← Todos los artículos

232 votos desaparecieron en una computadora, y un tribunal ordenó nuevas elecciones

Un tribunal ordenó nuevas elecciones — no porque alguien probara fraude, sino porque 232 votantes presionaron "confirmar" y sus votos simplemente nunca llegaron.

Es la mañana del 9 de abril de 2009, y un juez en Helsinki acaba de hacer algo que Finlandia nunca había hecho antes: ordenar a tres municipios celebrar sus elecciones de nuevo, desde cero.

Ninguna papeleta fue quemada. Ninguna urna fue rellenada. Ninguna conspiración. Solo 232 personas que entraron en una casilla de votación, hicieron su elección en una pantalla táctil, y se fueron creyendo que habían votado — cuando de hecho la máquina había descartado lo que hicieron.

Sus votos habían desaparecido, y nunca lo supieron.

La Corte Suprema de lo Contencioso-Administrativo de Finlandia, en la sentencia KHO:2009:39, fue inequívoca: el programa piloto de votación electrónica en Karkkila, Kauniainen y Vihti durante las elecciones municipales de 2008 tenía un defecto fatal. Los votantes que optaron por usar la opción electrónica tenían que esperar un paso de confirmación final después de hacer su selección. Muchos no lo hicieron. Las instrucciones eran defectuosas. El diseño de la máquina era confuso. Así que algunos retiraron su tarjeta inteligente antes de que el voto fuera guardado — y la papeleta desapareció silenciosamente en la nada.

El sistema no les dio recibo. Sin "tu voto fue registrado." Sin forma de saber si la máquina había guardado lo que le dieron.

Ese silencio es de lo que trata este artículo.

La máquina tomó tu voto y no dijo nada

Piensa en lo que "votar" realmente significa a nivel mecánico. Haces una elección. Registras esa elección en una forma duradera. Alguien — o algo — cuenta el registro duradero. El conteo se convierte en el resultado.

Cada uno de esos pasos tiene que funcionar. Rompe cualquier eslabón en esa cadena, y el conteo ya no es un conteo de lo que los votantes decidieron. Es un conteo de lo que la máquina pasó a preservar.

En el piloto de Finlandia, la ruptura ocurrió entre el paso uno y el paso dos. Los votantes hicieron su elección. Pero 232 de ellos se fueron antes de que la máquina confirmara que había sido guardada — porque nada en el diseño les dijo que necesitaban esperar, y nada les dijo después que había fallado.

Doscientos treinta y dos votos, desaparecidos. Silenciosamente. Contra la voluntad de los votantes.

El tribunal encontró que esto no era un pequeño error administrativo. Era un defecto estructural en el método de votación en sí. Anuló las elecciones. Finlandia no volvió a ejecutar el programa piloto electrónico.

Esa sentencia debería ser leída lentamente. El tribunal no necesitaba pruebas de fraude. No necesitaba probar que los votos faltantes hubieran cambiado el resultado. El estándar que aplicó era más simple y más riguroso: un método de votación es solo legítimo si cada voto emitido es verificablemente registrado. Si los votantes no pueden confirmar que su papeleta fue capturada, el método falla — fin de la historia.

"Confirmación" no es un problema de UX. Es un problema constitucional.

El encuadre fácil es que Finlandia tuvo un error de software. Arregla las instrucciones, agrega una pantalla de confirmación más clara, ejecuta un programa piloto mejor la próxima vez. Problema resuelto.

Pero ese encuadre pierde lo que el tribunal realmente dijo.

La pregunta no era si la interfaz podría mejorarse. La pregunta era: ¿qué puede verificar un votante, y cuándo? En el sistema finlandés, la respuesta era: nada, y nunca. El votante presionó un botón y confió en la máquina. No había artefacto independiente y duradero — sin papel, sin recibo criptográfico, sin registro a nivel de casilla — que el votante pudiera inspeccionar para confirmar que la máquina había hecho lo que pidió.

Eso no es un problema de UX solucionable. Es un error de categoría en cómo fue diseñado el sistema.

