AI in de energiesector: kritieke infrastructuur en NIS2

Kort antwoord: AI in de energiesector raakt twee regimes. Stuurt het AI-systeem als veiligheidscomponent het beheer of de werking van kritieke infrastructuur — denk aan netbalancering, smart grids of leveringszekerheid — dan kan het onder bijlage III van de AI Act hoogrisico zijn. Daarnaast valt de sector als "essentiële entiteit" onder NIS2. Beide stellen eisen aan robuustheid, beveiliging en toezicht, die je het best samen invult.

Bijlage III: kritieke infrastructuur

Bijlage III van de AI Act classificeert AI-systemen die zijn bedoeld als veiligheidscomponent in het beheer en de werking van kritieke digitale infrastructuur, het wegverkeer en de levering van onder meer elektriciteit als hoogrisico. De toets is functioneel: bepaalt het systeem (mede) of de levering veilig en betrouwbaar blijft? Een AI die belasting voorspelt voor planning is iets anders dan een AI die in realtime ingrijpt op het net — die laatste leunt richting hoogrisico.

NIS2: cyberbeveiliging

NIS2 (Richtlijn (EU) 2022/2555) merkt energie aan als sector met essentiële entiteiten. Dat brengt verplichtingen mee voor risicobeheer, incidentmelding, beveiliging van de toeleveringsketen en bestuurlijke verantwoordelijkheid. Voor AI-systemen die op kritieke processen draaien, betekent NIS2 dat de beveiliging van het systeem zelf — tegen manipulatie, vergiftiging van data of uitval — onderdeel is van de wettelijke zorgplicht, niet vrijblijvend.

Waar de regimes elkaar raken

De AI Act eist voor hoogrisico-systemen nauwkeurigheid, robuustheid en cyberbeveiliging (art. 15). NIS2 eist passende technische en organisatorische maatregelen voor de hele entiteit. Die overlappen in de praktijk: een aanval die een net-AI misleidt, is tegelijk een AI Act-robuustheidskwestie en een NIS2-incident. Slim is om de AI-risicobeheersing in te bedden in het bredere NIS2-beveiligingsbeleid, zodat één governance-structuur beide afdekt.

Niet alles is hoogrisico

Veel energie-AI is geen veiligheidscomponent: verbruiksvoorspelling, tariefoptimalisatie of klantanalyses. Die vallen buiten bijlage III, maar kunnen wél onder de AVG vallen (slimme meters, profilering) of onder NIS2 als ze op kritieke systemen draaien. Het patroon van samenloop tussen veiligheid en sectorregels lijkt op dat bij AI in de industrie.

Wat te doen

• Classificeer per systeem: is de AI een veiligheidscomponent voor de levering, of ondersteunend?
• Integreer governance: breng AI Act-robuustheid onder in je NIS2-beveiligingsbeleid.
• Borg incidentmelding: zorg dat AI-storingen passen in de NIS2-meldketen.
• Bescherm de data en het model tegen manipulatie en vergiftiging — dat is zowel AI Act als NIS2.
• Beleg verantwoordelijkheid op bestuursniveau; NIS2 maakt dat expliciet.

In de energiesector is AI zelden een losstaand IT-project. Het is onderdeel van kritieke infrastructuur, en wordt door AI Act en NIS2 samen beoordeeld.