Welke AI in de energiesector is hoog-risico? Het korte antwoord: AI die bedoeld is als veiligheidscomponent bij het beheer of de exploitatie van kritieke infrastructuur, zoals de levering van elektriciteit, gas, verwarming en water (Bijlage III, punt 2). Handelsalgoritmes vallen er in de regel buiten. Voorspellend onderhoud meestal ook, tenzij het systeem slijtage signaleert die bij uitblijven van onderhoud direct tot gevaar leidt.
In de energiesector is AI onmisbaar geworden. Smart grids balanceren vraag en aanbod in real-time met voorspellende modellen. Netbeheerders zetten AI in voor predictive maintenance van leidingen en transformatoren. Energieleveranciers analyseren verbruikspatronen voor prijsstelling en duurzaamheidsadvies. Zonder machine learning is de integratie van zonneparken, windmolens en thuisbatterijen in het net nauwelijks te behappen.
Een deel daarvan valt onder de zwaarste regels van de AI Act, omdat het net kritieke infrastructuur is. Als een algoritme daar misgaat, kunnen de gevolgen groot zijn. Miljoenen huishoudens zonder stroom, bedrijven stilgelegd, leveringszekerheid in gevaar. De wet weegt dat zwaar.
Wanneer energie-AI hoog-risico is
Bijlage III van de AI Act wijst kritieke infrastructuur aan als hoog-risico domein. Daaronder valt AI die bedoeld is als veiligheidscomponent bij het beheer of de exploitatie van de levering van elektriciteit, gas, verwarming en water. Datzelfde punt 2 noemt ook kritieke digitale infrastructuur en wegverkeer.
Het woord 'veiligheidscomponent' doet hier al het werk. Niet alle energie-AI is hoog-risico. Een klantenservicechatbot bij een energieleverancier valt onder de transparantieplicht: de klant moet weten dat hij met AI praat (Artikel 50, lid 1). Een marketingalgoritme dat duurzame producten aanbeveelt, heeft geen specifieke AI Act-plichten. AI die sollicitanten beoordeelt, filtert of rangschikt, of die de kredietwaardigheid van consumenten beoordeelt, is ook bij een energiebedrijf hoog-risico (Bijlage III, punt 4, onder a; punt 5, onder b).
Hoog-risico wordt het zodra de AI een rol speelt in de veiligheid of beschikbaarheid van de energievoorziening. Sinds de Digitale omnibus staat die grens ook met zoveel woorden in de wet: een systeem dat uitsluitend wordt gebruikt voor de niet-veiligheidsgerelateerde kant van prestatie-optimalisatie, efficiëntie, automatisering, gemak of kwaliteitscontrole, is geen veiligheidscomponent (Artikel 6, lid 1 bis). Brengt het falen ervan de gezondheid en veiligheid in gevaar, dan is het dat wél (lid 1 ter). Concreet:
Real-time load balancing
Bijlage IIINetbeheer-AI voor real-time vraag-en-aanbod-balancering en frequency management.
Predictive maintenance
Meestal buiten Bijlage IIIVoorspellend onderhoud van hoogspanningsleidingen, transformatoren en gasnetwerken. Plant het systeem alleen het onderhoud, dan valt het buiten punt 2. Signaleert het slijtage die bij uitblijven van onderhoud direct tot gevaar leidt, dan telt het mee.
SCADA met AI
Bijlage IIIGeïntegreerde respons op storingen in besturingssystemen voor energie-infrastructuur.
Fault detection and location
Bijlage IIIFDIR-systemen die fouten in het net detecteren, classificeren en lokaliseren.
Generator control en renewable integration
Bijlage III bij sturingSturing van opwekking en integratie van zonne- en windenergie in het bestaande net. Een prognose van zon- en windopwek die alleen de inzet optimaliseert, valt eronder uit (Artikel 6, lid 1 bis).
Power flow optimization
Bijlage III bij ingrijpenCongestion management en sturing van energiestromen. Grijpt het systeem in om overbelasting te voorkomen, dan telt het mee; puur optimaliseren op efficiëntie valt eronder uit (Artikel 6, lid 1 bis).
Ook binnen punt 2 geldt Artikel 6, lid 3: een systeem dat alleen een beperkte procedurele of voorbereidende taak uitvoert, is geen hoog-risico. Bij een veiligheidscomponent zal dat zelden opgaan.