Compáralo con el estándar que la Corte Constitucional Federal Alemana articuló en el mismo año — 3 de marzo de 2009, apenas semanas antes de la sentencia finlandesa — cuando anuló el uso de máquinas de votación electrónica Nedap en las elecciones del Bundestag de 2005. La corte alemana sostuvo que los pasos esenciales de votación y conteo "pueden ser examinados por el ciudadano de forma confiable y sin conocimiento especializado." No examinados por auditores. No examinados por el vendedor. Por ciudadanos ordinarios. Porque cualquier cosa menos que eso hace que la legitimidad democrática sea contingente en confiar en los expertos correctos — lo cual no es democracia, es delegación.

Los 232 votos faltantes de Finlandia son exactamente lo que la corte alemana estaba describiendo en abstracto. Cuando el paso de registro es invisible e inconfirmable, el votante no tiene recurso. No pueden saber si su voto fue uno de los 232 que desaparecieron. Tampoco puede nadie más, hasta que alguien hace los totales y descubre que 232 personas están registradas como habiendo iniciado el proceso pero no terminándolo.

Observa: el error solo fue detectado porque el sistema registró sesiones incompletas. ¿Qué si no lo hubiera hecho? ¿Qué si la máquina simplemente no hubiera contado sin dejar rastro alguno? ¿Cómo habría sabido alguien?

El número que debería hacerte incómodo

Doscientos treinta y dos votos. En tres municipios pequeños. Eso suena manejable.

Ahora haz las matemáticas en una dirección diferente.

El programa piloto finlandés involucraba un número modesto de votantes en una elección local. Los 232 votos perdidos representaban aproximadamente el 2% de los votos electrónicos emitidos. El dos por ciento no es un error de redondeo. En una carrera cerrada — y muchas carreras se deciden por menos del 2% — la deserción silenciosa a esa tasa voltea resultados.

Más importante: esta era la tasa de falla de un sistema que fue detectado. La única razón por la que sabemos de esos 232 votos es que el sistema guardó suficientes metadatos para reconstruir lo que pasó. El tribunal tenía algo para examinar.

Ahora considera los casos donde no hay nada que examinar.

En el Condado de Sarasota, Florida en 2006, aproximadamente 18,000 votos no fueron registrados en una sola carrera por el Congreso decidida por 369 votos. Las máquinas eran pantallas táctiles sin papel — sin registro independiente, sin rastro. La GAO probó los sistemas y no pudo identificar una avería, en parte porque no había nada independiente contra lo que probar. Los votos perdidos podrían haber sido elección del votante. Podrían haber sido falla de máquina. Nadie podía decir.

El error de Finlandia fue detectado. El de Sarasota nunca lo fue. La diferencia no fue la calidad de los funcionarios. Fue lo que el sistema dejó atrás.

Lo que "verificable por el votante" realmente tiene que significar

Aquí es donde se pone preciso — y donde la mayoría de las discusiones electorales se descarrilan.

"Verificable por el votante" se ha convertido en una frase que funcionarios y vendedores adjuntan a casi cualquier cosa con un componente de papel. Pero no todo papel es igual.

Un dispositivo de marcado de papeletas que imprime tus opciones y luego las codifica en un código QR te da una pieza de papel. Pero en 2020, una corte federal que revisa el sistema de Georgia encontró que el sistema "no proporciona un registro de papeleta verificable y auditable porque se basa en el código QR para el recuento de votos y ese código en sí no puede ser leído y verificado por el votante." La máquina tabula desde el código de barras. El votante lee el texto humano. Si esas dos cosas no concuerdan, el votante no tiene forma de saberlo. Un recuento manual del papel audita la salida del código de barras, no la intención del votante.

Eso es un rastro de papel. No es verificación por el votante.

La verificación genuina por el votante significa que el artefacto que es contado es el mismo artefacto que el votante puede inspeccionar y confirmar de forma independiente. Una papeleta marcada a mano satisface esto. Un resultado impreso legible por humanos que es tabulado desde un registro legible por humanos satisface esto. Un código QR que el votante no puede leer no. Una pantalla táctil sin papel alguno — como la de Sarasota — no.

El gobierno holandés, en su Comisión Korthals Altes de 2007, lo planteó claramente en su informe "Stemmen met vertrouwen" (Votando con confianza): "No hay secretos en el proceso electoral." Cualquier método electrónico es aceptable solo si produce una papeleta de papel que el votante puede revisar. Los Países Bajos abandonaron completamente sus máquinas de votación y volvieron a papeletas marcadas a mano. No por fraude. Porque el estándar de verificabilidad no había sido cumplido.

