60 miljoen mensen zonder stroom in 5 seconden — en de AI-sector leerde er niets van

Ik zat in gesprek met een potentiële partner toen het nieuws binnenkwam. 28 april 2025. Iemand in de vergadering plaatste een link in de chat: Spanje en Portugal waren volledig in het donker gevallen. Zestig miljoen mensen zonder elektriciteit. Verkeerslichten dood. Ziekenhuizen op noodaggregaten. Treinen stilgevallen in tunnels.

Mijn eerste gedachte — en ik ben daar niet trots op — was opluchting. Niet dat het gebeurde, uiteraard. Maar dat waar we al twee jaar voor waarschuwden eindelijk onmogelijk te negeren was geworden. We bouwden bij Veriprajna juist deterministische AI-systemen omdat we ervan overtuigd waren dat probabilistische modellen — het soort dat de meeste AI-bedrijven verkopen — uiteindelijk catastrofaal zouden falen in kritieke infrastructuur. En daar was het dan: 15 gigawatt aan opwekcapaciteit weg in vijf seconden. Geen cyberaanval. Geen natuurramp. Een cascade van regelfouten die betere AI had kunnen voorkomen.

Mijn tweede gedachte was woede. Want binnen enkele uren was het narratief al verhard: "Duurzame energie heeft de black-out veroorzaakt." Het stond overal. En het klopte niet.

Wat legde het net op 28 april werkelijk plat?

Laat me precies zijn over wat er gebeurde, want de details doen er meer toe dan de krantenkoppen.

Die ochtend wekten duurzame bronnen 78% van de Spaanse elektriciteit op. Zon en wind deden hun werk uitstekend. Maar dit is wat de meeste mensen niet begrijpen aan een elektriciteitsnet: elektriciteit opwekken is maar de helft van het probleem. De andere helft is het beheersen van reactief vermogen — de onzichtbare kracht die de spanning stabiel houdt over duizenden kilometers hoogspanningslijnen.

Zie het als waterdruk in een leidingstelsel. Je kunt volop water hebben (actief vermogen), maar als de druk (spanning) op de verkeerde plekken wegvalt of piekt, barsten de leidingen. Reactief vermogen is wat die druk reguleert. De Spaanse regelgeving — specifiek iets wat Operating Procedure 7.4 heet — verplicht elke centrale om dynamisch reactief vermogen op te nemen of te leveren om de spanningen stabiel te houden. Elke centrale moet in staat zijn ten minste 30% van haar maximale vermogen als reactieve ondersteuning te leveren.

Op 28 april begon het net rond het middaguur vreemde oscillaties te vertonen — subsynchrone trillingen van 0.21 Hz en 0.63 Hz. De transmissienetbeheerders probeerden die te dempen door meer lijnen te vermazen en HVDC-verbindingen over te schakelen naar de modus met vast vermogen. Redelijke stappen. Maar ze hadden een onbedoeld gevolg: de spanningen begonnen te stijgen.

En toen de kritieke fout: meerdere opwekinstallaties namen geen reactief vermogen op zoals vereist. Ze reageerden te traag, of helemaal niet. Eén grote installatie injecteerde zelfs reactief vermogen in een al overspannen net — precies het tegenovergestelde van wat de fysica eiste. Het was alsof je benzine op een vuur giet dat je juist zou moeten blussen.

Om 12:33 CEST was de cascade voltooid. Vijftien gigawatt weg in vijf seconden. Totale black-out op het Iberisch Schiereiland, tot wel tien uur lang. Meerdere mensen kwamen om het leven.

De onzichtbare kloof waar niemand naar keek

Dit is het detail uit het onderzoek na het incident dat me uit mijn slaap hield.

De transmissienetbeheerders keken de hele tijd naar hun schermen. Op het niveau van 400 kilovolt — de hoogspanningsruggengraat — zag alles er goed uit. De spanningen gaven 418 kV aan, ruim binnen de limieten. Maar bij de onderstations op collectorniveau, waar zonne- en windparken daadwerkelijk op 220 kV aan het net gekoppeld zijn, waren de spanningen al opgelopen tot 242 kV — voorbij de beveiligingsdrempels die automatische afschakelingen activeren.

De trapschakelaars van de transformatoren tussen deze spanningsniveaus konden niet snel genoeg bijregelen. Zo stond het monitoringdashboard van de TSO op groen terwijl het echte net al in crisis verkeerde. Ik ben dit de waarneembaarheidskloof gaan noemen: de afstand tussen wat operators kunnen zien en wat het net werkelijk doet.

