60 milioni di persone al buio in 5 secondi — e il settore dell'IA non ha imparato nulla

Ero in videochiamata con un potenziale partner quando è arrivata la notizia. 28 aprile 2025. Qualcuno in riunione ha lasciato un link in chat: Spagna e Portogallo erano piombati completamente al buio. Sessanta milioni di persone senza elettricità. Semafori spenti. Ospedali sui generatori di emergenza. Treni fermi nelle gallerie.

Il mio primo pensiero — e non ne vado fiero — è stato di sollievo. Non perché fosse successo, ovviamente. Ma perché la cosa contro cui mettevamo in guardia da due anni era finalmente diventata impossibile da ignorare. In Veriprajna costruivamo sistemi di IA deterministici proprio perché eravamo convinti che i modelli probabilistici — quelli che vende la maggior parte delle aziende di IA — prima o poi sarebbero falliti in modo catastrofico nelle infrastrutture critiche. Ed eccolo qui: 15 gigawatt di capacità di generazione svaniti in cinque secondi. Non un attacco informatico. Non un disastro naturale. Una cascata di guasti nei sistemi di controllo che un'IA migliore avrebbe potuto prevenire.

Il mio secondo pensiero è stato rabbia. Perché nel giro di poche ore la narrazione si era già cristallizzata: «Le rinnovabili hanno causato il blackout». Era ovunque. Ed era sbagliata.

Che cosa ha davvero ucciso la rete il 28 aprile?

Vorrei essere preciso su ciò che è accaduto, perché i dettagli contano più dei titoli dei giornali.

Quella mattina le rinnovabili producevano il 78% dell'elettricità spagnola. Il solare e l'eolico stavano facendo il loro lavoro alla perfezione. Ma ecco ciò che la maggior parte delle persone non capisce di una rete elettrica: generare elettricità è solo metà del problema. L'altra metà è gestire la potenza reattiva — la forza invisibile che mantiene stabile la tensione lungo migliaia di chilometri di linee di trasmissione.

Pensala come la pressione dell'acqua in un sistema di tubature. Puoi avere acqua in abbondanza (potenza attiva), ma se la pressione (la tensione) cala o si impenna nei punti sbagliati, i tubi scoppiano. La potenza reattiva è ciò che regola quella pressione. La normativa spagnola — nello specifico una norma chiamata Procedura Operativa 7.4 — impone a ogni centrale elettrica di assorbire o iniettare dinamicamente potenza reattiva per mantenere stabili le tensioni. Ogni impianto deve essere in grado di fornire almeno il 30% della propria potenza massima come supporto reattivo.

Il 28 aprile, verso mezzogiorno, la rete ha iniziato a manifestare strane oscillazioni — vibrazioni sub-sincrone a 0.21 Hz e 0.63 Hz. I gestori del sistema di trasmissione hanno cercato di smorzarle magliando più linee tra loro e commutando i collegamenti HVDC in modalità a potenza fissa. Mosse ragionevoli. Ma hanno avuto una conseguenza indesiderata: le tensioni hanno iniziato a salire.

E poi il guasto critico: diversi impianti di generazione non hanno assorbito la potenza reattiva come richiesto. Hanno risposto troppo lentamente, o non hanno risposto affatto. Un impianto di grandi dimensioni ha addirittura iniettato potenza reattiva in una rete già in sovratensione — l'esatto opposto di ciò che la fisica imponeva. È stato come versare benzina su un incendio che avresti dovuto spegnere.

Alle 12:33 CEST la cascata si è completata. Quindici gigawatt svaniti in cinque secondi. Blackout totale in tutta la Penisola Iberica per un massimo di dieci ore. Diverse persone sono morte.

Il divario invisibile che nessuno stava osservando

Ecco il dettaglio dell'indagine post-incidente che mi ha tenuto sveglio la notte.

I gestori del sistema di trasmissione hanno guardato i loro schermi per tutto il tempo. Al livello dei 400 kilovolt — la dorsale ad alta tensione — sembrava tutto a posto. Le tensioni indicavano 418 kV, ben entro i limiti. Ma nelle sottostazioni di raccolta, dove i parchi solari ed eolici si collegano effettivamente alla rete a 220 kV, le tensioni avevano già raggiunto 242 kV — oltre le soglie di protezione che fanno scattare gli spegnimenti automatici.