Voor netbeheerders (Liander, Stedin, Enexis, TenneT, Gasunie) is dit direct relevant. Voor energieleveranciers (Eneco, Vattenfall, Essent, Greenchoice) is punt 2 zelden aan de orde. Hun hoog-risico-AI zit eerder in de klantkant, zoals een kredietbeoordeling bij contractacceptatie (Bijlage III, punt 5, onder b).
AI in de energietransitie brengt nieuwe uitdagingen
De energietransitie maakt AI relevanter én complexer. Decentrale opwek (zonnepanelen, windmolens) brengt variabiliteit in het net. AI wordt ingezet om die variabiliteit te voorspellen en het net in balans te houden. Ook slimme meters in huishoudens genereren data die met AI wordt geanalyseerd voor tariefmodellen en netcongestie-management.
Dit werpt nieuwe vragen op. Als een AI het net verkeerd voorspelt en overbelasting veroorzaakt, wie is aansprakelijk? Als een algoritme bepaalde wijken afschakelt bij netcongestie, hoe wordt dat rechtvaardig gedaan? Valt het systeem onder Bijlage III, dan dwingt de AI Act u die keuzes expliciet te maken, via risicobeheer (Artikel 9) en menselijk toezicht (Artikel 14).
Wie kijkt mee bij energie-AI?
De Autoriteit Consument en Markt (ACM) houdt toezicht op de energiemarkt in Nederland. Zij letten op betaalbaarheid, betrouwbaarheid en duurzaamheid. Algoritmische besluitvorming door netbeheerders en leveranciers valt steeds meer onder hun aandachtsgebied.
In de Leidraad bescherming online consument, voor het eerst gepubliceerd in 2020 en herzien in mei 2024, stelt de ACM twee dingen die hier direct op slaan. U bent verantwoordelijk voor de werking van uw algoritme. En wie prijzen personaliseert met een algoritme, moet dat aan de consument vertellen. Het toezicht op de AI Act zelf legt het wetsvoorstel voor de Uitvoeringswet AI-verordening elders neer: voor hoog-risico-AI in de levering van gas, verwarming en elektriciteit bij de RDI. Dat is een voorstel; het gaat volgens de planning in het tweede kwartaal van 2027 naar de Tweede Kamer. De ACM houdt haar eigen bevoegdheden via het energie- en consumentenrecht. Transparantie over algoritmische beslissingen richting klanten en afnemers is een duidelijk ACM-thema.
Daarnaast speelt de Minister van Klimaat en Groene Groei een rol via leveringszekerheid-eisen.
Op EU-niveau werkt de Europese Commissie aan een routekaart voor digitalisering en AI in de energiesector. ENTSO-E, de vereniging van transmissienetbeheerders waarvan TenneT lid is, leverde daar in november 2025 input voor.
Raakvlakken met NIS2
Kritieke infrastructuur is ook onderwerp van NIS2 (Network and Information Security Directive). NIS2 eist risicobeheer, cybersecuritymaatregelen en het melden van incidenten van essentiële en belangrijke entiteiten, onder meer in de energiesector. In Nederland is dat sinds 15 augustus 2026 de Cyberbeveiligingswet, met de RDI als toezichthouder voor energie.
DORA (Digital Operational Resilience Act) speelt alleen als het bedrijf zelf een financiële entiteit is, zoals een vergunde beleggingsonderneming (artikel 2 DORA). De meeste energiebedrijven vallen er dus buiten, hun handelsafdeling inbegrepen.
De AI Act stapelt op deze frameworks, al overlappen de eisen deels. Risicobeheer, incidentrapportage, governance, documentatie. Een geïntegreerd framework voorkomt dubbel werk.
Cybersecurity van energie-AI
Energie-AI is aantrekkelijk doelwit voor cyberaanvallen. Als een tegenstander het voorspellingsmodel voor netbelasting kan manipuleren, kan hij gericht overbelasting of onderbelasting veroorzaken. Adversarieel aanvallen op machine learning modellen zijn een reële dreiging bij kritieke infrastructuur.
De AI Act eist dat een hoog-risicosysteem bestand is tegen pogingen om het gebruik, de output of de prestaties te manipuleren, waaronder vergiftigde trainingsdata en vijandige invoer (Artikel 15, lid 5). Dat gaat verder dan traditionele IT-beveiliging. Dat is in de eerste plaats een eis aan de aanbieder. Als gebruiksverantwoordelijke monitort u de werking op basis van de gebruiksaanwijzing en meldt u afwijkingen aan de aanbieder (Artikel 26, lid 5).
