← Todos los artículos

Tribunal Constitucional alemán: si solo un experto puede verificar el recuento, no es una elección real

En 2009, el tribunal más alto de Alemania dictaminó que si entender un resultado electoral requiere un título en informática, simplemente no es una elección democrática —y las implicaciones alcanzan cada sistema de votación en la tierra.

Es la mañana del 3 de marzo de 2009, y ocho jueces en Karlsruhe acaban de redefinir la línea entre una elección democrática y una actuación confiable de una.

El Tribunal Constitucional Federal de Alemania —el Bundesverfassungsgericht, lo más parecido que Alemania tiene a un árbitro supremo sobre lo que la Ley Fundamental realmente significa— acaba de emitir su sentencia sobre si las computadoras de votación Nedap utilizadas en la elección federal de 2005 eran constitucionales. Los jueces no escriben sobre un ataque cibernético, una elección robada, o una máquina rota. Escriben sobre algo más silencioso y más fundamental.

Escriben sobre si los ciudadanos comunes podrían verificar qué sucedió.

La respuesta que el Tribunal dio fue no. Y por eso las máquinas tuvieron que desaparecer.

"Sin ningún conocimiento especializado de la materia"

El razonamiento del Tribunal es lo suficientemente conciso como para citarlo directamente. Determinó que el uso de máquinas de votación electrónicas requiere que "los pasos esenciales de la votación y la determinación del resultado puedan ser examinados por el ciudadano de manera fiable y sin ningún conocimiento especializado de la materia".

Lee eso de nuevo lentamente.

No examinado por auditores. No examinado por el proveedor. No examinado por un laboratorio certificado por el gobierno. Examinado por el ciudadano, de manera fiable, sin conocimiento especializado.

Este requisito, explicó el Tribunal, se deriva del Öffentlichkeit der Wahl —el principio de la naturaleza pública de las elecciones— incorporado en el Artículo 38 de la Grundgesetz en conjunto con los Artículos 20.1 y 20.2. El principio no es un tecnicismo. Es una declaración sobre a quién pertenecen las elecciones.

Las máquinas Nedap fallaron esta prueba porque almacenaban los votos solo en memoria electrónica. No había un registro verificable de forma independiente que un votante pudiera inspeccionar. Cuando la elección terminó, lo que tenías era un número en una pantalla, producido por un proceso que vivía completamente dentro de una caja negra. Podrías confiar en él. No podrías verificarlo.

En opinión del Tribunal Constitucional alemán, esas dos cosas no son lo mismo.

Por qué esta sentencia es más profunda de lo que parece

Las reacciones oficiales al fallo tendieron a enfocarse en el resultado: Alemania volvió a los votos de papel y el recuento manual, caso cerrado, problema resuelto.

Esa es la parte menos interesante.

El argumento más profundo que el Tribunal estaba planteando es que la verificabilidad no es una característica opcional de una elección legítima —es un requisito definitorio. Una elección cuyo resultado solo un experto puede inspeccionar no es una elección en ningún sentido democrático significativo. Es un ritual realizado con equipamiento costoso, y se te invita a aplaudir el resultado.

Observa lo que el Tribunal no dijo. No dijo que las máquinas Nedap produjeron resultados incorrectos. No encontró evidencia de manipulación, fraude o mal funcionamiento en la elección Bundestag de 2005. De hecho, precisamente porque no se pudo demostrar daño concreto, el Tribunal se negó a invalidar los resultados de 2005.

Pero la ausencia de prueba de conducta indebida no era el punto. El punto era que la estructura del sistema hacía imposible la verificación independiente, y un sistema que hace imposible la verificación falla el estándar constitucional sin importar si algo realmente salió mal.

Esa distinción importa enormemente. Significa que el Tribunal no estaba arbitrando entre un reclamo de fraude y una negación de fraude. Estaba estableciendo un piso. Por debajo de ese piso, la pregunta de si ocurrió fraude es simplemente una que no puedes responder —porque has construido un sistema que no puede verificarse.

El problema es la opacidad, no solo la máquina

Para entender por qué esto importa más allá de Alemania, piensa en qué requiere realmente "verificar el recuento" con un sistema de voto de papel. Ves los votos siendo emitidos. Ves la caja siendo sellada. Ves ser abierta en el recuento. Ves a un ser humano tomar un pedazo de papel, leerlo, y llamar un nombre. Si no estás de acuerdo con lo que llaman, puedes mirar el papel tú mismo.

Nada de esto requiere un título universitario. Nada requiere confiar en un organismo de certificación, un proveedor, o un secretario de estado. La cadena completa desde votante hasta resultado declarado está a escala humana y es observable.

Ahora piensa en qué sucede cuando una computadora de votación reemplaza esa cadena. El voto entra en software. El software se ejecuta en hardware. El hardware está certificado —por un proceso que no observaste, realizado por expertos que no elegiste, contra un estándar que probablemente no has leído. El "recuento" es el resultado del software. Se te invita a confiar en él.

Esto es hacia lo que apuntaba el tribunal alemán. La opacidad no es incidental a la tecnología; en la mayoría de los despliegues, es intrínseca a ella.

