60 milhões de pessoas ficaram sem energia em 5 segundos — e a indústria de IA não aprendeu nada
Eu estava em uma call com um parceiro em potencial quando a notícia chegou. 28 de abril de 2025. Alguém na reunião jogou um link no chat: Espanha e Portugal tinham ficado completamente às escuras. Sessenta milhões de pessoas, sem eletricidade. Semáforos apagados. Hospitais em geradores de emergência. Trens parados dentro de túneis.
Meu primeiro pensamento — e não me orgulho disso — foi alívio. Não por ter acontecido, obviamente. Mas porque aquilo que vínhamos alertando havia dois anos finalmente tinha se tornado impossível de ignorar. Estávamos construindo sistemas de IA determinística na Veriprajna justamente porque acreditávamos que modelos probabilísticos — o tipo que a maioria das empresas de IA vende — acabariam falhando catastroficamente em infraestrutura crítica. E ali estava: 15 gigawatts de capacidade de geração perdidos em cinco segundos. Não foi um ciberataque. Não foi um desastre natural. Foi uma cascata de falhas de controle que uma IA melhor poderia ter evitado.
Meu segundo pensamento foi raiva. Porque em questão de horas a narrativa já tinha endurecido: "As renováveis causaram o apagão." Estava em todo lugar. E estava errada.
O que realmente derrubou a rede elétrica em 28 de abril?
Deixe-me ser preciso sobre o que aconteceu, porque os detalhes importam mais do que as manchetes.
Naquela manhã, as renováveis geravam 78% da eletricidade da Espanha. Solar e eólica faziam seu trabalho lindamente. Mas eis o que a maioria das pessoas não entende sobre uma rede elétrica: gerar eletricidade é apenas metade do problema. A outra metade é gerenciar a potência reativa — a força invisível que mantém a tensão estável ao longo de milhares de quilômetros de linhas de transmissão.
Pense nisso como a pressão da água em um sistema de tubulação. Você pode ter bastante água (potência ativa), mas se a pressão (tensão) cair ou disparar nos lugares errados, os canos estouram. A potência reativa é o que regula essa pressão. As normas espanholas — especificamente algo chamado Procedimento de Operação 7.4 — exigem que toda usina absorva ou injete potência reativa dinamicamente para manter as tensões estáveis. Cada usina deve ser capaz de fornecer ao menos 30% de sua potência máxima como suporte reativo.
Em 28 de abril, a rede começou a apresentar oscilações estranhas por volta do meio-dia — vibrações subsíncronas a 0,21 Hz e 0,63 Hz. Os operadores do sistema de transmissão tentaram amortecê-las interligando mais linhas em malha e comutando os elos HVDC para o modo de potência fixa. Medidas razoáveis. Mas elas tiveram uma consequência não intencional: as tensões começaram a subir.
E então veio a falha crítica: várias instalações de geração não absorveram a potência reativa exigida. Elas responderam lentamente demais, ou simplesmente não responderam. Uma grande instalação chegou a injetar potência reativa em uma rede já em sobretensão — exatamente o oposto do que a física exigia. Foi como jogar gasolina em um incêndio que você deveria estar apagando.
Às 12:33 CEST, a cascata se completou. Quinze gigawatts perdidos em cinco segundos. Apagão total na Península Ibérica por até dez horas. Várias pessoas morreram.
A lacuna invisível que ninguém estava observando
Eis o detalhe da investigação pós-incidente que me tirou o sono.
Os operadores do sistema de transmissão estavam olhando para suas telas o tempo todo. No nível de 400 quilovolts — a espinha dorsal de alta tensão — tudo parecia bem. As tensões marcavam 418 kV, bem dentro dos limites. Mas nas subestações de nível coletor, onde os parques solares e eólicos de fato se conectam à rede em 220 kV, as tensões já tinham atingido 242 kV — acima dos limiares de proteção que disparam desligamentos automáticos.