I variatori di presa dei trasformatori tra questi livelli di tensione non riuscivano ad adeguarsi abbastanza in fretta. Così il cruscotto di monitoraggio del TSO mostrava tutto verde mentre la rete reale era già in crisi. Ho iniziato a chiamarlo il divario di osservabilità: la distanza tra ciò che gli operatori riescono a vedere e ciò che la rete sta effettivamente facendo.

Il blackout iberico non è stato un fallimento della generazione. È stato un fallimento dell'intelligenza — il divario tra ciò che la sala di controllo poteva vedere e ciò che la rete stava effettivamente facendo.

Quando ho presentato questa analisi al nostro team, una delle nostre ingegnere — Priya — ha detto una cosa che mi è rimasta impressa: «È come un medico che ti monitora la frequenza cardiaca mentre è la pressione sanguigna a ucciderti. Stanno guardando il parametro vitale sbagliato». È esattamente così. Ed è esattamente il tipo di fallimento che un'IA migliore dovrebbe prevenire.

Perché l'IA non l'ha impedito?

È qui che mi arrabbio sul serio con il mio stesso settore.

C'è stata un'esplosione di aziende di IA che vendono soluzioni per la «smart grid». La maggior parte di esse è ciò che chiamiamo applicazioni wrapper — interfacce sottili costruite sopra grandi modelli linguistici come GPT-4 o Claude. Dai in pasto i dati della rete, il modello li elabora, tu ricevi un'analisi. Sembra sofisticato. È pericolosamente inadeguato per questo problema.

Circa un anno prima del blackout, un investitore mi disse che avremmo dovuto «semplicemente usare GPT con uno strato di fine-tuning» per il nostro lavoro di monitoraggio della rete. Ho provato a spiegargli perché non avrebbe funzionato, e lui mi ha guardato come se stessi facendo il difficile. «Tutti usano gli LLM», ha detto. «Perché stai complicando le cose?»

Ecco perché. I modelli di IA probabilistici hanno tre debolezze fatali quando vengono applicati alle infrastrutture critiche:

Allucinano gli stati fisici. Un LLM ottimizza per l'output che suona più plausibile. Durante una crisi di rete potrebbe riferire che «i livelli di tensione si stanno stabilizzando» perché è ciò che di solito accade durante gli eventi oscillatori nei suoi dati di addestramento. Non ha alcun meccanismo per verificarlo rispetto alla fisica reale. «Probabile» e «corretto» vengono trattati come la stessa cosa.

Sono troppo lenti. L'IA basata su wrapper instrada i dati attraverso API cloud. Latenza di andata e ritorno: da 500 millisecondi a diversi secondi. La cascata iberica si è completata in cinque secondi. Quando un modello basato su cloud avesse terminato la sua inferenza, il blackout sarebbe già stato irreversibile. I sistemi edge-native che costruiamo in Veriprajna raggiungono un'inferenza in meno di 0.7 millisecondi — abbastanza rapida da intervenire prima che una cascata si completi.

Non possono essere verificati. Non si può dimostrare formalmente che un LLM obbedirà alla legge di Kirchhoff sulle tensioni o all'equazione dello swing. Non se ne può controllare il ragionamento. Non si può garantire che non suggerisca di iniettare potenza reattiva durante un evento di sovratensione — esattamente l'errore commesso da un operatore umano il 28 aprile. Per un'analisi tecnica più approfondita di queste modalità di guasto, ne ho scritto diffusamente nel nostro paper di ricerca sull'immunità deterministica della rete.

Nelle infrastrutture critiche, la differenza tra «probabilmente corretto» e «dimostrabilmente corretto» si misura in vite umane.

Che cosa significa davvero «immunità deterministica»?

Dopo il blackout, il mio team ha passato settimane a sezionare ogni rapporto pubblicato — di ENTSO-E, di Red Eléctrica, di ricercatori indipendenti. Abbiamo mappato l'intera catena dei guasti. E continuavamo a tornare a una domanda: che tipo di architettura di IA avrebbe reso questa cascata fisicamente impossibile?

Non improbabile. Non inverosimile. Impossibile.

È questo che intendiamo per immunità deterministica. E costruirla richiede di abbandonare l'idea che un solo tipo di IA possa fare tutto.

L'architettura che abbiamo sviluppato ha più livelli, ciascuno dei quali risolve una parte diversa del problema. Qui non entrerò a fondo nella matematica — puoi esplorare la versione interattiva del nostro whitepaper per il quadro tecnico completo — ma le idee di fondo sono sorprendentemente intuitive.