Los finlandeses llegaron al mismo destino dos años después, por una ruta diferente. Sus pantallas táctiles no producían registro verificable alguno. El estándar teórico de la comisión se convirtió en la sentencia concreta de una corte real: celebren las elecciones de nuevo.

El problema que no se anuncia a sí mismo

Aquí es la parte genuinamente perturbadora del caso finlandés: el sistema falló silenciosamente.

Ninguna alarma se disparó. Ningún mensaje de error apareció. Ningún trabajador de casilla notó. Los 232 votantes salieron de la casilla de votación habiendo hecho todo lo que creían que era requerido. La falla fue invisible para las personas a las que les hizo daño, invisible para los funcionarios que dirigían la elección, e invisible para todos los demás hasta que alguien examinó los registros después del hecho.

La falla silenciosa es el peor tipo de falla en un sistema de votación, porque para el momento en que la encuentras, la elección ha terminado y el daño está hecho.

Compáralo con un escenario donde una pila de papeletas de papel sale volando de una casilla de votación por una ráfaga de viento. Obvio. Recuperable. Testigos. Una cadena de custodia que puede ser reconstruida o, en el peor de los casos, documentada como rota. Un tribunal puede examinar el registro físico. Los observadores pueden contar lo que queda.

La falla electrónica silenciosa no deja nada de eso. Deja un número que parece completo, producido por un proceso que parece haber funcionado, en un sistema que no da señal externa de que algo salió mal.

Por eso el caso para confirmación verificable por el votante no es una preferencia de diseño. Es un requisito mínimo para saber si una elección sucedió en absoluto.

Cuando investigadores independientes examinaron el sistema de votación por internet nacional de Estonia durante las elecciones municipales de 2013, encontraron que un atacante bien dotado de recursos o un interno deshonesto podría plausiblemente comprometer votos o privacidad del votante sin detección. El artículo publicado recomendó a Estonia descontinuar el sistema. Las autoridades de Estonia disputaron las conclusiones — pero la palabra crítica en ese intercambio es sin detección. Un ataque silencioso en una elección nacional en vivo. Ninguna alarma. Ningún registro de error. Ningún 232 votantes identificados después del hecho.

Los investigadores fueron capaces de plantear la preocupación precisamente porque al menos parte del código y procedimientos del sistema estaban disponibles para examen independiente. La inspeccionalidad es lo que hizo la preocupación afirmable. Sin ella, la pregunta "¿funcionó esto correctamente?" tiene solo una respuesta disponible: confía en nosotros.

'La auditoría lo confirmó' es un reclamo, no una prueba

Hay una versión de esta historia que termina cómodamente. Los funcionarios descubren el problema. El tribunal actúa. Se celebran nuevas elecciones. El sistema es mejorado. Listo.

Pero esa versión te pide que trates la detección y la respuesta como la lección, cuando la lección más difícil es lo que no era detectable.

En el Condado de Antrim, Michigan en 2020, resultados incorrectos fueron publicados y detectados — pero fueron detectados porque eran implausiblemente incorrectos para un condado cuya política todos conocían. Un error más sutil, uno que cambiara una carrera cerrada por unos pocos cientos de votos sin hacer que el condado pareciera que había cambiado de partidos, podría haber pasado desapercibido. Y el subsiguiente recuento manual — el método de "patrón de oro" — aún diferían de la tabulación de máquina por alrededor de una docena de votos de aproximadamente 15,700 emitidos. Una diferencia de doce votos, producida por el método manual más confiable disponible.

En una carrera decidida por una docena de votos, un método que es en sí mismo impreciso por una docena de votos no puede resolver la pregunta. "La auditoría lo confirmó" y "el Secretario de Estado dice que está bien" son tranquilidades. No son pruebas. La prueba requiere que el proceso subyacente sea verificable independientemente por cualquiera — no solo por los funcionarios cuyo trabajo es decirte que todo está bien.

El tribunal finlandés entendió esto. No esperó pruebas de fraude. No aceptó tranquilidades oficiales de que el sistema había funcionado generalmente. Preguntó: ¿puede un votante confirmar de forma independiente que su papeleta fue capturada? La respuesta fue no. Eso fue suficiente.

