Welke AI in de energiesector is hoog-risico? Het korte antwoord: AI die wordt gebruikt als veiligheidscomponent in het beheer en de exploitatie van kritieke infrastructuur, zoals elektriciteit, gas, verwarming en water (Bijlage III, punt 2). Predictive maintenance en handelsalgoritmes vallen er in de regel buiten.
In de energiesector is AI onmisbaar geworden. Smart grids balanceren vraag en aanbod in real-time met voorspellende modellen. Netbeheerders zetten AI in voor predictive maintenance van leidingen en transformatoren. Energieleveranciers analyseren verbruikspatronen voor prijsstelling en duurzaamheidsadvies. Zonder machine learning is de integratie van zonneparken, windmolens en thuisbatterijen in het net nauwelijks te behappen.
De EU AI Act raakt dit alles, omdat het net kritieke infrastructuur is. Als een algoritme daar misgaat, kunnen de gevolgen groot zijn. Miljoenen huishoudens zonder stroom, bedrijven stilgelegd, leveringszekerheid in gevaar. De wet weegt dat zwaar.
Waarom energie-AI hoog-risico is
Bijlage III van de AI Act wijst kritieke infrastructuur aan als hoog-risico domein. Daaronder valt AI die als veiligheidscomponent wordt ingezet bij het beheer en de exploitatie van de levering van elektriciteit (productie, transport en distributie), gas, verwarming en water. Datzelfde punt 2 noemt ook kritieke digitale infrastructuur en wegverkeer.
Het woord 'veiligheidscomponent' doet hier al het werk. Niet alle energie-AI is hoog-risico. Een klantenservice-chatbot bij een energieleverancier is beperkt-risico. Een marketingalgoritme dat duurzame producten aanbeveelt is minimaal-risico.
Hoog-risico wordt het zodra de AI een rol speelt in de veiligheid of beschikbaarheid van de energievoorziening. Sinds de Digitale omnibus staat die grens ook met zoveel woorden in de wet: een systeem dat uitsluitend dient voor prestatie-optimalisatie, efficiëntie, automatisering, gemak of kwaliteitscontrole is géén veiligheidscomponent (Artikel 6, lid 1 bis). Brengt het falen ervan de gezondheid en veiligheid in gevaar, dan is het dat wél (lid 1 ter). Concreet:
Real-time load balancing
Bijlage IIINetbeheer-AI voor real-time vraag-en-aanbod-balancering en frequency management.
Predictive maintenance
Buiten Bijlage IIIVoorspellend onderhoud van hoogspanningsleidingen, transformatoren en gasnetwerken. Stuurt het systeem alleen de onderhoudsplanning, dan blijft het buiten het begrip veiligheidscomponent.
SCADA met AI
Bijlage IIIGeïntegreerde respons op storingen in besturingssystemen voor energie-infrastructuur.
Fault detection and location
Bijlage IIIFDIR-systemen die fouten in het net detecteren, classificeren en lokaliseren.
Generator control en renewable integration
Bijlage IIISturing van opwekking en integratie van zonne- en windenergie in het bestaande net.
Power flow optimization
Bijlage III bij ingrijpenCongestion management en sturing van energiestromen. Grijpt het systeem in om overbelasting te voorkomen, dan telt het mee; puur optimaliseren op efficiëntie valt eronder uit (Artikel 6, lid 1 bis).
Voor netbeheerders (Liander, Stedin, Enexis, TenneT, Gasunie) is dit direct relevant. Voor energieleveranciers (Eneco, Vattenfall, Essent, Greenchoice) raakt het vooral de operationele kant minder, maar handelssystemen en forecasting-modellen kunnen wel onder aandacht vallen.
AI in de energietransitie brengt nieuwe uitdagingen
De energietransitie maakt AI relevanter én complexer. Decentrale opwek (zonnepanelen, windmolens) brengt variabiliteit in het net. AI wordt ingezet om die variabiliteit te voorspellen en het net in balans te houden. Ook slimme meters in huishoudens genereren data die met AI wordt geanalyseerd voor tariefmodellen en netcongestie-management.
Dit werpt nieuwe vragen op. Als een AI het net verkeerd voorspelt en overbelasting veroorzaakt, wie is aansprakelijk? Als een algoritme bepaalde wijken afschakelt bij netcongestie, hoe wordt dat rechtvaardig gedaan? De AI Act dwingt tot het expliciet maken van deze keuzes.