De Iberische black-out was geen falen van opwekking. Het was een falen van intelligentie — de kloof tussen wat de controlekamer kon zien en wat het net werkelijk deed.

Toen ik deze analyse aan ons team presenteerde, zei een van onze engineers — Priya — iets dat me is bijgebleven: "Het is alsof een arts je hartslag in de gaten houdt terwijl je bloeddruk je fataal wordt. Ze kijken naar de verkeerde vitale functie." Dat klopt precies. En het is precies het soort falen dat betere AI zou moeten voorkomen.

Waarom heeft AI dit niet voorkomen?

Dit is het punt waarop ik oprecht gefrustreerd raak over mijn eigen sector.

Er is een explosie geweest van AI-bedrijven die "smart grid"-oplossingen verkopen. De meeste zijn wat wij wrapper-applicaties noemen — dunne interfaces bovenop grote taalmodellen als GPT-4 of Claude. Je voert netgegevens in, het model verwerkt ze, je krijgt een analyse terug. Het klinkt geavanceerd. Het is gevaarlijk ontoereikend voor dit probleem.

Ongeveer een jaar voor de black-out zei een investeerder tegen me dat we voor ons netmonitoringwerk "gewoon GPT met een fijngestemde laag" moesten gebruiken. Ik probeerde uit te leggen waarom dat niet zou werken, en hij keek me aan alsof ik moeilijk deed. "Iedereen gebruikt LLM's," zei hij. "Waarom maak je dit zo ingewikkeld?"

Hierom. Probabilistische AI-modellen hebben drie fatale zwaktes wanneer ze op kritieke infrastructuur worden toegepast:

Ze hallucineren fysieke toestanden. Een LLM optimaliseert voor de output die het meest plausibel klinkt. Tijdens een netcrisis kan het melden dat "de spanningsniveaus stabiliseren" omdat dat is wat er in zijn trainingsdata meestal gebeurt bij oscillatie-events. Het heeft geen enkel mechanisme om dit aan de echte fysica te toetsen. "Waarschijnlijk" en "juist" worden als hetzelfde behandeld.

Ze zijn te traag. Wrapper-gebaseerde AI stuurt data via cloud-API's. Round-trip-latentie: 500 milliseconden tot enkele seconden. De Iberische cascade was in vijf seconden voltooid. Tegen de tijd dat een cloudmodel zijn inferentie had afgerond, zou de black-out al onomkeerbaar zijn. De edge-native systemen die wij bij Veriprajna bouwen halen een inferentietijd van minder dan 0.7 milliseconde — snel genoeg om in te grijpen voordat een cascade zich voltrekt.

Ze zijn niet verifieerbaar. Je kunt niet formeel bewijzen dat een LLM de spanningswet van Kirchhoff of de swing-vergelijking zal gehoorzamen. Je kunt zijn redenering niet auditen. Je kunt niet garanderen dat het niet voorstelt om reactief vermogen te injecteren tijdens een overspanning — precies de fout die een menselijke operator op 28 april maakte. Voor een diepgaandere technische analyse van deze faalmodi schreef ik hier uitgebreid over in ons onderzoekspaper over deterministische netimmuniteit.

In kritieke infrastructuur wordt het verschil tussen "waarschijnlijk juist" en "aantoonbaar juist" gemeten in mensenlevens.

Wat betekent "deterministische immuniteit" eigenlijk?

Na de black-out heeft mijn team weken besteed aan het ontleden van elk gepubliceerd rapport — van ENTSO-E, van Red Eléctrica, van onafhankelijke onderzoekers. We brachten de volledige faalketen in kaart. En we kwamen steeds terug op één vraag: welke AI-architectuur had deze cascade fysiek onmogelijk gemaakt?

Niet onwaarschijnlijk. Niet onaannemelijk. Onmogelijk.

Dat is wat wij bedoelen met deterministische immuniteit. En om het te bouwen moet je het idee loslaten dat één type AI alles kan.

De architectuur die we ontwikkelden heeft meerdere lagen, die elk een ander deel van het probleem oplossen. Ik ga hier niet diep in op de wiskunde — je kunt de interactieve versie van onze whitepaper bekijken voor het volledige technische raamwerk — maar de kernideeën zijn verrassend intuïtief.