Los Países Bajos llegaron a la misma conclusión por una ruta diferente. En 2007, la Comisión Asesora de Procesos Electorales del gobierno holandés publicó su informe, Stemmen met vertrouwen —"Votación con confianza". Su posición central: hay "sin secretos en el proceso electoral" y las preguntas deben ser respondidas con respuestas verificables y comprobables. La Comisión concluyó que los votos de papel contados a mano son preferibles precisamente por su transparencia y verificabilidad, y que cualquier método electrónico es aceptable solo si produce un registro de papel que el votante pueda inspeccionar físicamente. Los Países Bajos retiraron la aprobación de sus máquinas de votación y volvieron al papel.

Dos democracias europeas vecinas. Dos revisiones independientes. Una conclusión.

Qué vive dentro de la caja negra

Vale la pena ser preciso sobre qué hace peligroso un sistema de votación opaco —no porque las máquinas necesariamente estén comprometidas, sino porque no hay forma de saber de cualquier manera.

En 2006, los investigadores de Princeton Ariel Feldman, J. Alex Halderman y Edward Felten obtuvieron una máquina real de votación Diebold AccuVote-TS —una de las más ampliamente desplegadas en los Estados Unidos en ese momento— y pasaron unos meses con ella. Lo que encontraron fue que un atacante con aproximadamente sesenta segundos de acceso físico podría instalar código que robaría votos mientras mantenía todos los registros internos, contadores y registros internamente consistentes. Las máquinas no mostrarían nada malo. Un hallazgo segundo fue peor: el código podría propagarse de máquina en máquina a través de tarjetas de memoria durante la actividad ordinaria de noche electoral.

La frase crítica es "internamente consistente". Una máquina puede mentir sin contradecirse. Lo que significa que una auditoría que solo verifica los registros propios de la máquina puede confirmar la mentira.

En Georgia en 2020, un tribunal federal examinando el sistema de marcado de boletas Dominion del estado encontró algo estructuralmente similar. El sistema tabula votos de un código QR impreso en cada boleta. El código QR no puede ser leído por el votante. Un juez federal encontró que el sistema "no proporciona un registro de boleta verificable y auditable porque depende del código QR para la tabulación de votos y ese código mismo no puede ser leído y verificado por el votante". Un recuento manual en Georgia audita la salida del código de barras. No audita la intención del votante.

El principio del tribunal alemán, aplicado: si no puedes leer qué se está contando, no estás verificando el recuento.

"Votación con confianza" es un eslogan. La verificabilidad es un mecanismo.

La experiencia de Irlanda añade un tercer punto de datos. El gobierno irlandés compró 7,500 máquinas de votación Nedap —la misma familia que el tribunal alemán más tarde dictaminaría que era inconstitucional— e pidió a una comisión independiente que las evaluara antes de su primer despliegue nacional. La Comisión concluyó que no podía recomendar el sistema con "el grado de confianza requerido". No porque encontrara que las máquinas estaban rotas. Porque no podía satisfacerse de que funcionarían correctamente. La distinción importa: la ausencia de problemas conocidos no es lo mismo que fiabilidad demostrada independientemente. Las máquinas estuvieron en un almacén durante cinco años y fueron desechadas en 2009.

Tres países —Alemania, los Países Bajos, Irlanda— llegaron esencialmente a la misma conclusión a través de revisión constitucional, comisión gubernamental, y evaluación independiente respectivamente. El hilo común no es sentimiento anti-tecnología. Es la demanda de que el público pueda verificar, no meramente confiar.

Ahora considera qué sucede cuando esa demanda no se cumple.

La elección de la Asamblea Nacional Constituyente de Venezuela en 2017 se ejecutó en el sistema de votación automatizado de Smartmatic. El 2 de agosto de 2017, el director ejecutivo de Smartmatic emitió una declaración pública anunciando que la cifra de participación declarada por el gobierno había sido manipulada —por al menos un millón de votos, en la estimación de la compañía. Smartmatic dijo que "sabía sin ninguna duda" que los números habían sido alterados.

El proveedor rechazó el resultado ejecutado en su propio equipamiento. Y porque la auditoría independiente no estaba disponible —porque el sistema era una caja negra para todos fuera de la autoridad gobernante— ciudadanos y observadores internacionales no tenían mecanismo para confirmar la cifra verdadera. Se quedaron con una autoridad oficial reclamando un número, una compañía rechazándolo, y ningún tercer camino hacia la verdad.

Así es como se ve la opacidad a escala completa.

"La auditoría confirmó que coincidía" —qué esa frase realmente garantiza

Hay una versión de la garantía oficial que suena más fuerte que el escenario de Venezuela: "realizamos una auditoría, y todo coincidía". Vale la pena preguntar qué garantiza esto.

En Georgia en 2020, después de una elección presidencial decidida por menos de doce mil votos en un estado de 10 millones, funcionarios electorales realizaron un recuento manual completo de aproximadamente cinco millones de boletas presidenciales. La variación entre el recuento de máquina y el recuento manual fue aproximadamente una décima de uno por ciento —un logro genuino de escala y velocidad, realizado bajo presión enorme.