Dit is een jong vakgebied. Veel netbeheerders hebben hun traditionele SCADA-security op orde, maar AI-specifieke beveiliging staat nog in de kinderschoenen.
Transparantie bij algoritmische besluiten
ACM heeft eerder duidelijk gemaakt dat prijzen en voorwaarden transparant moeten zijn. Welke uitleg een klant krijgt, hangt af van de toepassing en van de wet die erop van toepassing is. Het recht op uitleg uit Artikel 86 geldt bij een besluit op basis van een hoog-risicosysteem uit Bijlage III met rechtsgevolgen of vergelijkbaar ingrijpende gevolgen. Systemen uit punt 2 zijn daar uitdrukkelijk van uitgezonderd. Een afschakelbesluit van een netbeheerder valt dus buiten dat recht, ook als AI het voorbereidt.
Voor de klantkant ligt het anders. Gebruikt een leverancier een kredietscore om te bepalen of iemand een contract krijgt, dan is dat systeem hoog-risico (Bijlage III, punt 5, onder b) en heeft de klant recht op uitleg over de rol ervan in het besluit (Artikel 86). Personaliseert u een prijs op basis van geautomatiseerde besluitvorming, dan meldt u dat vooraf aan de consument (artikel 6:230m, lid 1, onder u BW). Blokkeert een systeem zelfstandig een contract na een fraudesignaal op meterstanden, dan geldt artikel 22 AVG: de klant heeft recht op menselijke tussenkomst en kan het besluit aanvechten.
Wat netbeheerders nu moeten doen
Inventariseer alle AI-systemen in de operationele omgeving. Dit is breder dan de officiële AI-projecten. Ook ingebouwde intelligentie in SCADA-systemen, EMS (Energy Management Systems) en voorspellingstools van leveranciers telt mee.
Classificeer veiligheidscomponenten. Welke AI vervult een veiligheidsfunctie, of zou bij falen personen of eigendom in gevaar brengen (Artikel 3, punt 14; Artikel 6, lid 1 ter)? Die valt onder Bijlage III, punt 2.
Integreer AI Act-documentatie met NIS2 en ISO 27001 (veel netbeheerders hebben al ISO 27001). Een gecombineerd compliance-framework voorkomt parallele documentstromen.
Eis transparantie van AI-leveranciers. Veel operationele AI komt van gespecialiseerde vendors. Zij moeten een gebruiksaanwijzing meeleveren met onder meer het niveau van nauwkeurigheid, robuustheid en cyberbeveiliging (Artikel 13, lid 3, onder b). Daarnaast stellen zij een EU-conformiteitsverklaring op (Artikel 47).
Richt menselijk toezicht in. Hoog-risico-AI vereist menselijk toezicht (Artikel 14). U wijst daarvoor mensen aan met de nodige bekwaamheid, opleiding en autoriteit (Artikel 26, lid 2). Dat hoeft niet bij elke beslissing: frequentieregeling op milliseconden kan niet op een mens wachten. Wel moet een mens de werking kunnen volgen, kunnen ingrijpen en het systeem kunnen stilzetten (Artikel 14, lid 4). Bij keuzes met grote gevolgen, zoals welke wijken worden afgeschakeld, is een mens in de beslissing de verdedigbare inrichting.
Train operationele medewerkers. Systeemoperators, netbeheerders en monitoringteams hebben zicht nodig op wat hun AI-tools doen en wanneer zij moeten ingrijpen. Artikel 4 vraagt daar sinds februari 2025 maatregelen voor, rekening houdend met kennis, ervaring, opleiding en gebruikscontext.
Wat energieleveranciers en handelaren moeten doen
Voor leveranciers en energiehandelaren is het beeld iets anders. Uw klantenservice, facturatie en marketing vallen meestal buiten Bijlage III; een klantchatbot heeft wel de transparantieplicht uit Artikel 50, lid 1. Twee uitzonderingen komen bij leveranciers geregeld voor: AI die de kredietwaardigheid van een consument beoordeelt bij contractacceptatie (Bijlage III, punt 5, onder b) en AI bij werving (punt 4). Die zijn hoog-risico.
Borg transparantie over dynamic pricing. Personaliseert u prijzen op basis van geautomatiseerde besluitvorming, dan meldt u dat vooraf (artikel 6:230m, lid 1, onder u BW). De ACM vraagt in haar leidraad ook uit te leggen hoe u dat doet.