Os comutadores de tap dos transformadores entre esses níveis de tensão não conseguiram se ajustar rápido o suficiente. Então o painel de monitoramento do TSO mostrava verde enquanto a rede real já estava em crise. Passei a chamar isso de lacuna de observabilidade: a distância entre o que os operadores conseguem ver e o que a rede está de fato fazendo.
O apagão ibérico não foi uma falha de geração. Foi uma falha de inteligência — a lacuna entre o que a sala de controle conseguia ver e o que a rede estava de fato fazendo.
Quando apresentei essa análise à nossa equipe, uma de nossas engenheiras — Priya — disse algo que ficou comigo: "É como um médico monitorando sua frequência cardíaca enquanto sua pressão arterial está te matando. Eles estão observando o sinal vital errado." É exatamente isso. E é exatamente o tipo de falha que uma IA melhor deveria evitar.
Por que a IA não evitou isso?
É aqui que eu fico genuinamente frustrado com a minha própria indústria.
Houve uma explosão de empresas de IA vendendo soluções de "redes inteligentes". A maioria delas é o que chamamos de aplicações wrapper — interfaces finas construídas sobre grandes modelos de linguagem como GPT-4 ou Claude. Você o alimenta com dados da rede, o modelo processa e você recebe uma análise de volta. Parece sofisticado. É perigosamente inadequado para esse problema.
Um investidor me disse, cerca de um ano antes do apagão, que a gente deveria "simplesmente usar o GPT com uma camada ajustada por fine-tuning" no nosso trabalho de monitoramento de rede. Tentei explicar por que aquilo não funcionaria, e ele me olhou como se eu estivesse criando caso. "Todo mundo está usando LLMs", ele disse. "Por que você está complicando demais isso?"
Eis o porquê. Modelos de IA probabilística têm três fraquezas fatais quando aplicados a infraestrutura crítica:
Eles alucinam estados físicos. Um LLM otimiza para a saída que soa mais plausível. Durante uma crise na rede, ele pode reportar que "os níveis de tensão estão se estabilizando" porque é isso que normalmente acontece durante eventos de oscilação em seus dados de treinamento. Ele não tem mecanismo algum para verificar isso contra a física real. "Provável" e "correto" são tratados como a mesma coisa.
Eles são lentos demais. A IA baseada em wrapper roteia os dados por APIs na nuvem. Latência de ida e volta: 500 milissegundos a vários segundos. A cascata ibérica se completou em cinco segundos. Quando um modelo baseado em nuvem terminasse sua inferência, o apagão já seria irreversível. Os sistemas nativos de borda que construímos na Veriprajna alcançam inferência em menos de 0,7 milissegundos — rápido o suficiente para intervir antes que uma cascata se complete.
Eles não podem ser verificados. Você não consegue provar formalmente que um LLM obedecerá à Lei das Tensões de Kirchhoff ou à Equação de Oscilação. Você não consegue auditar seu raciocínio. Você não consegue garantir que ele não vá sugerir injetar potência reativa durante um evento de sobretensão — exatamente o erro que um operador humano cometeu em 28 de abril. Para uma análise técnica mais profunda desses modos de falha, escrevi extensivamente sobre isso em nosso artigo de pesquisa sobre imunidade determinística da rede elétrica.
Em infraestrutura crítica, a diferença entre "provavelmente correto" e "comprovadamente correto" é medida em vidas humanas.
O que "imunidade determinística" realmente significa?
Depois do apagão, minha equipe passou semanas dissecando cada relatório publicado — da ENTSO-E, da Red Eléctrica, de pesquisadores independentes. Mapeamos toda a cadeia de falhas. E voltávamos sempre a uma pergunta: que tipo de arquitetura de IA teria tornado essa cascata fisicamente impossível?
Não improvável. Não pouco provável. Impossível.
É isso que queremos dizer com imunidade determinística. E construí-la exige abandonar a ideia de que um único tipo de IA pode fazer tudo.
A arquitetura que desenvolvemos tem múltiplas camadas, cada uma resolvendo uma parte diferente do problema. Não vou entrar fundo na matemática aqui — você pode explorar a versão interativa do nosso whitepaper para o framework técnico completo — mas as ideias centrais são surpreendentemente intuitivas.
