¿La IA de la red eléctrica es de alto riesgo según el Reglamento de IA de la UE? Anexo III, punto 2
La IA como componente de seguridad en la red eléctrica es de alto riesgo (anexo III, punto 2). La previsión de demanda para trading es de riesgo mínimo.
Depende de lo que la IA haga con la red. Si el sistema es un componente de seguridad en la gestión o el funcionamiento del suministro de electricidad —la parte que mantiene la luz encendida y la red estable—, es de alto riesgo según el anexo III, punto 2 del Reglamento de IA de la UE, el Reglamento (UE) 2024/1689. Si prevé la demanda para que una mesa de trading coloque mejores ofertas, es casi con toda seguridad de riesgo mínimo. La misma empresa, los mismos datos, dos niveles distintos. La palabra decisiva es «componente de seguridad», y en ella reside toda la prueba.
Qué dice realmente el anexo III, punto 2
El punto 2 califica de alto riesgo la IA destinada a usarse como componente de seguridad en la gestión y el funcionamiento de la infraestructura digital crítica, el tráfico rodado o el suministro de agua, gas, calefacción y electricidad. El suministro de electricidad se menciona expresamente. Pero la categoría no es «cualquier IA de una empresa energética»: es la IA cuyo fallo o funcionamiento defectuoso pondría en peligro la vida y la salud de las personas o provocaría una perturbación significativa del suministro. Ese matiz es el que carga con todo el peso.
Un componente de seguridad (el concepto sobre el que gira el anexo III, punto 2) es, según el artículo 3(14) en la redacción dada por el Reglamento (UE) 2026/1744, un componente que desempeña una función de seguridad (su finalidad prevista es prevenir o mitigar riesgos para la salud y la seguridad de las personas o los bienes) o cuyo fallo pone en peligro esa salud y seguridad. En términos de red: el control en tiempo real que mantiene la frecuencia y la tensión dentro de los límites, los sistemas de protección que se disparan para evitar un fallo en cascada y el equilibrado automatizado que mantiene la generación ajustada a la carga. Si el modelo está cableado en ese lazo, el punto 2 entra en juego.
La línea que lo decide
Hazte una sola pregunta: si esta IA diera una respuesta errónea en el peor momento, ¿podría desestabilizar la red o poner en peligro a las personas?
| Uso de IA en la red | Función | Nivel probable |
|---|---|---|
| Control de frecuencia/tensión en tiempo real, equilibrado automatizado | Componente de seguridad: mantiene la red estable | Alto riesgo (anexo III, pt. 2) |
| Lógica del sistema de protección, deslastre de carga automatizado para evitar cascadas | Componente de seguridad | Alto riesgo (anexo III, pt. 2) |
| Mantenimiento predictivo que señala un transformador antes de que falle | Apoya la seguridad pero es consultivo; deciden las personas | A menudo mínimo; valóralo frente al punto 2 |
| Previsión de carga/demanda para compraventa de energía | Optimización comercial, sin función de seguridad | Riesgo mínimo |
| Chatbot de aviso de cortes para clientes | Atención al cliente | Mínimo (puede aplicarse la divulgación de chatbot del artículo 50) |
| Facturación, analítica de consumo, optimización de tarifas | Soporte administrativo | Riesgo mínimo |
La trampa está en tratar la «IA de red» como una sola cosa. Un operador del sistema de transporte puede tener funcionando, a la vez, un controlador de equilibrado de alto riesgo y un modelo de previsión de precios de riesgo mínimo. Clasifica cada sistema por su propia función: nunca por la empresa, nunca por el conjunto de datos, nunca por el proveedor.
La previsión para trading es el caso más claro de no-seguridad. Un modelo de previsión de demanda que alimenta las ofertas de mercado optimiza dinero, no la estabilidad de la red. Si se equivoca, alguien opera mal —nadie corre peligro y el modelo en sí no perturba el suministro—. Eso es riesgo mínimo. En el momento en que esa misma previsión se introduce directamente en un lazo de despacho automatizado que equilibra físicamente la red sin una persona al mando, vuelves al terreno del componente de seguridad y reclasificas.