Check fraudedetectie op klantniveau. Een klant die onterecht wordt geflagged als fraudeur, loopt materiële schade op. Neemt het systeem zelfstandig een besluit met rechtsgevolgen of een vergelijkbaar ingrijpend effect, dan geeft artikel 22 AVG de klant recht op menselijke tussenkomst. Fraudedetectie valt zelf niet onder Bijlage III.
Handelt u op groothandelsmarkten voor stroom of gas met algoritmische handelssystemen, dan geldt REMIT. Sinds de herziening van 2024 moet u passende systemen en risicocontroles hebben en uw algoritmische handel melden bij de ACM en bij ACER (artikel 5 bis van Verordening 1227/2011). MiFID II en DORA spelen alleen als u energiederivaten verhandelt als vergunde beleggingsonderneming.
De rol van ISO 42001 voor kritieke infrastructuur
Voor organisaties in kritieke infrastructuur biedt ISO 42001 (AI-managementsysteem) een stevig kader. De norm sluit aan op ISO 27001 (informatiebeveiliging), ISO 22301 (business continuity) en ISO 55001 (asset management) die al vaak in gebruik zijn bij netbeheerders.
Formele certificering is niet verplicht onder de AI Act, maar een gecertificeerd managementsysteem signaleert naar toezichthouders, klanten en keteneigenaren dat u governance serieus neemt. Voor kritieke infrastructuur-spelers is dat een voorspelbare evolutie.
Veelgestelde vragen
Valt predictive maintenance onder Bijlage III?
Nee, in de regel niet. Bijlage III, punt 2 gaat over AI als veiligheidscomponent in het beheer en de exploitatie van kritieke infrastructuur. Plant het systeem alleen het onderhoud naast bestaande veiligheidssystemen, dan valt het erbuiten. Signaleert het slijtage die bij uitblijven van onderhoud direct tot gevaar leidt, of stuurt het zelf de netbelasting of een afschakeling aan, dan valt het er wel onder. Zo leest ook de Europese Commissie het in haar concept-richtsnoeren van mei 2026.
Is elke AI in het netbeheer een veiligheidscomponent?
Nee. Het gaat om een onderdeel dat een veiligheidsfunctie vervult, of waarvan het falen de gezondheid en veiligheid van personen of eigendom in gevaar brengt (Artikel 3, punt 14). Sinds de Digitale omnibus telt een systeem dat uitsluitend de niet-veiligheidsgerelateerde kant van optimalisatie of gemak bedient, niet mee (Artikel 6, lid 1 bis). Bij netbeheer betekent dat: AI die meebeslist over de fysieke veiligheid van het net. Een vraagprognose die alleen de inzet optimaliseert, hoort daar meestal niet bij.
Kan ik mijn NIS2-risicoanalyse gebruiken voor de AI Act?
Ja, als basis. NIS2 gaat over de cyberweerbaarheid van uw organisatie, de AI Act over de systemen zelf. Ze overlappen in risicobeheer, incidentmelding en leveranciersbeheer. Voeg de AI-specifieke eisen toe aan die analyse in plaats van een parallel traject te starten. Welk deel u kunt hergebruiken en welk deel alleen in de AI Act staat, leest u in AI Act en de Cyberbeveiligingswet.
Is dynamische prijsstelling hoog-risico?
Nee, de prijs zelf niet. Wordt de prijs of het contract mede bepaald door een kredietbeoordeling van een consument of een andere natuurlijke persoon, dan komt Bijlage III, punt 5, onder b in beeld en gelden de hoog-risico-eisen voor dat onderdeel.
Is de ACM de AI Act-toezichthouder voor energie?
Nee. Voor hoog-risico AI in kritieke infrastructuur (Bijlage III, punt 2) is volgens het wetsvoorstel voor de Uitvoeringswet AI-verordening de RDI de beoogde toezichthouder voor gas, verwarming en elektriciteit. Voor wegverkeer en water is dat de ILT. Het is een voorstel, dus die verdeling kan nog veranderen. De ACM blijft toezicht houden als energietoezichthouder en via het consumenten- en mededingingsrecht. Voor cyberweerbaarheid heeft de RDI daarnaast een eigen rol via de Cyberbeveiligingswet (NIS2), die sinds 15 augustus 2026 geldt.
Wat u vandaag kunt doen
De eerste stap is een eerlijke inventarisatie van uw AI-systemen. De gratis risicoscan laat in vijf minuten zien welke systemen kritiek zijn en welke classificatie daarbij hoort.
Wie AI inbouwt in de governance-structuren die er al liggen voor NIS2 en ISO 27001, houdt één dossier over in plaats van twee.