Insegnare alle reti neurali a obbedire alla fisica

Le reti neurali standard imparano schemi dai dati. Mostrane abbastanza esempi di comportamento della rete elettrica e impareranno a prevedere ciò che viene dopo. Ma non hanno alcun concetto del perché le cose accadano. Non sanno che tensione e potenza reattiva sono legate da leggi elettromagnetiche fondamentali. Sanno soltanto che quando compare lo schema di input A, di solito segue lo schema di output B.

Le reti neurali informate dalla fisica — le PINN — sono diverse. Incorporiamo le equazioni differenziali che governano la dinamica dei sistemi elettrici direttamente nel processo di addestramento. La rete neurale non si limita a imparare dai dati storici; impara con il vincolo che i suoi output debbano soddisfare le leggi della fisica.

Ecco cosa significa in pratica. Durante l'evento iberico, le oscillazioni sub-sincrone a 0.63 Hz erano un segnale d'allarme che i controllori convenzionali hanno interpretato come rumore. Un controllore basato su PINN avrebbe riconosciuto quelle oscillazioni come una violazione dinamica delle equazioni di stabilità e avrebbe fornito uno smorzamento attivo — le nostre simulazioni mostrano tempi di risposta fino a 87 volte più rapidi rispetto ai metodi di ottimizzazione convenzionali. Non perché la rete neurale sia più veloce nei calcoli, ma perché la matematica la conosce già. La fisica è incorporata nella sua architettura.

Ricordo il pomeriggio in cui la cosa ha funzionato per la prima volta in simulazione. Per settimane avevamo faticato con la stabilità dell'addestramento — i vincoli fisici continuavano a scontrarsi con l'apprendimento guidato dai dati. Il nostro responsabile ML, che veniva da un background di puro deep learning, era scettico sul fatto che i vincoli aiutassero invece di danneggiare. Poi abbiamo fatto girare lo scenario iberico nel modello addestrato. La PINN ha colto lo schema oscillatorio alle 12:00 — trentatré minuti prima della cascata reale. È rimasto a fissare lo schermo e ha detto: «Okay. Adesso ho capito».

Il sandwich che blocca le decisioni stupide

L'inferenza informata dalla fisica è il primo livello. Il secondo è ciò che chiamiamo il Sandwich Neuro-Simbolico — ed è il pezzo che avrebbe impedito direttamente il fallimento più clamoroso del 28 aprile.

Ricordi la centrale elettrica che ha iniettato potenza reattiva durante un evento di sovratensione? È successo perché il sistema di controllo dell'impianto — automatizzato o guidato dall'uomo che fosse — ha emesso un comando che violava la Procedura Operativa 7.4. Il comando era fisicamente eseguibile, e quindi è stato eseguito. La rete non aveva un sistema immunitario per respingerlo.

Nella nostra architettura, un livello di logica simbolica avvolge la rete neurale come un guardrail costituzionale. Codifichiamo l'intera normativa P.O. 7.4 — e qualsiasi altro codice di rete applicabile — in un linguaggio formale specifico di dominio. La rete neurale propone le azioni. Il livello simbolico verifica ogni azione proposta rispetto alle regole rigide prima che raggiunga l'apparecchiatura fisica.

Se la tensione è sopra la soglia massima e in aumento, e il livello neurale suggerisce di iniettare potenza reattiva — per qualunque ragione, per quanto sicura sia la sua previsione — il livello simbolico lo blocca. Non con un avviso. Non con un punteggio di probabilità. Non può fisicamente passare. Il sistema tratta la conformità normativa come un ponte tratta la gravità: non come una linea guida, ma come un vincolo che non può essere violato.

Un controllore di rete neuro-simbolico non ti avverte delle decisioni sbagliate. Rende le decisioni sbagliate fisicamente impossibili da eseguire.

È questo che intendo quando parlo di superare la «fallacia della libertà infinita» — il presupposto che un'IA più flessibile sia sempre un'IA migliore. Nelle infrastrutture critiche vuoi meno libertà, non di più. Vuoi un'IA brillantemente adattiva entro confini rigidi e assolutamente inflessibile su quei confini.

Perché l'intelligenza deve vivere all'edge?

C'è una domanda pratica che salta fuori ogni volta che presento questo lavoro: dove avviene il calcolo?