Neurale netwerken leren de fysica te gehoorzamen

Standaard neurale netwerken leren patronen uit data. Laat ze genoeg voorbeelden van netgedrag zien en ze leren voorspellen wat er komt. Maar ze hebben geen enkel besef van waarom dingen gebeuren. Ze weten niet dat spanning en reactief vermogen door fundamentele elektromagnetische wetten met elkaar verbonden zijn. Ze weten alleen dat wanneer invoerpatroon A verschijnt, uitvoerpatroon B meestal volgt.

Physics-Informed Neural Networks — PINN's — zijn anders. Wij bouwen de echte differentiaalvergelijkingen die de dynamiek van elektriciteitssystemen beheersen rechtstreeks in het trainingsproces in. Het neurale netwerk leert niet alleen van historische data; het leert onder de dwingende voorwaarde dat zijn uitkomsten aan de natuurwetten moeten voldoen.

Wat dat in de praktijk betekent, is dit. Tijdens het Iberische incident waren subsynchrone oscillaties van 0.63 Hz een waarschuwingssignaal dat conventionele regelaars als ruis interpreteerden. Een PINN-gebaseerde regelaar zou deze oscillaties hebben herkend als een dynamische schending van de stabiliteitsvergelijkingen en actieve demping hebben geleverd — onze simulaties laten responstijden zien die tot 87 keer sneller zijn dan conventionele optimalisatiemethoden. Niet omdat het neurale netwerk sneller is in rekenen, maar omdat het de wiskunde al kent. De fysica zit ingebakken in zijn architectuur.

Ik herinner me de middag dat we dit voor het eerst werkend kregen in simulatie. We hadden weken geworsteld met de stabiliteit van de training — de fysicabeperkingen bleven vechten met het datagedreven leren. Ons ML-hoofd, die uit een pure deep-learning-achtergrond kwam, was sceptisch dat de beperkingen zouden helpen in plaats van schaden. Toen lieten we het Iberische scenario door het getrainde model lopen. De PINN ving het oscillatiepatroon om 12:00 uur op — drieëndertig minuten voor de daadwerkelijke cascade. Hij staarde alleen maar naar het scherm en zei: "Oké. Nu snap ik het."

De sandwich die domme beslissingen blokkeert

Physics-informed inferentie is de eerste laag. De tweede is wat wij de Neuro-Symbolische Sandwich noemen — en het is het onderdeel dat de meest flagrante fout van 28 april rechtstreeks zou hebben voorkomen.

Weet je nog, die ene centrale? Die injecteerde reactief vermogen tijdens een overspanning. Dat gebeurde omdat het regelsysteem van de centrale — al dan niet geautomatiseerd of door mensen aangestuurd — een commando gaf dat Operating Procedure 7.4 schond. Het commando was fysiek uitvoerbaar, dus werd het uitgevoerd. Het net had geen immuunsysteem om het af te wijzen.

In onze architectuur ligt een symbolische logicalaag om het neurale netwerk heen als een constitutionele guardrail. We coderen de volledige P.O. 7.4-regelgeving — en elke andere toepasselijke netcode — in een formele domeinspecifieke taal. Het neurale netwerk stelt acties voor. De symbolische laag toetst elke voorgestelde actie aan de harde regels voordat die de fysieke apparatuur bereikt.

Als de spanning boven de maximale drempel ligt en stijgt, en de neurale laag stelt voor om reactief vermogen te injecteren — om welke reden dan ook, hoe zeker de voorspelling ook is — dan blokkeert de symbolische laag dat. Niet met een waarschuwing. Niet met een waarschijnlijkheidsscore. Het kan er fysiek niet doorheen. Het systeem behandelt naleving van regelgeving zoals een brug de zwaartekracht behandelt: niet als een richtlijn, maar als een randvoorwaarde die niet geschonden kan worden.

Een neuro-symbolische netregelaar waarschuwt je niet voor slechte beslissingen. Hij maakt slechte beslissingen fysiek onuitvoerbaar.

Dit is wat ik bedoel als ik het heb over voorbij de "Infinite Freedom Fallacy" gaan — de aanname dat flexibelere AI altijd betere AI is. In kritieke infrastructuur wil je minder vrijheid, niet meer. Je wilt een AI die briljant adaptief is binnen harde grenzen en absoluut onbuigzaam op die grenzen.

Waarom moet de intelligentie aan de edge zitten?

Er is een praktische vraag die telkens opkomt wanneer ik dit werk presenteer: waar vindt de berekening plaats?

