Cela paraît sophistiqué. C'est dangereusement inadapté à ce problème.

Un investisseur m'a dit, environ un an avant le blackout, que nous devrions « simplement utiliser GPT avec une couche de fine-tuning » pour notre travail de supervision de réseau. J'ai essayé de lui expliquer pourquoi cela ne fonctionnerait pas, et il m'a regardé comme si je faisais des difficultés. « Tout le monde utilise des LLM », a-t-il dit. « Pourquoi compliquez-vous les choses ? »

Voici pourquoi. Les modèles d'IA probabilistes présentent trois faiblesses fatales lorsqu'on les applique aux infrastructures critiques :

Ils hallucinent les états physiques. Un LLM optimise pour la sortie qui semble la plus plausible. Pendant une crise de réseau, il pourrait signaler que « les niveaux de tension se stabilisent » parce que c'est ce qui se produit habituellement lors des événements d'oscillation dans ses données d'entraînement. Il n'a aucun mécanisme pour vérifier cela au regard de la physique réelle. « Probable » et « correct » sont traités comme une même chose.

Ils sont trop lents. L'IA de type wrapper achemine les données via des API cloud. Latence aller-retour : de 500 millisecondes à plusieurs secondes. La cascade ibérique s'est achevée en cinq secondes. Le temps qu'un modèle basé sur le cloud termine son inférence, le blackout serait déjà irréversible. Les systèmes edge-natifs que nous construisons chez Veriprajna atteignent une inférence en moins de 0,7 milliseconde — assez rapide pour intervenir avant qu'une cascade ne s'achève.

Ils ne peuvent pas être vérifiés. Vous ne pouvez pas prouver formellement qu'un LLM obéira à la loi des mailles de Kirchhoff ou à l'équation d'oscillation. Vous ne pouvez pas auditer son raisonnement. Vous ne pouvez pas garantir qu'il ne suggérera pas d'injecter de la puissance réactive lors d'un événement de surtension — l'erreur exacte qu'a commise un opérateur humain le 28 avril. Pour une analyse technique approfondie de ces modes de défaillance, j'ai écrit longuement à ce sujet dans notre article de recherche sur l'immunité déterministe du réseau.

Dans les infrastructures critiques, la différence entre « probablement correct » et « prouvablement correct » se mesure en vies humaines.

Que signifie réellement l'« immunité déterministe » ?

Après le blackout, mon équipe a passé des semaines à disséquer chaque rapport publié — d'ENTSO-E, de Red Eléctrica, de chercheurs indépendants. Nous avons cartographié toute la chaîne de défaillance. Et nous revenions sans cesse à une question : quel type d'architecture d'IA aurait rendu cette cascade physiquement impossible ?

Pas seulement improbable. Pas seulement peu probable. Impossible.

C'est ce que nous entendons par immunité déterministe. Et la construire exige d'abandonner l'idée qu'un seul type d'IA peut tout faire.

L'architecture que nous avons développée comporte plusieurs couches, chacune résolvant une partie différente du problème. Je n'entrerai pas ici dans les mathématiques — vous pouvez explorer la version interactive de notre livre blanc pour le cadre technique complet — mais les idées centrales sont étonnamment intuitives.

Apprendre aux réseaux de neurones à obéir à la physique

Les réseaux de neurones classiques apprennent des motifs à partir des données. Montrez-leur assez d'exemples de comportement du réseau électrique, et ils apprendront à prédire ce qui vient ensuite. Mais ils n'ont aucune notion du pourquoi des choses. Ils ne savent pas que la tension et la puissance réactive sont liées par des lois électromagnétiques fondamentales. Ils savent seulement que lorsque le motif d'entrée A apparaît, le motif de sortie B suit habituellement.

Les réseaux de neurones informés par la physique — les PINN — sont différents. Nous intégrons les équations différentielles réelles qui régissent la dynamique des systèmes électriques directement dans le processus d'entraînement. Le réseau de neurones n'apprend pas seulement à partir de données historiques ; il apprend sous la contrainte que ses sorties doivent satisfaire aux lois de la physique.