Il divario di osservabilità che ha condannato la rete iberica esisteva perché l'intelligenza era centralizzata. La sala di controllo del TSO monitorava la dorsale a 400 kV. Le sottostazioni di raccolta a 220 kV — dove la crisi si stava effettivamente sviluppando — volavano sostanzialmente alla cieca. I dati di quelle sottostazioni venivano aggregati, mediati e riportati con cicli troppo lenti per intercettare una cascata di cinque secondi.

I nostri Neural Grid Controller sono dispositivi di edge computing installati direttamente sul trasformatore lato raccolta. Eseguono misurazioni sincro-waveform ad alta risoluzione, fanno girare cicli di ottimizzazione continui ogni 100 millisecondi ed eseguono comandi sugli inverter per mantenere la stabilità locale della tensione entro ±0.02 per unit. Non aspettano che la sala di controllo si accorga di un problema. Non inviano dati a un'API cloud restando in attesa di una risposta. Agiscono localmente, alla velocità che la fisica impone.

C'è stato un momento, durante i test del nostro hardware edge — un giovedì a tarda ora, di quelle sessioni che iniziano alle 14 e finiscono a mezzanotte — in cui ci siamo resi conto che il nostro prototipo rilevava le anomalie di tensione simulate più in fretta di quanto il sistema di monitoraggio riuscisse anche solo a visualizzare quelle anomalie. L'anomalia veniva corretta prima ancora che il cruscotto si aggiornasse. Uno dei nostri ingegneri hardware ha riso e ha detto: «Abbiamo appena reso obsoleta la sala di controllo». Stava scherzando. Più o meno.

Che cosa succede se la rete va comunque al buio?

Anche con la prevenzione, serve il ripristino. La rete iberica ha impiegato fino a 24 ore per essere ripristinata completamente — un processo dolorosamente manuale fatto di riavvii delle unità di generazione, riconnessioni prudenti delle isole di carico e sincronizzazione della frequenza tra le regioni.

Usiamo l'apprendimento per rinforzo multi-agente per il ripristino automatizzato della rete. Immaginalo come una squadra di agenti di IA, ciascuno dei quali gestisce un'isola elettrica locale, coordinati da agenti di livello superiore che sovrintendono alla sincronizzazione. Durante il ripristino del 2025, il Marocco ha fornito 900 MW e la Francia ha contribuito con 2 GW di potenza di supporto. Ma instradare quella potenza nei punti giusti, nella sequenza giusta, senza provocare collassi secondari, ha richiesto a operatori umani centinaia di decisioni sequenziali sotto una pressione estrema.

Le nostre simulazioni indicano che agenti autonomi operanti all'interno dello stesso quadro deterministico — informato dalla fisica, vincolato simbolicamente — potrebbero ridurre un ripristino di 24 ore a circa quattro ore. Non perché siano più intelligenti degli operatori umani, ma perché sono più rapidi, più coordinati e incapaci di commettere gli errori dettati dal panico che si sommano durante una crisi.

Come regge tutto questo al vaglio dei regolatori?

Me lo chiedono di continuo, ed è una domanda legittima. L'AI Act dell'UE classifica il controllo della rete elettrica come infrastruttura critica, il che significa che qualsiasi sistema di IA che operi in questo ambito deve soddisfare requisiti stringenti di trasparenza e spiegabilità. È qui che gli LLM basati su wrapper affrontano il loro problema più fondamentale: letteralmente non possono spiegare perché hanno prodotto una determinata previsione. La matematica non funziona così.

La nostra architettura neuro-simbolica produce una pista di controllo completa per ogni intervento. Non una razionalizzazione a posteriori — una vera traccia decisionale:

Il livello neurale ha rilevato un'oscillazione sub-sincrona a 0.63 Hz. Il livello simbolico ha individuato una violazione della P.O. 7.4: superato il limite dinamico di tensione di 435 kV. Il livello simbolico ha imposto l'assorbimento obbligatorio di potenza reattiva al 30% della capacità massima. La tensione si è stabilizzata a 418 kV. Scatto di protezione lato raccolta evitato.

Ogni anello della catena è ispezionabile, verificabile e difendibile in sede legale. Non è un optional. Dopo il blackout iberico, i regolatori di tutta Europa stanno riscrivendo i codici di rete. I sistemi che sopravvivranno al prossimo decennio di stretta normativa saranno quelli capaci di dimostrare — non solo di affermare — che la loro IA rispetta le regole.