Pero incluso aquí, la historia no es exactamente "el estándar de oro confirmó la máquina". El recuento manual confirmó el resultado. Si confirmó cada voto individual es una pregunta más difícil. En el Condado de Antrim, Michigan —un caso de prueba más pequeño ese mismo año— una auditoría manual de aproximadamente 15,700 boletas presidenciales aún difería de la tabulación de máquina por aproximadamente una docena de votos. Doce votos suena trivialmente pequeño. En una carrera decidida por doce votos, es todo el margen.

La auditoría forense de Windham, New Hampshire de 2021 documentó cómo un error de recuento de máquina en los cientos —no causado por fraude, no causado por malware, causado por un pliegue en boletas enviadas por correo que los escáneres ópticos leyeron como óvalos marcados— solo fue descubierto porque boletas de papel duradero existían y un recuento manual físico podía recuperar la intención del votante.

El estándar del tribunal alemán no es que un recuento manual sea perfecto. Es que los pasos esenciales deben ser verificables por cualquier ciudadano sin conocimiento especializado. Un recuento manual cumple esa prueba imperfectamente pero genuinamente —que es exactamente por qué atrapó Windham y confirmó Georgia. Un recuento de máquina sin papel, o un recuento auditado solo contra un código QR que ningún votante puede leer, no cumple la prueba en absoluto.

El principio, tomado en serio, señala algo específico

La sentencia del tribunal alemán no prohíbe la tecnología de votación electrónica. Prohíbe la tecnología de votación electrónica inverificable. La distinción es importante, porque señala hacia lo que un sistema conforme se parecería.

El sistema VSAP de Los Ángeles —el primer sistema de tabulación electoral de código abierto de propiedad pública certificado en California, oficialmente certificado en agosto de 2018— representa una dirección: propiedad pública del código, inspección abierta por expertos independientes, en lugar de software propietario protegido como secreto comercial.

El tribunal electoral de Brasil ejecuta una Prueba de Seguridad Pública anual en la cual investigadores externos calificados son invitados a sondear sus máquinas de votación electrónica para detectar debilidades, con correcciones implementadas y re-probadas antes de la elección. La lógica es la inversa de "confía en nuestra certificación": es "intenta romperlo, públicamente, y te mostraremos qué arreglamos".

Suiza publicó su código de votación por internet en 2019 precisamente para invitar revisión independiente —y dentro de semanas, los criptógrafos Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague encontraron una puerta trasera en la prueba de mezcla que hubiera permitido a un insider alterar votos mientras producía una prueba que aparentaba pasar verificación. El sistema fue suspendido. El defecto solo fue encontrable porque el código era público.

El patrón es consistente: la verificabilidad no es una propiedad que los funcionarios pueden afirmar —es una propiedad que debe ser demostrable por externos. Una declaración oficial de que un sistema es seguro es un reclamo. Las pruebas independientes y adversariales que lo confirmen o refuten es evidencia.

Qué aún no es verificable —y qué lo arreglaría

Aquí está lo que el principio del tribunal alemán, aplicado rigurosamente, te requeriría poder hacer después de cualquier elección: rastrear tu voto —anónimamente pero verificablemente— desde el momento en que fue emitido hasta el recuento final, usando solo el registro público y tus propios ojos. Ningún título especializado. Ninguna confianza en ningún funcionario. Sin garantías de proveedor.

La mayoría de sistemas electorales en uso hoy no pueden pasar esa prueba. Muchos aún cuentan con software cuyo código fuente es un secreto comercial de proveedor. Muchos producen registros de papel, pero registros de papel que el software de recuento no realmente lee. Muchos publican totales agregados pero no los datos a nivel de precinto, boleta por boleta que permitirían a cualquier ciudadano reconciliar los números de abajo hacia arriba.

La Comisión de Asistencia Electoral de los EE.UU. nota que los resultados de noche electoral siempre son oficiales e incompletos —que está bien, siempre que los resultados finales certificados luego sean publicados en forma legible por máquina, a nivel de precinto que cualquiera pueda descargar y verificar. Los registros NCSL muestran que la mayoría de estados reportan a nivel de precinto. Pero "publicado en algún lugar" y "verificable de forma independiente y criptográficamente" no son lo mismo.

El Tribunal Constitucional alemán dio al mundo una declaración legal clara de lo que una elección debe ser. Si solo un experto puede verificar el recuento, no es una elección real. Quince años después, ese estándar sigue siendo más aspiración que práctica en la mayoría de las democracias que pretenden compartirlo.

La pregunta no es si tu autoridad electoral es confiable. La pregunta es si su confiabilidad es algo que tienes que aceptar con fe —o algo que el sistema te permite verificar tú mismo.

Esas son preguntas diferentes. Y solo una de ellas tiene una respuesta democrática.

Ve dónde se sitúa tu país en la brecha de verificabilidad —y cómo se vería un sistema verificable— en /atlas. Para la versión de dos minutos de por qué la verificabilidad vence la confianza, comienza en /simple. Y para un mapa más profundo de brechas específicas en tecnología electoral en todo el mundo, ver /gaps.

Fuentes

Ver todos los artículosExplora las brechas