Voici ce que cela signifie en pratique. Pendant l'événement ibérique, les oscillations sous-synchrones à 0,63 Hz étaient un signal d'alerte que les contrôleurs conventionnels ont interprété comme du bruit. Un contrôleur fondé sur un PINN aurait reconnu ces oscillations comme une violation dynamique des équations de stabilité et aurait fourni un amortissement actif — nos simulations montrent des temps de réponse jusqu'à 87 fois plus rapides que les méthodes d'optimisation conventionnelles. Non pas parce que le réseau de neurones est plus rapide en calcul, mais parce qu'il connaît déjà les mathématiques. La physique est intégrée à son architecture même.

Je me souviens de l'après-midi où nous avons obtenu cela pour la première fois en simulation. Nous nous étions battus pendant des semaines avec la stabilité de l'entraînement — les contraintes physiques n'arrêtaient pas de s'opposer à l'apprentissage guidé par les données. Notre responsable ML, qui venait d'un parcours de deep learning pur, doutait que les contraintes aident plutôt qu'elles ne nuisent. Puis nous avons passé le scénario ibérique dans le modèle entraîné. Le PINN a détecté le motif d'oscillation à midi — trente-trois minutes avant la cascade réelle. Il a simplement fixé l'écran et dit : « D'accord. Je comprends, maintenant. »

Le sandwich qui bloque les décisions stupides

L'inférence informée par la physique est la première couche. La seconde est ce que nous appelons le sandwich neuro-symbolique — et c'est l'élément qui aurait directement empêché la défaillance la plus flagrante du 28 avril.

Vous vous souvenez de la centrale électrique qui a injecté de la puissance réactive lors d'un événement de surtension ? Cela s'est produit parce que le système de commande de la centrale — automatisé ou piloté par un humain — a émis une commande qui violait la Procédure d'exploitation 7.4. La commande était physiquement exécutable, elle a donc été exécutée. Le réseau n'avait aucun système immunitaire pour la rejeter.

Dans notre architecture, une couche de logique symbolique entoure le réseau de neurones comme un garde-fou constitutionnel. Nous encodons l'intégralité de la réglementation P.O. 7.4 — et tout autre code de réseau applicable — dans un langage formel dédié au domaine. Le réseau de neurones propose des actions. La couche symbolique vérifie chaque action proposée au regard des règles strictes avant qu'elle n'atteigne l'équipement physique.

Si la tension dépasse le seuil maximal et qu'elle monte, et que la couche neuronale suggère d'injecter de la puissance réactive — pour quelque raison que ce soit, quelle que soit la confiance de sa prédiction —, la couche symbolique la bloque. Pas avec un avertissement. Pas avec un score de probabilité. Elle ne peut physiquement pas passer. Le système traite la conformité réglementaire comme un pont traite la gravité : non comme une ligne directrice, mais comme une contrainte qui ne peut être violée.

Un contrôleur de réseau neuro-symbolique ne vous avertit pas des mauvaises décisions. Il rend les mauvaises décisions physiquement impossibles à exécuter.

C'est ce que je veux dire quand je parle de dépasser le « sophisme de la liberté infinie » — l'hypothèse selon laquelle une IA plus flexible est toujours une meilleure IA. Dans les infrastructures critiques, vous voulez moins de liberté, pas plus. Vous voulez une IA brillamment adaptative à l'intérieur de limites strictes et absolument rigide à ces limites.

Pourquoi l'intelligence doit-elle résider à la périphérie du réseau ?

Il y a une question pratique qui revient chaque fois que je présente ce travail : où le calcul a-t-il lieu ?

L'écart d'observabilité qui a condamné le réseau ibérique existait parce que l'intelligence était centralisée. La salle de commande du GRT surveillait l'épine dorsale à 400 kV. Les postes de collecte à 220 kV — là où la crise réelle se déroulait — naviguaient pour ainsi dire à l'aveugle. Les données de ces postes étaient agrégées, moyennées et remontées selon des cycles trop lents pour saisir une cascade de cinq secondes.