Georgia en 2020 realizó un conteo manual completo de aproximadamente cinco millones de papeletas — el ejercicio más grande de este tipo en la historia de EE.UU. — y la variación entre el conteo de máquina y el conteo manual fue aproximadamente una décima de uno por ciento. Eso es evidencia de que papel más una auditoría permite que cualquiera verifique un resultado cerrado. Es el modelo: un registro duradero, legible por humanos, contado de forma independiente, por observadores que pueden ver cada papeleta. Funciona porque el artefacto siendo contado es el mismo artefacto que cualquiera puede inspeccionar.

La pregunta después de Finlandia, después de Sarasota, después del Condado de Antrim, es siempre la misma: ¿qué deja el sistema atrás, y quién puede verificarlo?

Lo que realmente haría esto verificable

El caso finlandés es limpio en un aspecto: una vez que el tribunal ordenó nuevas elecciones, el error fue corregido. Los 232 votantes tuvieron un recurso.

Pero un recurso después del hecho no es lo mismo que un sistema que no puede fallar silenciosamente en primer lugar. Aquí está lo que "no puede fallar silenciosamente" requiere:

Primero: el votante debe ser capaz de verificar, antes de dejar la casilla de votación, que su papeleta fue registrada. No una pantalla que dice "gracias por votar." Una confirmación que se vincula a un artefacto verificable de forma independiente — un papel físico que el votante puede inspeccionar, un compromiso criptográfico que el votante puede verificar más tarde contra un registro publicado, o ambos.

Segundo: el artefacto siendo contado debe ser el mismo artefacto que el votante confirmó. Un código QR que el votante no puede leer falla esta prueba. Una papeleta marcada a mano que el votante marcó a sí mismo la aprueba.

Tercero: auditores independientes — no funcionarios, no vendedores, no representantes de partidos, sino partes genuinamente independientes de afuera — deben ser capaces de verificar la cadena completa desde la confirmación del votante hasta el conteo final. No verificación de muestra. No confiar en una certificación. Realmente verificar, con acceso a los registros brutos, en cualquier momento.

Cuarto: los resultados deben ser publicados a nivel granular — casilla por casilla, en forma legible por máquina — en el momento en que el conteo de cada casilla esté completo. No después de la verificación. No agrupado en totales estatales. Los resultados a nivel de casilla que cualquiera pueda descargar, sumar y verificar contra los totales oficiales son la unidad mínima de verificabilidad pública.

Nada de esto es teórico. Las auditorías de limitación de riesgo en todo el estado de Colorado proporcionan confianza estadística que está vinculada a qué tan cerrada es la carrera realmente — más verificación en carreras más cerradas, menos en victorias arrolladoras, todo fundamentado en un registro de papel. El marco existe. La pieza faltante, casi en todas partes, es la voluntad política de aplicarlo universalmente y la infraestructura para publicar resultados lo suficientemente rápido para que las auditorías ocurran antes de que el ciclo de noticias avance.

El punto compartible

Un voto es solo confiable si es verificablemente registrado — verificado por el votante, confirmado en un artefacto duradero, y verificable por cualquiera contra un registro público.

El tribunal de Finlandia no necesitaba probar fraude. Probó algo más fundamental: una elección donde los votantes no pueden confirmar que sus papeletas fueron capturadas no es una elección verificable. Es un conteo de lo que la máquina pasó a preservar.

232 votos. Tres municipios. Una sentencia. Pero el principio que estableció aplica a cada jurisdicción ejecutando cualquier sistema — electrónico o papel — donde el votante no tiene forma independiente de confirmar que su elección llegó.

La pregunta que deberías estar haciendo sobre tu propio sistema electoral no es "¿ha sido probado fraude?" Es: "¿qué tendría que mostrarme, ahora mismo, que mi voto fue registrado tal como lo emití?"

Si la respuesta es "nada" — o "confía en nosotros" — esa es la brecha que necesita cerrarse.

Ve qué tan común es esta brecha en todo el mundo | Lee la versión de 2 minutos | Explora fallas específicas de verificación

Fuentes

Ver todos los artículosExplora las brechas