Ensinando redes neurais a obedecer à física
Redes neurais padrão aprendem padrões a partir de dados. Mostre a elas exemplos suficientes do comportamento da rede elétrica, e elas aprenderão a prever o que vem em seguida. Mas elas não têm noção alguma do porquê de as coisas acontecerem. Elas não sabem que tensão e potência reativa estão ligadas por leis eletromagnéticas fundamentais. Elas apenas sabem que, quando o padrão de entrada A aparece, o padrão de saída B costuma vir em seguida.
Redes Neurais Informadas pela Física — PINNs — são diferentes. Nós embutimos as equações diferenciais reais que governam a dinâmica dos sistemas de potência diretamente no processo de treinamento. A rede neural não apenas aprende com dados históricos; ela aprende sujeita à restrição de que suas saídas devem satisfazer as leis da física.
Eis o que isso significa na prática. Durante o evento ibérico, oscilações subsíncronas de 0,63 Hz eram um sinal de alerta que os controladores convencionais interpretaram como ruído. Um controlador baseado em PINN teria reconhecido essas oscilações como uma violação dinâmica das equações de estabilidade e fornecido amortecimento ativo — nossas simulações mostram tempos de resposta até 87 vezes mais rápidos do que os métodos de otimização convencionais. Não porque a rede neural seja mais rápida em matemática, mas porque ela já conhece a matemática. A física está embutida em sua arquitetura.
Lembro da tarde em que conseguimos fazer isso funcionar pela primeira vez em simulação. Tínhamos passado semanas lutando com a estabilidade do treinamento — as restrições físicas viviam brigando com o aprendizado orientado a dados. Nosso líder de ML, que vinha de um background de deep learning puro, estava cético de que as restrições ajudariam em vez de atrapalhar. Então rodamos o cenário ibérico no modelo treinado. A PINN capturou o padrão de oscilação às 12:00 — trinta e três minutos antes da cascata real. Ele apenas ficou olhando para a tela e disse: "Ok. Agora eu entendi."
O sanduíche que bloqueia decisões burras
A inferência informada pela física é a primeira camada. A segunda é o que chamamos de Sanduíche Neuro-Simbólico — e é a peça que teria evitado diretamente a falha mais gritante de 28 de abril.
Lembra da usina que injetou potência reativa durante um evento de sobretensão? Isso aconteceu porque o sistema de controle da usina — automatizado ou dirigido por humanos — emitiu um comando que violava o Procedimento de Operação 7.4. O comando era fisicamente possível de executar, então foi executado. A rede não tinha sistema imunológico para rejeitá-lo.
Na nossa arquitetura, uma camada de lógica simbólica envolve a rede neural como uma barreira constitucional. Codificamos todo o regulamento do P.O. 7.4 — e qualquer outro código de rede aplicável — em uma linguagem formal específica de domínio. A rede neural propõe ações. A camada simbólica confere cada ação proposta contra as regras rígidas antes que ela chegue ao equipamento físico.
Se a tensão está acima do limiar máximo e subindo, e a camada neural sugere injetar potência reativa — por qualquer razão, por mais confiante que seja sua previsão — a camada simbólica bloqueia. Não com um aviso. Não com uma pontuação de probabilidade. Fisicamente não há como passar. O sistema trata a conformidade regulatória do jeito que uma ponte trata a gravidade: não como uma diretriz, mas como uma restrição que não pode ser violada.
Um controlador de rede neuro-simbólico não avisa você sobre decisões ruins. Ele torna decisões ruins fisicamente impossíveis de executar.
É isso que quero dizer quando falo em superar a "Falácia da Liberdade Infinita" — a suposição de que uma IA mais flexível é sempre uma IA melhor. Em infraestrutura crítica, você quer menos liberdade, não mais. Você quer uma IA que seja brilhantemente adaptativa dentro de limites rígidos e absolutamente rígida nesses limites.
Por que a inteligência precisa viver na borda?