Nos contrôleurs neuronaux de réseau (Neural Grid Controllers) sont des dispositifs d'edge computing installés directement sur le transformateur côté collecte. Ils réalisent des mesures synchronisées de forme d'onde à haute résolution, exécutent des boucles d'optimisation continues toutes les 100 millisecondes et envoient des commandes aux onduleurs pour maintenir la stabilité locale de la tension à ±0,02 par unité près. Ils n'attendent pas que la salle de commande remarque un problème. Ils n'envoient pas de données à une API cloud pour attendre une réponse. Ils agissent localement, à la vitesse qu'exige la physique.

Il y a eu un moment, pendant nos tests de matériel edge — tard un jeudi, le genre de session qui commence à 14 h et se termine à minuit —, où nous avons réalisé que notre prototype détectait les anomalies de tension simulées plus vite que le système de supervision ne pouvait même les afficher. L'anomalie était corrigée avant que le tableau de bord ne se mette à jour. L'un de nos ingénieurs matériels a ri et a dit : « Nous venons de rendre la salle de commande obsolète. » Il plaisantait. En grande partie.

Que se passe-t-il quand le réseau tombe malgré tout dans le noir ?

Même avec la prévention, il faut la reprise. Le réseau ibérique a mis jusqu'à 24 heures à se rétablir complètement — un processus douloureusement manuel de redémarrage des unités de production, de reconnexion prudente des îlots de charge et de synchronisation de la fréquence entre les régions.

Nous utilisons l'apprentissage par renforcement multi-agents pour la restauration automatisée du réseau. Voyez cela comme une équipe d'agents d'IA, chacun gérant un îlot électrique local, coordonnés par des agents de niveau supérieur qui supervisent la synchronisation. Lors de la reprise de 2025, le Maroc a fourni 900 MW et la France a apporté 2 GW de puissance de soutien. Mais acheminer cette puissance aux bons endroits, dans le bon ordre, sans provoquer d'effondrements secondaires, a exigé que des opérateurs humains prennent des centaines de décisions successives sous une pression extrême.

Nos simulations suggèrent que des agents autonomes opérant dans le même cadre déterministe — informés par la physique, contraints symboliquement — pourraient ramener une restauration de 24 heures à environ quatre heures. Non pas en étant plus intelligents que les opérateurs humains, mais en étant plus rapides, mieux coordonnés et incapables des erreurs dictées par la panique qui s'accumulent pendant une crise.

Comment cela résiste-t-il à l'examen des régulateurs ?

On me pose constamment cette question, et elle est légitime. Le règlement européen sur l'IA (EU AI Act) classe la commande des réseaux électriques parmi les infrastructures critiques, ce qui signifie que tout système d'IA opérant dans ce domaine fait face à des exigences strictes de transparence et d'explicabilité. C'est là que les LLM de type wrapper rencontrent leur problème le plus fondamental : ils sont littéralement incapables d'expliquer pourquoi ils ont fait une prédiction donnée. Les mathématiques ne fonctionnent pas ainsi.

Notre architecture neuro-symbolique produit une piste d'audit complète pour chaque intervention. Pas une rationalisation a posteriori — une véritable trace de décision :

La couche neuronale a détecté une oscillation sous-synchrone à 0,63 Hz. La couche symbolique a identifié une violation de la P.O. 7.4 : limite dynamique de tension de 435 kV dépassée. La couche symbolique a imposé une absorption obligatoire de puissance réactive à 30 % de la capacité maximale. La tension s'est stabilisée à 418 kV. Déclenchement de protection côté collecte évité.

Chaque maillon de la chaîne est inspectable, auditable et juridiquement défendable. Ce n'est pas un simple bonus. Après le blackout ibérique, les régulateurs de toute l'Europe réécrivent les codes de réseau. Les systèmes qui survivront à la prochaine décennie de durcissement réglementaire seront ceux qui pourront prouver — et pas seulement affirmer — que leur IA respecte les règles.

La question que personne ne veut poser

Voici ce qui me dérange le plus dans la réaction de l'industrie au blackout ibérique.