Toezicht: ACM speelt de hoofdrol
De Autoriteit Consument en Markt (ACM) houdt toezicht op de energiemarkt in Nederland. Zij letten op betaalbaarheid, betrouwbaarheid en duurzaamheid. Algoritmische besluitvorming door netbeheerders en leveranciers valt steeds meer onder hun aandachtsgebied.
In de Leidraad bescherming online consument, voor het eerst gepubliceerd in 2020 en herzien in mei 2024, stelt de ACM twee dingen die hier direct op slaan. U bent verantwoordelijk voor de werking van uw algoritme. En wie prijzen personaliseert met een algoritme, moet dat aan de consument vertellen. Die lijn zet zich door met de AI Act. Transparantie over algoritmische beslissingen richting klanten en afnemers is een duidelijk ACM-thema.
Daarnaast speelt de Minister van Klimaat en Groene Groei een rol via leveringszekerheid-eisen. Netbeheerders moeten kunnen aantonen dat hun AI-gedreven systemen niet tot uitval leiden.
En op EU-niveau werkt ENTSO-E (European Network of Transmission System Operators for Electricity) aan gemeenschappelijke standaarden voor AI in netbeheer, waar Nederlandse netbeheerders aan deelnemen.
Raakvlakken met NIS2 en DORA
Kritieke infrastructuur is ook onderwerp van NIS2 (Network and Information Security Directive). NIS2 eist cybersecurity-maatregelen, incident reporting en risicobeheer voor essentiële dienstverleners in onder andere de energiesector.
Voor de financiële kant van energiebedrijven (trading desks, prijsplatforms) kan DORA (Digital Operational Resilience Act) relevant zijn. Ook DORA eist digitale weerbaarheid en operationele risicobeheer.
De AI Act stapelt op deze frameworks, al overlappen de eisen grotendeels. Risicobeheer, incidentrapportage, governance, documentatie. Een geïntegreerd framework voorkomt dubbel werk.
Cybersecurity en AI: een bijzonder risico
Energie-AI is aantrekkelijk doelwit voor cyberaanvallen. Als een tegenstander het voorspellingsmodel voor netbelasting kan manipuleren, kan hij gericht overbelasting of onderbelasting veroorzaken. Adversarieel aanvallen op machine learning modellen zijn een reële dreiging bij kritieke infrastructuur.
De AI Act eist voor hoog-risico AI een degelijke cybersecurity-aanpak. Dat gaat verder dan traditionele IT-beveiliging. Het model moet bestand zijn tegen gemanipuleerde inputs, u moet zien wanneer het anders gaat presteren dan verwacht (model drift), de uitrol en de updates moeten veilig verlopen en de uitkomsten worden gevolgd op verdachte patronen.
Dit is een jong vakgebied. Veel netbeheerders hebben hun traditionele SCADA-security op orde, maar AI-specifieke beveiliging staat nog in de kinderschoenen.
Transparantie bij algoritmische besluiten
ACM heeft eerder duidelijk gemaakt dat prijzen en voorwaarden transparant moeten zijn. Als AI meebepaalt welke tarieven klanten krijgen, welke contractvoorwaarden gelden of wanneer er wordt afgeschakeld, heeft de klant recht op uitleg.
Dat raakt dynamic pricing bij leveranciers, netcongestie-beslissingen bij netbeheerders, kredietbeoordeling bij contractacceptatie en fraudedetectie op meterstanden.
In al die gevallen moet de transparantie geregeld zijn: klanten moeten kunnen begrijpen waarom een beslissing is genomen en hoe ze er bezwaar tegen kunnen maken.
Wat netbeheerders nu moeten doen
Inventariseer alle AI-systemen in de operationele omgeving. Dit is breder dan de officiële AI-projecten. Ook ingebouwde intelligentie in SCADA-systemen, EMS (Energy Management Systems) en voorspellingstools van leveranciers telt mee.
Klassificeer veiligheidscomponenten. Welke AI draagt direct bij aan netstabiliteit, leveringszekerheid of veilige werking? Die zijn hoog-risico onder de AI Act.
Integreer AI Act-documentatie met NIS2 en ISO 27001 (veel netbeheerders hebben al ISO 27001). Een gecombineerd compliance-framework voorkomt parallele documentstromen.