Há uma questão prática que surge toda vez que apresento este trabalho: onde a computação acontece?
A lacuna de observabilidade que condenou a rede ibérica existia porque a inteligência era centralizada. A sala de controle do TSO monitorava a espinha dorsal de 400 kV. As subestações de nível coletor de 220 kV — onde a crise real se desenrolava — estavam essencialmente voando às cegas. Os dados dessas subestações passavam por agregação e média, e eram reportados em ciclos lentos demais para capturar uma cascata de cinco segundos.
Nossos Controladores Neurais de Rede são dispositivos de computação de borda que ficam no próprio transformador do lado coletor. Eles realizam medições sincronizadas de forma de onda em alta resolução, rodam laços de otimização contínua a cada 100 milissegundos e executam comandos nos inversores para manter a estabilidade local de tensão dentro de ±0,02 por unidade. Eles não esperam a sala de controle notar um problema. Eles não enviam dados para uma API na nuvem e ficam esperando uma resposta. Eles agem localmente, na velocidade que a física exige.
Houve um momento durante nossos testes de hardware de borda — tarde da noite numa quinta-feira, numa daquelas sessões que começam às 14h e terminam à meia-noite — em que percebemos que nosso protótipo estava detectando anomalias simuladas de tensão mais rápido do que o sistema de monitoramento conseguia sequer exibir essas leituras. A anomalia era corrigida antes de o painel atualizar. Um dos nossos engenheiros de hardware riu e disse: "Acabamos de tornar a sala de controle obsoleta." Ele estava brincando. Mais ou menos.
O que acontece quando a rede apaga mesmo assim?
Mesmo com prevenção, você precisa de recuperação. A rede ibérica levou até 24 horas para ser totalmente restaurada — um processo dolorosamente manual de reiniciar unidades de geração, reconectar cuidadosamente ilhas de carga e sincronizar a frequência entre regiões.
Usamos aprendizado por reforço multiagente para a restauração automatizada da rede. Pense nisso como um time de agentes de IA, cada um gerenciando uma ilha elétrica local, coordenados por agentes de nível superior que supervisionam a sincronização. Durante a recuperação de 2025, o Marrocos forneceu 900 MW e a França contribuiu com 2 GW de potência de apoio. Mas rotear essa energia para os lugares certos, na sequência certa, sem causar colapsos secundários, exigiu que operadores humanos tomassem centenas de decisões sequenciais sob pressão extrema.
Nossas simulações sugerem que agentes autônomos operando dentro do mesmo framework determinístico — informado pela física, restrito simbolicamente — poderiam reduzir uma restauração de 24 horas para cerca de quatro horas. Não por serem mais inteligentes que operadores humanos, mas por serem mais rápidos, mais coordenados e incapazes dos erros movidos a pânico que se acumulam durante uma crise.
Como isso sobrevive ao escrutínio regulatório?
As pessoas me perguntam isso constantemente, e é uma pergunta justa. O AI Act da UE classifica o controle de redes elétricas como infraestrutura crítica, o que significa que qualquer sistema de IA operando nesse espaço enfrenta requisitos rigorosos de transparência e explicabilidade. É aqui que os LLMs baseados em wrapper enfrentam seu problema mais fundamental: eles literalmente não conseguem explicar por que fizeram uma previsão específica. A matemática não funciona desse jeito.
Nossa arquitetura neuro-simbólica produz uma trilha de auditoria completa para cada intervenção. Não uma racionalização a posteriori — um rastro de decisão real:
A camada neural detectou oscilação subsíncrona de 0,63 Hz. A camada simbólica identificou uma violação do P.O. 7.4: limite dinâmico de tensão de 435 kV excedido. A camada simbólica impôs a absorção obrigatória de potência reativa a 30% da capacidade máxima. A tensão estabilizou em 418 kV. Desarme de proteção do lado coletor evitado.
Cada elo da cadeia é inspecionável, auditável e juridicamente defensável. Isso não é um diferencial opcional. Depois do apagão ibérico, reguladores de toda a Europa estão reescrevendo os códigos de rede. Os sistemas que sobreviverem à próxima década de aperto regulatório serão aqueles capazes de provar — não apenas alegar — que sua IA segue as regras.