En quelques semaines, la conversation est passée à autre chose. Les entreprises d'IA se sont remises à vendre des produits wrapper. Les gestionnaires de réseau ont corrigé leurs vulnérabilités les plus évidentes. Le débat renouvelables contre fossiles a consommé tout l'oxygène. Et le problème architectural fondamental — le fait que nous gérons des systèmes énergétiques du XXIe siècle avec des paradigmes de commande incapables de voir, de penser ou d'agir assez vite — est resté sans réponse.

Soixante millions de personnes ont perdu l'électricité. Plusieurs personnes sont mortes. Les dégâts économiques se sont chiffrés en milliards. Et la cause profonde n'était pas un événement aberrant. C'était une conséquence prévisible de faiblesses architecturales connues. Les oscillations sous-synchrones avaient déjà été observées. Les manquements à la conformité en matière de puissance réactive avaient été documentés. L'écart d'observabilité entre la supervision du transport et celle du niveau collecte était bien connu dans la littérature académique.

Le blackout ibérique n'était pas un cygne noir. C'était un rhinocéros gris — une menace hautement probable et à fort impact que tout le monde voyait venir et que personne n'a arrêtée.

Nous savions. L'industrie savait. Et nous avons quand même construit des systèmes incapables d'y faire face.

Ce n'est pas un problème de renouvelables

Je veux être absolument clair là-dessus, parce que la désinformation circule encore.

Les énergies renouvelables n'ont pas causé le blackout ibérique. Le taux de pénétration renouvelable de 78 % le 28 avril a réduit l'inertie du système, ce qui a rendu le réseau plus sensible aux perturbations — c'est vrai. Mais la sensibilité n'est pas la causalité. La cause a été le manquement des installations de production à fournir le soutien en puissance réactive qu'elles étaient légalement tenues de fournir. La cause tenait à des systèmes de commande trop lents et trop bêtes pour gérer la dynamique de la tension en temps réel. La cause a été une architecture d'observabilité qui laissait les opérateurs aveugles à la crise qui se déroulait au niveau des postes de collecte.

Accuser les renouvelables de ce blackout, c'est comme accuser des matériaux de construction légers de l'effondrement lors d'un séisme alors que le vrai problème était que personne n'a respecté le code de la construction. Ces matériaux exigent une ingénierie différente. Cette ingénierie n'a pas été faite. C'est une défaillance humaine et institutionnelle, pas une défaillance de la physique.

Et c'est exactement le type de défaillance que l'IA déterministe est conçue pour éliminer — non pas en remplaçant le jugement humain, mais en garantissant que lorsque le jugement humain échoue, ou lorsque les contrôleurs hérités échouent, ou lorsqu'un exploitant de centrale prend la mauvaise décision au mauvais moment, le système lui-même fait respecter les lois qui gardent la lumière allumée.

La lumière restera allumée parce que nous avons conçu le système pour cela

J'ai fondé Veriprajna parce que je croyais que les systèmes d'IA les plus importants au monde ne seraient pas des chatbots, des générateurs d'images ou des moteurs de recommandation. Ce seraient les systèmes invisibles qui gouvernent les infrastructures dont dépend la civilisation — réseaux électriques, traitement de l'eau, réseaux de transport, systèmes de compensation financière. Des domaines où « probablement juste » est une condamnation à mort.

Le blackout ibérique a prouvé que cette conviction était juste, de la pire manière possible. Quinze gigawatts en cinq secondes. Une péninsule entière dans le noir. Et la réponse de l'industrie de l'IA a été de continuer à vendre des wrappers probabilistes pour des problèmes qui exigent une certitude déterministe.

Le réseau de demain ne restera pas stable parce que nous l'espérons. Il ne restera pas stable parce qu'un LLM pense qu'il le devrait probablement. Il restera stable parce que nous avons intégré les lois de la physique dans l'architecture neuronale, encodé les réglementations dans la logique symbolique, poussé l'intelligence vers la périphérie où les millisecondes comptent, et construit un système physiquement incapable de prendre les décisions qui ont fait tomber le réseau ibérique. Ce n'est pas de l'optimisme. C'est de l'ingénierie.