De waarneembaarheidskloof die het Iberische net fataal werd, bestond omdat de intelligentie gecentraliseerd was. De controlekamer van de TSO bewaakte de 400 kV-ruggengraat. De onderstations op collectorniveau van 220 kV — waar de echte crisis zich voltrok — vlogen in feite blind. Data van die onderstations werd geaggregeerd, gemiddeld en gerapporteerd in cycli die te traag waren om een cascade van vijf seconden op te merken.

Onze Neural Grid Controllers zijn edge-computingapparaten die bij de transformator aan de collectorzijde zelf zitten. Ze voeren synchro-waveform-metingen met hoge resolutie uit, draaien elke 100 milliseconden continue optimalisatielussen en sturen omvormercommando's aan om de lokale spanningsstabiliteit binnen ±0.02 per unit te houden. Ze wachten niet tot de controlekamer een probleem opmerkt. Ze sturen geen data naar een cloud-API en wachten op antwoord. Ze handelen lokaal, met de snelheid die de fysica eist.

Er was een moment tijdens het testen van onze edge-hardware — laat op een donderdag, zo'n sessie die om 14:00 uur begint en om middernacht eindigt — waarop we beseften dat ons prototype gesimuleerde spanningsafwijkingen sneller detecteerde dan het monitoringsysteem ze zelfs maar kon weergeven. De afwijking was gecorrigeerd voordat het dashboard bijwerkte. Een van onze hardware-engineers lachte en zei: "We hebben de controlekamer zojuist overbodig gemaakt." Hij maakte een grapje. Grotendeels.

Wat gebeurt er als het net tóch uitvalt?

Zelfs met preventie heb je herstel nodig. Het Iberische net had tot 24 uur nodig om volledig hersteld te zijn — een pijnlijk handmatig proces van opwekeenheden herstarten, belastingseilanden voorzichtig weer koppelen en de frequentie tussen regio's synchroniseren.

Wij gebruiken multi-agent reinforcement learning voor geautomatiseerd netherstel. Zie het als een team AI-agents, die elk een lokaal stroomeiland beheren, gecoördineerd door agents op een hoger niveau die toezien op de synchronisatie. Tijdens het herstel in 2025 leverde Marokko 900 MW en droeg Frankrijk 2 GW aan ondersteunend vermogen bij. Maar om dat vermogen naar de juiste plekken te routeren, in de juiste volgorde, zonder secundaire instortingen te veroorzaken, moesten menselijke operators honderden opeenvolgende beslissingen nemen onder extreme druk.

Onze simulaties suggereren dat autonome agents die binnen hetzelfde deterministische raamwerk opereren — physics-informed, symbolisch begrensd — een herstel van 24 uur zouden kunnen terugbrengen tot ongeveer vier uur. Niet door slimmer te zijn dan menselijke operators, maar door sneller en beter gecoördineerd te zijn en niet in staat te zijn tot de door paniek gedreven fouten die zich tijdens een crisis opstapelen.

Hoe doorstaat dit de toets van de toezichthouder?

Mensen vragen me dit voortdurend, en het is een terechte vraag. De EU AI Act classificeert netbeheer als kritieke infrastructuur, wat betekent dat elk AI-systeem dat in dit domein opereert te maken krijgt met strenge eisen op het gebied van transparantie en uitlegbaarheid. Dit is waar wrapper-gebaseerde LLM's hun meest fundamentele probleem tegenkomen: ze kunnen letterlijk niet uitleggen waarom ze een specifieke voorspelling deden. Zo werkt de wiskunde niet.

Onze neuro-symbolische architectuur produceert een volledig audittraject voor elke interventie. Geen achteraf geconstrueerde rationalisatie — een echte beslissingstrace:

De neurale laag detecteerde een subsynchrone oscillatie van 0.63 Hz. De symbolische laag identificeerde een schending van P.O. 7.4: dynamische spanningslimiet van 435 kV overschreden. De symbolische laag dwong verplichte opname van reactief vermogen af op 30% van de maximale capaciteit. De spanning stabiliseerde op 418 kV. Beveiligingsafschakeling aan de collectorzijde voorkomen.

Elke schakel in de keten is inspecteerbaar, auditeerbaar en juridisch verdedigbaar. Dit is geen luxe. Na de Iberische black-out herschrijven toezichthouders in heel Europa de netcodes. De systemen die het komende decennium van aanscherpende regelgeving overleven, zijn de systemen die kunnen bewijzen — niet slechts beweren — dat hun AI de regels volgt.