A pergunta que ninguém quer fazer
Eis o que mais me incomoda na resposta da indústria ao apagão ibérico.
Em questão de semanas, a conversa seguiu adiante. As empresas de IA voltaram a vender produtos wrapper. Os operadores de rede remendaram suas vulnerabilidades mais óbvias. O debate renováveis-versus-fósseis consumiu todo o oxigênio. E o problema arquitetural fundamental — o de que estamos gerenciando sistemas de energia do século XXI com paradigmas de controle que não conseguem enxergar, pensar ou agir rápido o suficiente — continuou sem ser enfrentado.
Sessenta milhões de pessoas ficaram sem energia. Várias pessoas morreram. O dano econômico chegou à casa dos bilhões. E a causa raiz não foi um evento anômalo. Foi uma consequência previsível de fraquezas arquiteturais conhecidas. As oscilações subsíncronas já tinham sido observadas antes. As lacunas de conformidade de potência reativa já tinham sido documentadas. A lacuna de observabilidade entre o monitoramento de transmissão e o de nível coletor era bem compreendida na literatura acadêmica.
O apagão ibérico não foi um cisne negro. Foi um rinoceronte cinza — uma ameaça altamente provável e de alto impacto que todos viam chegando e ninguém deteve.
Nós sabíamos. A indústria sabia. E ainda assim construímos sistemas que não davam conta.
Isto não é um problema das renováveis
Quero ser absolutamente claro sobre isso, porque a desinformação ainda circula.
A energia renovável não causou o apagão ibérico. A penetração de 78% de renováveis em 28 de abril reduziu a inércia do sistema, o que tornou a rede mais sensível a distúrbios — isso é verdade. Mas sensibilidade não é causalidade. A causa foi a falha das instalações de geração em fornecer o suporte de potência reativa que eram legalmente obrigadas a fornecer. A causa foram sistemas de controle lentos demais e burros demais para gerenciar a dinâmica de tensão em tempo real. A causa foi uma arquitetura de observabilidade que deixou os operadores cegos para a crise que se desenrolava no nível coletor.
Culpar as renováveis por esse apagão é como culpar materiais de construção leves pelo colapso em um terremoto quando o problema real era que ninguém seguiu o código de obras. Os materiais exigem uma engenharia diferente. A engenharia não foi feita. Isso é uma falha humana e institucional, não uma falha da física.
E é exatamente o tipo de falha que a IA determinística foi projetada para eliminar — não substituindo o julgamento humano, mas garantindo que, quando o julgamento humano falhar, ou quando controladores legados falharem, ou quando o operador de uma usina tomar a decisão errada no momento errado, o próprio sistema imponha as leis que mantêm as luzes acesas.
As luzes vão continuar acesas porque nós as projetamos para isso
Fundei a Veriprajna porque acreditava que os sistemas de IA mais importantes do mundo não seriam chatbots, geradores de imagem ou motores de recomendação. Seriam os sistemas invisíveis que governam a infraestrutura da qual a civilização depende — redes elétricas, tratamento de água, redes de transporte, sistemas de compensação financeira. Lugares onde "provavelmente certo" é uma sentença de morte.
O apagão ibérico provou que essa crença estava correta da pior forma possível. Quinze gigawatts em cinco segundos. Uma península inteira no escuro. E a resposta da indústria de IA foi continuar vendendo wrappers probabilísticos para problemas que exigem certeza determinística.
A rede do futuro não vai permanecer estável porque nós esperamos que ela permaneça. Não vai permanecer estável porque um LLM acha que ela provavelmente deveria. Ela vai permanecer estável porque embutimos as leis da física na arquitetura neural, codificamos as regulamentações em lógica simbólica, empurramos a inteligência para a borda onde os milissegundos importam, e construímos um sistema que é fisicamente incapaz de tomar as decisões que derrubaram a rede ibérica. Isso não é otimismo. Isso é engenharia.