Qué obligaciones acarrea un sistema de red de alto riesgo
Cuando un sistema es un componente de seguridad conforme al punto 2, se aplica el régimen completo de alto riesgo tanto al proveedor como al responsable del despliegue:
- Gestión de riesgos a lo largo del ciclo de vida (artículo 9)
- Gobernanza de datos para los datos de entrenamiento, validación y prueba (artículo 10)
- Documentación técnica conforme al anexo IV (artículo 11) y registro de eventos (artículo 12)
- Transparencia / instrucciones de uso para el responsable del despliegue (artículo 13) y supervisión humana (artículo 14)
- Exactitud, solidez y ciberseguridad (artículo 15): el requisito que carga con el peso del control de red
- Evaluación de la conformidad por la ruta de control interno del anexo VI (artículo 43), la declaración de conformidad (artículo 47), el marcado CE (artículo 48) y el registro a nivel nacional (artículo 49(5): los sistemas del punto 2 quedan exceptuados de la base de datos pública de la UE)
- Los deberes del responsable del despliegue conforme al artículo 26, incluida la supervisión y la conservación de los registros
Para los operadores de red muerden, además, dos regímenes paralelos: las obligaciones de ciberseguridad de NIS2 y los códigos sectoriales de la red eléctrica. Corren junto al Reglamento de IA, no en su lugar: el requisito de ciberseguridad del artículo 15 y NIS2 se solapan ampliamente para una IA de sistema de control.
Fíjate en la ruta: la IA en infraestructuras críticas usa la autoevaluación interna del anexo VI conforme al artículo 43, no la ruta del organismo notificado reservada a la biometría del anexo III. Por lo general, no se exige un organismo notificado.
Ejemplo práctico: los dos modelos de un operador de transporte
Netzkraft AG, un operador de transporte regional con unos 240 empleados y alrededor de 95 M€ de facturación, opera dos sistemas de IA.
El primero prevé la demanda a un día vista para orientar su posición de mercado. No toca ningún lazo de control; si se equivoca, la mesa de trading simplemente se cubre. No es un componente de seguridad → riesgo mínimo. Netzkraft documenta la clasificación y sigue adelante: no se exige el conjunto de obligaciones de los artículos 9 a 15.
El segundo es un controlador de equilibrado automatizado que ajusta el despacho casi en tiempo real para mantener la frecuencia. Su fallo podría desestabilizar la red: un componente de seguridad conforme al anexo III, punto 2 → alto riesgo de manual. Netzkraft, como responsable del despliegue (y su proveedor como proveedor), delimita el régimen completo: gestión de riesgos (artículo 9), supervisión humana para que un operador pueda intervenir (artículo 14) y una fuerte inversión en exactitud, solidez y ciberseguridad (artículo 15) alineada con sus deberes de NIS2. La conformidad pasa por la ruta interna del anexo VI (artículo 43) y el sistema se registra a nivel nacional (artículo 49(5)), no en la base de datos pública de la UE. Una empresa, dos sistemas, dos niveles: exactamente como predice la prueba del componente de seguridad.
Cómo ayuda Confir
Confir ejecuta la prueba del componente de seguridad contra cada uso de IA en la red, separando los modelos de previsión, trading y facturación de riesgo mínimo de los sistemas de control y equilibrado de alto riesgo que se sitúan en el lazo de seguridad; después reúne las obligaciones de proveedor y responsable del despliegue para los sistemas que califiquen, con el énfasis en la solidez y la ciberseguridad del artículo 15 que exige el control de red y una correspondencia cruzada con NIS2. El motor es determinista y basado en reglas: la misma entrada produce la misma clasificación cada vez.
Guías relacionadas
- IA en infraestructuras críticas: anexo III, punto 2
- El Reglamento de IA de la UE para el sector energético y los servicios públicos
- Cómo clasifica el artículo 6 la IA de alto riesgo
- Artículo 15: exactitud, solidez y ciberseguridad
- Qué es un componente de seguridad
- Cómo funciona la clasificación de riesgo de la IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →