← Todos los artículos

Estados Unidos gastó miles de millones para arreglar la votación después de 2000. ¿Compró verificabilidad?

Estados Unidos gastó $3 mil millones reemplazando máquinas de perforación después del caos electoral de 2000, pero comprar hardware nuevo no es lo mismo que comprar un recuento que cualquiera pueda verificar independientemente.

Es el 29 de octubre de 2002, y un proyecto de ley acaba de convertirse en ley. En los dieciocho meses desde que un puñado de chads colgantes casi llevaron la democracia estadounidense al borde del colapso, el Congreso ha hecho algo que rara vez hace con rapidez: acordar un problema, librar un cheque y firmarlo. La Ley de Ayuda a América para Votar (HAVA) autoriza aproximadamente $3.9 mil millones en fondos federales para modernizar las elecciones. Crea una nueva agencia federal, la Comisión de Asistencia Electoral de Estados Unidos. Promete estándares mínimos. Ordena a los estados reemplazar sus máquinas de perforación y palanca.

La pregunta que nadie se toma el tiempo suficiente para hacer: reemplazadas con qué, exactamente — ¿y puede el público verificar que el reemplazo realmente funciona?

Esa pregunta sigue abierta hoy.

El estatuto y su promesa

HAVA fue, en el lenguaje de sus patrocinadores, una respuesta al caos de Florida 2000. La ley en sí es explícita: el dinero federal fluye para reemplazar sistemas de votación de perforación y palanca. Se establecerán estándares mínimos de administración. La nueva Comisión de Asistencia Electoral realizará pruebas y certificará equipos de votación.

Lee esa lista de nuevo. Cada elemento trata sobre proceso — financiamiento, administración, estándares, certificación. Nada en el texto garantiza que las máquinas que reemplacen a las máquinas de perforación producirán un registro que un votante ordinario pueda verificar independientemente.

Eso no es una lectura cínica. Es la arquitectura real del estatuto.

Y es enormemente importante, porque la crisis de los chads colgantes de 2000 nunca fue realmente sobre máquinas de perforación. Fue sobre lo que Bush v. Gore realmente expuso: un sistema sin un estándar uniforme y públicamente conocido para leer lo que un votante marcó. Diferentes condados aplicaban diferentes reglas. Diferentes juntas de escrutinio sostenían el mismo chad bajo diferentes luces. La Corte Suprema encontró que boletas idénticas estaban siendo evaluadas de manera diferente en todo el estado — una violación de la protección igualitaria porque valoraba el voto de una persona sobre el de otra.

El problema no era la tecnología. Era la ausencia de un estándar verificable y uniforme para lo que significaba una boleta marcada.

HAVA abordó la tecnología. El problema más profundo lo llevó sin resolver hacia la era digital.

La GAO miró, tres años después, y encontró el trabajo incompleto

Para 2005, las máquinas de reemplazo llegaban a sótanos de juzgados de condado y gimnasios de escuelas en todo el país. La votación por pantalla táctil electrónica se estaba extendiendo. El aparato federal que HAVA había prometido — laboratorios de prueba, procedimientos de certificación, repositorios de software, pautas de seguridad — se suponía que estaría en su lugar.

No lo estaba.

En un informe emitido el 21 de septiembre de 2005 — GAO-05-956 — los auditores federales examinaron la seguridad y confiabilidad de los sistemas de votación electrónica en el panorama posterior a HAVA. Sus hallazgos: problemas documentados con sistemas de votación electrónica habían planteado preguntas sobre su seguridad y confiabilidad. Los esfuerzos federales estaban en curso, pero actividades clave permanecían incompletas. La GAO recomendó que la EAC actúe para mejorar los estándares de sistemas de votación, establecer procedimientos de certificación, crear repositorios para software certificado, compartir información sobre vulnerabilidades del sistema y difundir prácticas de seguridad recomendadas.

Piensa en lo que significa esa lista. Tres años después de HAVA, la agencia creada para certificar que los sistemas de votación son seguros aún no había construido completamente el aparato para certificar que los sistemas de votación son seguros.

El dinero se había movido. Las máquinas se habían enviado. Los estándares aún se estaban escribiendo.

Esto no es un hallazgo partidista. La GAO es el brazo de auditoría independiente del Congreso; su trabajo es reportar lo que encuentra, y lo que encontró fue una brecha entre la promesa legislativa y la realidad operacional. Reemplazar hardware no creó automáticamente verificabilidad. Creó una nueva clase de hardware cuya verificabilidad aún estaba siendo determinada.

Lo que las nuevas máquinas realmente produjeron

Esto es lo que fue importante sobre las máquinas que HAVA financió reemplazando máquinas de perforación con: muchas de ellas no tenían papel.

Condado de Sarasota, Florida, 2006. Una carrera del Congreso termina con un margen de 369 votos. Aproximadamente 18,000 boletas emitidas en ese condado — alrededor del 13 por ciento — no muestran una opción registrada en la carrera en absoluto. El condado usaba máquinas de pantalla táctil ES&S iVotronic que no producían ningún registro de papel verificado por el votante.

Nadie podía verificar qué pasó. No había nada independiente que contar. La GAO examinó los sistemas y no pudo identificar un mal funcionamiento de la máquina — mientras notaba que una pista de papel verificada por el votante habría proporcionado confirmación independiente de que las pantallas táctiles registraban votos correctamente.

HAVA había financiado el reemplazo de un registro ambiguo y analógico (un chad) con ningún registro en absoluto.

Ese mismo año, investigadores de Princeton Ariel Feldman, J. Alex Halderman y Edward Felten obtuvieron una Diebold AccuVote-TS — una de las máquinas de pantalla táctil más ampliamente implementadas en la América posterior a HAVA — y demostraron que un atacante con aproximadamente un minuto de acceso físico podría instalar código malicioso que robaría votos mientras alteraba todos los registros, registros y contadores para mantenerse coherentes internamente. Construyeron un virus de máquina de votación funcional que podría propagarse de máquina a máquina durante la actividad electoral normal.

La máquina fue financiada por HAVA. Había pasado el proceso de certificación que existía en ese momento.

Certificado no es lo mismo que verificable. Estas son palabras diferentes que hacen el opuesto del mismo trabajo.

Lo que "certificado" realmente certifica

El proceso federal de certificación de sistemas de votación que HAVA creó — eventualmente administrado a través de la EAC en asociación con laboratorios de prueba acreditados — prueba si las máquinas cumplen con un conjunto de estándares técnicos. Esos estándares han evolucionado con el tiempo y se han vuelto más exigentes. Ese es un progreso real.

Pero la certificación prueba una máquina contra un estándar. No hace que el funcionamiento interno de la máquina sea visible para el público. No significa que ningún votante o investigador independiente pueda inspeccionar el software que cuenta las boletas. No significa que un tercero fuera del proceso de certificación pueda verificar que la máquina probada es la misma que la máquina implementada.

La Corte Constitucional Federal de Alemania entendió esta distinción precisamente. En su sentencia de 2009, sostuvo que la votación electrónica es solo constitucional si los pasos esenciales de la votación y la determinación del resultado pueden ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado. Las máquinas alemanas habían pasado sus propios procesos de certificación. La corte dictaminó que aún así violaban la naturaleza pública de las elecciones porque un ciudadano no podía verificar independientemente lo que había sucedido sin confiar en intermediarios expertos.

La lógica de la corte ataca directamente el marco de HAVA: certificación por expertos, para expertos, revisada por expertos, no es lo mismo que verificabilidad por el público. Una elección democrática debe ser verificable por las personas a las que se supone que sirve.

La Corte Suprema de India llegó a un tenedor similar en el camino en 2024, cuando endureció las reglas alrededor de pistas de auditoría de papel y sellado de cadena de custodia para máquinas de votación electrónica — incluso mientras se negaba a abolirlas. La dirección de viaje de la corte era clara: la confianza fluye de evidencia independientemente verificable, no de seguridad oficial.

La propia orientación de la EAC — la declaración conjunta de CISA emitida después de la elección de 2020 declarándola "la más segura en la historia estadounidense" — en realidad prueba el punto accidentalmente. El razonamiento propio de la declaración se basa en la existencia de registros de papel que permiten recuentos y auditorías independientes. Argumenta por seguridad citando verificabilidad. Lo que significa que la afirmación es solo tan fuerte como la pista de papel detrás de ella, y en jurisdicciones donde esa pista es delgada, la seguridad flota libre de su ancla.

La pista de papel: necesaria pero no suficiente por sí sola

El Congreso notó el problema de las máquinas sin papel. La Ley de Confianza del Votante e Increased Accessibility, legislación VVPAT y finalmente estándares EAC en evolución impulsaron a la mayoría de jurisdicciones hacia registros de papel verificados por el votante — ya sea boletas de escaneo óptico que los votantes marcan a mano o dispositivos que marcan boletas que producen un registro impreso.

Esto es progreso. El papel es auditable. El recuento manual de Georgia en 2020 de aproximadamente cinco millones de boletas — la auditoría manual más grande en la historia estadounidense — confirmó el total de la máquina a dentro de aproximadamente una décima de un por ciento. La auditoría de riesgo limitado en todo el estado de Colorado en 2017, la primera de su tipo, mostró que la confianza estadística en un resultado correcto es alcanzable cuando tienes papel duradero para auditar.

Pero una impresión de papel no es automáticamente un registro verificable por el votante. El Tribunal de Distrito de EE.UU. en Curling v. Raffensperger encontró que los dispositivos que marcan boletas de Georgia producen un código QR que el tabulador lee — pero que el votante no puede leer. Un recuento manual audita el resultado del código QR. No audita lo que el votante pretendía marcar. Si la máquina silenciosamente codifica una opción diferente de la que se muestra en la pantalla, ninguna cantidad de recuento de papel lo detecta.

E incluso un escaneo óptico limpio con papel marcado a mano lleva error humano irreducible. Windham, New Hampshire, 2021: una auditoría forense ordenada por la legislatura estatal rastreó un error de recuento a pliegues a través de objetivos de voto en boletas por correo — una máquina plegadora había doblado boletas en el lugar equivocado, y el escáner leyó líneas de pliegue como óvalos llenos. Sin malware. Sin manipulación. Solo polvo en una lente y un pliegue en el lugar equivocado, contando silenciosamente cientos de boletas marcadas válidamente. El recuento manual recuperó la intención del votante. Pero el recuento manual en el recuento presidencial completo del Condado de Antrim, Michigan en 2020 aún difería del total de la máquina en aproximadamente una docena de votos de quince mil emitidos.

Un método que en sí mismo está fuera por un puñado de votos no puede resolver definitivamente una carrera decidida por un puñado de votos. "El recuento manual lo confirmó" es una seguridad. No es prueba en el sentido matemático.

La brecha de auditoría que HAVA no cerró

HAVA creó un marco. La EAC construyó estándares. Los laboratorios de prueba certifican equipos. Los estados deben cumplir con mínimos para boletas provisionales, identificación y bases de datos de registro.

Lo que HAVA no creó — y lo que el aparato de certificación aún no garantiza — es un sistema donde un miembro ordinario del público pueda verificar independientemente, sin confiar en ningún oficial o vendedor, que el recuento es correcto.

Esa brecha aparece de formas concretas:

El software del sistema de votación permanece propietario en la mayoría de jurisdicciones. No puedes leer el código que cuenta tu voto. Tampoco puede tu vecino, tu periodista local, o un investigador de seguridad independiente que no haya firmado un acuerdo de confidencialidad.

La certificación prueba máquinas antes de la implementación, no después. No puede confirmar que la máquina en el lugar de votación en el día de las elecciones está ejecutando el mismo software que el laboratorio probó. Coffee County, Georgia, mostró cuán fácilmente todo el sistema de votación de una jurisdicción puede ser copiado y removido por personas a quienes se les permite entrar por la puerta.

Las auditorías posteriores a las elecciones — auditorías de riesgo limitado, recuentos manuales, exámenes forenses — son conducidas por funcionarios electorales y luego reportadas. Sus resultados son autoritarios solo si confías en los funcionarios que las conducen. Para la mayoría de jurisdicciones, un miembro del público no puede descargar independientemente resultados a nivel de precinto legibles por máquina y reconciliarlos contra un registro público firmado criptográficamente en el momento en que los resultados son finales.

La propia orientación de la EAC insta a los funcionarios a publicar resultados en formatos descargables como .csv y .xml con etiquetado claro de tipos de boleta. Esa es una práctica sólida. Algunos estados lo hacen. La mayoría no lo hace en tiempo real, con datos legibles por máquina, firmados en una forma que cualquiera pueda auditar independientemente.

El sistema VSAP de Los Ángeles County, certificado en 2018 como el primer sistema de conteo de votos de código abierto propiedad pública certificado de California, es un paso significativo: la propiedad pública significa que el código que cuenta los votos puede ser inspeccionado por expertos independientes en lugar de ser protegido como secretos comerciales. El código abierto no es una garantía completa — la implementación y la cadena de custodia aún importan — pero elimina una capa de opacidad impuesta. Esa es la dirección de viaje que los arquitectos originales de HAVA podrían haber insistido y no lo hicieron.

La lección real de $3.9 mil millones

El dinero de HAVA hizo cosas reales. Las máquinas de perforación se fueron. Las máquinas de palanca se fueron. Derechos de boletas provisionales existen. Una agencia federal establece estándares de base. Los procedimientos de certificación, incompletos como estaban en 2005, están más desarrollados hoy.

Pero la apuesta fundamental del estatuto era que reemplazar hardware resolvería un problema de verificabilidad. No lo hizo — porque la verificabilidad no es una propiedad de ninguna máquina en particular. Es una propiedad de un sistema: la cadena desde el marcado de boleta hasta la publicación de resultados, con cada eslabón independientemente verificable por cualquiera que quiera verificarlo.

No puedes comprar verificabilidad. Tienes que construirla en la arquitectura.

Los Países Bajos llegaron a esa conclusión en 2007 — que la transparencia y un registro verificable por humanos eran fundamentos no negociables, no actualizaciones opcionales — y volvieron al papel y el conteo manual hasta que algo mejor pudiera ser probado. La Corte Constitucional Alemana trazó la línea en la inteligibilidad pública: si solo un experto puede verificar el recuento, no es una elección democrática. Brasil institucionaliza pruebas adversariales públicas de sus máquinas; se invita a extraños a romperlas antes de cada ciclo electoral, y las correcciones se hacen y se re-verifican.

América gastó miles de millones comprando máquinas nuevas y construyendo una burocracia de certificación. La burocracia de certificación prueba máquinas en un laboratorio. No te da a ti — el votante, el periodista, el investigador independiente — una forma de confirmar el recuento tú mismo.

Esa es la pregunta que HAVA respondió con dinero pero no con arquitectura. Y sigue siendo, dos décadas después, la pregunta abierta.

Lo que realmente la cerraría

La solución no es otro ciclo de reemplazo de hardware. No es un laboratorio de certificación más caro. No es una agencia federal más grande con más personal.

Es un sistema de votación diseñado de modo que su corrección sea verificable por el público, no afirmada por funcionarios.

Eso significa: boletas de papel marcadas por votantes cuyas marcas son inequívocas y legibles por humanos — no un código QR que solo un escáner pueda decodificar. Significa auditorías de riesgo limitado rutinarias y obligatorias en cada jurisdicción, no pruebas opcionales en estados progresistas. Significa resultados legibles por máquina a nivel de precinto publicados en el momento en que el recuento de cada precinto se completa, en formatos que cualquier hoja de cálculo pueda abrir — para que el público pueda reconciliar resultados conforme son reportados, no después de que los funcionarios los hayan explicado. Significa software de conteo de votos de código abierto que cualquier investigador de seguridad pueda inspeccionar sin firmar un NDA.

Y significa tratar "el Secretario de Estado certificó el resultado" y "la auditoría lo confirmó" como afirmaciones para escrutar, no como conclusiones. Porque en una carrera decidida por un puñado de votos, un método que en sí mismo está fuera por un puñado de votos no puede resolver la pregunta. Solo un sistema que el público pueda verificar independientemente puede hacerlo.

HAVA fue un proyecto de ley. Verificabilidad es un requisito de ingeniería. No son el mismo documento.

Explora cómo esta brecha de verificabilidad se ve en diferentes países y sistemas: examina el atlas global, o lee el resumen de 2 minutos de lo que falta y por qué importa.

Fuentes

Ver todos los artículosExplora las brechas