Eis transparantie van AI-leveranciers. Veel operationele AI komt van gespecialiseerde vendors. Zij moeten conformiteitsverklaringen, technische documentatie en cybersecurity-informatie leveren.
Richt menselijk toezicht in waar het kan. Sommige AI-toepassingen (bijvoorbeeld milliseconde-snelheid frequency response) kunnen niet op mensen wachten. Maar materiële keuzes (welke wijken worden afgeschakeld bij overbelasting) moeten een mens in de loop hebben.
Train operationele medewerkers. Systeemoperators, netbeheerders en monitoringteams hebben zicht nodig op wat hun AI-tools doen en wanneer zij moeten ingrijpen. Artikel 4 vraagt daar sinds februari 2025 maatregelen voor, afgestemd op rol en gebruikscontext.
Wat energieleveranciers en handelaren moeten doen
Voor leveranciers en energiehandelaren is het beeld iets anders. Uw directe operationele kant (klantenservice, billing, marketing) is meestal beperkt tot minimaal risico. Maar uw handelskant en forecasting-systemen kunnen wel aandachtspunten zijn.
Borg transparantie over dynamic pricing. Klanten moeten kunnen zien hoe tarieven tot stand komen als AI erbij betrokken is.
Check fraudedetectie op klantniveau. Een klant die onterecht wordt geflagged als fraudeur, loopt materiële schade op. Menselijke check is noodzakelijk.
Als u energie inkoopt of verkoopt op spotmarkten met algoritmische handelssystemen, let dan op de eisen van MiFID II en mogelijk DORA naast de AI Act.
De rol van ISO 42001 voor kritieke infrastructuur
Voor organisaties in kritieke infrastructuur biedt ISO 42001 (AI-managementsysteem) een stevig kader. De norm sluit aan op ISO 27001 (informatiebeveiliging), ISO 22301 (business continuity) en ISO 55001 (asset management) die al vaak in gebruik zijn bij netbeheerders.
Formele certificering is niet verplicht onder de AI Act, maar een gecertificeerd managementsysteem signaleert naar toezichthouders, klanten en keteneigenaren dat u governance serieus neemt. Voor kritieke infrastructuur-spelers is dat een voorspelbare evolutie.
Veelgestelde vragen
Valt predictive maintenance onder Bijlage III?
Meestal niet. Bijlage III, punt 2 gaat over AI als veiligheidscomponent in het beheer en de exploitatie van kritieke infrastructuur. Onderhoudsplanning raakt de veiligheid van de levering niet direct. Stuurt het systeem wél automatisch de netbelasting of een afschakeling aan, dan verandert dat.
Wat is een veiligheidscomponent?
Een onderdeel waarvan het falen de gezondheid of veiligheid van personen of eigendommen in gevaar brengt. Bij netbeheer betekent dat: AI die meebeslist over de continuïteit of de fysieke veiligheid van de levering, niet AI die rapportages maakt of prognoses ondersteunt.
Hoe verhoudt dit zich tot NIS2?
NIS2 gaat over cyberweerbaarheid van uw organisatie, de AI Act over de systemen zelf. Ze overlappen in risicobeheer, incidentmelding en leveranciersbeheer. Praktisch: gebruik uw NIS2-risicoanalyse als basis en voeg de AI-specifieke eisen toe in plaats van een parallel traject te starten. Welk deel u kunt hergebruiken en welk deel alleen in de AI Act staat, leest u in AI Act en de Cyberbeveiligingswet.
Is dynamische prijsstelling hoog-risico?
De prijs zelf niet. Wordt de prijs of het contract mede bepaald door een kredietbeoordeling van de klant, dan komt Bijlage III, punt 5 in beeld en gelden de hoog-risico-eisen voor dat onderdeel.
Wie houdt toezicht in de energiesector?
De ACM is de sectorale toezichthouder voor energie, naast de coördinerende rol van AP en RDI. Voor cyberweerbaarheid speelt daarnaast de RDI een eigen rol via NIS2.
Wat u vandaag kunt doen
De eerste stap is een eerlijke inventarisatie van uw AI-systemen. De gratis risicoscan laat in vijf minuten zien welke systemen kritiek zijn en welke classificatie daarbij hoort.
Wie AI inbouwt in de governance-structuren die er al liggen voor NIS2 en ISO 27001, houdt één dossier over in plaats van twee.