De vraag die niemand wil stellen

Dit is wat mij het meest dwarszit aan de reactie van de sector op de Iberische black-out.

Binnen enkele weken ging het gesprek verder. AI-bedrijven gingen weer wrapper-producten verkopen. Netbeheerders lapten hun meest voor de hand liggende kwetsbaarheden op. Het debat duurzaam-versus-fossiel slokte alle zuurstof op. En het fundamentele architectuurprobleem — dat we energiesystemen van de 21e eeuw beheren met regelparadigma's die niet snel genoeg kunnen zien, denken of handelen — bleef onaangeroerd.

Zestig miljoen mensen zaten zonder stroom. Meerdere mensen kwamen om het leven. De economische schade liep in de miljarden. En de grondoorzaak was geen bizar toeval. Het was een voorspelbaar gevolg van bekende architectuurzwaktes. De subsynchrone oscillaties waren eerder waargenomen. De nalevingstekorten rond reactief vermogen waren gedocumenteerd. De waarneembaarheidskloof tussen monitoring op transmissie- en collectorniveau was goed begrepen in de academische literatuur.

De Iberische black-out was geen zwarte zwaan. Het was een grijze neushoorn — een zeer waarschijnlijke dreiging met grote impact die iedereen zag aankomen en niemand tegenhield.

Wij wisten het. De sector wist het. En toch bouwden we systemen die er niet tegen bestand waren.

Dit is geen probleem van duurzame energie

Ik wil hier volstrekt duidelijk over zijn, want de misinformatie circuleert nog steeds.

Duurzame energie heeft de Iberische black-out niet veroorzaakt. De 78% duurzame penetratie op 28 april verlaagde de systeeminertie, waardoor het net gevoeliger werd voor verstoringen — dat klopt. Maar gevoeligheid is geen oorzakelijk verband. De oorzaak was dat opwekinstallaties de reactieve ondersteuning niet leverden die zij wettelijk verplicht waren te leveren. De oorzaak waren regelsystemen die te traag en te dom waren om spanningsdynamiek in realtime te beheersen. De oorzaak was een waarneembaarheidsarchitectuur die operators blind liet voor de crisis die zich op collectorniveau voltrok.

Duurzame energie de schuld geven van deze black-out is als lichte bouwmaterialen de schuld geven van een instorting bij een aardbeving terwijl het echte probleem was dat niemand het bouwbesluit volgde. De materialen vragen om andere engineering. Die engineering is niet gedaan. Dat is een menselijk en institutioneel falen, geen falen van de fysica.

En het is precies het soort falen dat deterministische AI ontworpen is om uit te bannen — niet door het menselijk oordeel te vervangen, maar door te zorgen dat wanneer het menselijk oordeel faalt, of wanneer verouderde regelaars falen, of wanneer een centrale-operator op het verkeerde moment de verkeerde keuze maakt, het systeem zelf de wetten afdwingt die de lichten aan houden.

De lichten blijven aan omdat we ze daarop hebben ontworpen

Ik ben Veriprajna begonnen omdat ik geloofde dat de belangrijkste AI-systemen ter wereld geen chatbots, beeldgeneratoren of aanbevelingsmachines zouden zijn. Het zouden de onzichtbare systemen zijn die de infrastructuur besturen waarvan de beschaving afhankelijk is — elektriciteitsnetten, waterzuivering, transportnetwerken, financiële clearingsystemen. Plekken waar "waarschijnlijk juist" een doodvonnis is.

De Iberische black-out bewees dat geloof op de slechtst denkbare manier. Vijftien gigawatt in vijf seconden. Een heel schiereiland in het donker. En de reactie van de AI-sector was om probabilistische wrappers te blijven verkopen voor problemen die deterministische zekerheid vereisen.

Het net van de toekomst blijft niet stabiel omdat we dat hopen. Het blijft niet stabiel omdat een LLM denkt dat het waarschijnlijk wel zou moeten. Het blijft stabiel omdat we de natuurwetten in de neurale architectuur hebben ingebed, de regelgeving in symbolische logica hebben gecodeerd, de intelligentie naar de edge hebben geduwd waar de milliseconden ertoe doen, en een systeem hebben gebouwd dat fysiek niet in staat is de beslissingen te nemen die het Iberische net neerhaalden. Dat is geen optimisme. Dat is engineering.