La domanda che nessuno vuole porsi

Ecco ciò che più mi disturba della risposta del settore al blackout iberico.

Nel giro di poche settimane la conversazione è passata oltre. Le aziende di IA sono tornate a vendere prodotti wrapper. I gestori di rete hanno tappato le vulnerabilità più evidenti. Il dibattito rinnovabili-contro-fossili ha consumato tutto l'ossigeno. E il problema architetturale di fondo — il fatto che stiamo gestendo sistemi energetici del XXI secolo con paradigmi di controllo che non riescono a vedere, pensare o agire abbastanza in fretta — è rimasto irrisolto.

Sessanta milioni di persone sono rimaste senza corrente. Diverse persone sono morte. I danni economici sono ammontati a miliardi. E la causa profonda non è stata un evento anomalo. È stata una conseguenza prevedibile di debolezze architetturali note. Le oscillazioni sub-sincrone erano già state osservate in passato. Le lacune nella conformità sulla potenza reattiva erano state documentate. Il divario di osservabilità tra il monitoraggio della trasmissione e quello a livello di raccolta era ben compreso nella letteratura accademica.

Il blackout iberico non è stato un cigno nero. È stato un rinoceronte grigio — una minaccia altamente probabile e ad alto impatto che tutti vedevano arrivare e che nessuno ha fermato.

Lo sapevamo. Il settore lo sapeva. E abbiamo costruito comunque sistemi che non erano in grado di reggerlo.

Questo non è un problema delle rinnovabili

Voglio essere assolutamente chiaro su questo punto, perché la disinformazione continua a circolare.

Le energie rinnovabili non hanno causato il blackout iberico. La penetrazione rinnovabile del 78% del 28 aprile ha ridotto l'inerzia del sistema, il che ha reso la rete più sensibile ai disturbi — questo è vero. Ma sensibilità non significa causalità. La causa è stata il mancato apporto, da parte degli impianti di generazione, del supporto di potenza reattiva che erano legalmente tenuti a fornire. La causa sono stati sistemi di controllo troppo lenti e troppo ottusi per gestire le dinamiche di tensione in tempo reale. La causa è stata un'architettura di osservabilità che ha lasciato gli operatori ciechi di fronte alla crisi che si stava sviluppando a livello di raccolta.

Incolpare le rinnovabili per questo blackout è come incolpare i materiali da costruzione leggeri per il crollo dovuto a un terremoto quando il vero problema era che nessuno aveva rispettato il codice edilizio. Quei materiali richiedono un'ingegneria diversa. L'ingegneria non è stata fatta. È un fallimento umano e istituzionale, non un fallimento della fisica.

Ed è esattamente il tipo di fallimento che l'IA deterministica è progettata per eliminare — non sostituendo il giudizio umano, ma garantendo che quando il giudizio umano viene meno, o quando i controllori legacy falliscono, o quando l'operatore di una centrale prende la decisione sbagliata nel momento sbagliato, sia il sistema stesso a far rispettare le leggi che tengono accese le luci.

Le luci resteranno accese perché le abbiamo progettate per farlo

Ho fondato Veriprajna perché credevo che i sistemi di IA più importanti al mondo non sarebbero stati i chatbot, i generatori di immagini o i motori di raccomandazione. Sarebbero stati i sistemi invisibili che governano le infrastrutture da cui dipende la civiltà — reti elettriche, trattamento delle acque, reti di trasporto, sistemi di compensazione finanziaria. Luoghi in cui «probabilmente giusto» è una condanna a morte.

Il blackout iberico ha dimostrato che quella convinzione era corretta, nel peggiore dei modi possibili. Quindici gigawatt in cinque secondi. Un'intera penisola al buio. E la risposta del settore dell'IA è stata continuare a vendere wrapper probabilistici per problemi che esigono certezza deterministica.

La rete del futuro non resterà stabile perché lo speriamo. Non resterà stabile perché un LLM pensa che probabilmente dovrebbe. Resterà stabile perché abbiamo incorporato le leggi della fisica nell'architettura neurale, codificato le normative nella logica simbolica, spinto l'intelligenza fino all'edge dove i millisecondi contano, e costruito un sistema fisicamente incapace di prendere le decisioni che hanno messo in ginocchio la rete iberica. Non è ottimismo. È ingegneria.