← Todos los artículos

India mantuvo sus máquinas de votación — pero reforzó la verificación en papel. ¿Por qué?

La Corte Suprema de India se negó a descartar sus máquinas de votación — luego ordenó inmediatamente sellos de papel más fuertes y verificaciones aleatorias independientes. Esa tensión te dice todo lo que necesitas saber sobre lo que la "confianza" realmente requiere.

Es la mañana del 26 de abril de 2024, y en algún lugar de Nueva Delhi, un tribunal de dos jueces de la Corte Suprema de India acaba de terminar de leer 102 páginas de peticiones pidiéndole que haga algo dramático: descartar todo el sistema de votación electrónica del país, o como mínimo exigir que cada uno de los comprobantes de papel generados por cada máquina de votación sea contado a mano.

Los peticionarios — la Asociación para las Reformas Democráticas y otros — no eran teóricos de la conspiración. Estaban señalando una pregunta estructural genuina: en una elección que involucra aproximadamente 970 millones de votantes elegibles en un país de escala continental, ¿cuánto del conteo electrónico puede verificar independientemente cualquier ciudadano?

La corte dijo no a ambas demandas.

Y luego inmediatamente ordenó sellos de papel más fuertes, almacenamiento seguro obligatorio, y un nuevo mecanismo de verificación de disputas vinculado al rastro de papel.

Esa combinación — mantener las máquinas, reforzar la verificación en papel — vale la pena considerar. Porque contiene un argumento que cruza toda democracia que haya intentado alguna vez ejecutar una elección en una computadora.

Qué hacen realmente las máquinas de India, y qué realmente dijo la corte

Las Máquinas de Votación Electrónica (EVMs) de India son dispositivos independientes, no conectados en red. No están conectados a internet. No ejecutan software comercial del sistema operativo. La Comisión Electoral de India las describe como unidades de propósito específico, resistentes a manipulaciones. Desde 2013, el sistema ha sido emparejado con una Pista de Auditoría de Papel Verificable por el Votante — un VVPAT — una pequeña impresora detrás de una ventana de vidrio que muestra, durante siete segundos, un comprobante de papel mostrando el símbolo del partido y el nombre del candidato que registró la máquina. El comprobante cae en una caja sellada que el votante no puede tocar.

En Association for Democratic Reforms v. Election Commission of India (2024 INSC 341, sentencia del 26 de abril de 2024), la Corte Suprema de India se negó a ordenar un regreso a boletas de papel o un conteo manual del 100% de comprobantes VVPAT. El régimen existente — verificación manual obligatoria de comprobantes VVPAT en cinco estaciones de votación seleccionadas aleatoriamente por circunscripción — sobrevivió.

Pero la corte no simplemente dijo "confiamos en la Comisión Electoral". Emitió directivas concretas:

  • Las Unidades de Carga de Símbolos (SLUs) — los dispositivos utilizados para cargar símbolos de candidatos y partidos en las EVMs antes de una elección — deben ser selladas y aseguradas después del proceso de carga de símbolos y almacenadas durante un mínimo de 45 días después de que se declaren los resultados.
  • Los candidatos pueden, al pagar una tarifa, solicitar verificación del microcontrolador de memoria quemada en el 5% de las EVMs en una circunscripción, en caso de una disputa.

Lee esas dos directivas cuidadosamente. La corte no estaba diciendo que las máquinas estén bien, confíen en nosotros. Estaba diciendo: sella los dispositivos que tocan las máquinas antes de la votación, mantenlos disponibles para verificación después, y dale a los candidatos perdedores un mecanismo para desafiar el conteo contra evidencia física de hardware.

Incluso una sentencia que mantuvo el sistema electrónico se inclinó, en cada momento de ansiedad, por la lógica de checkabilidad independiente basada en papel y hardware.

Ese es el argumento. No el argumento de India — el argumento de todos.

La pregunta a la que toda corte en todo país eventualmente llega

En marzo de 2009, ocho jueces en Karlsruhe, Alemania llegaron a lo que ahora es la declaración judicial más clara del principio central. La Corte Constitucional Federal Alemana, revisando el uso de computadoras de votación Nedap en la elección de Bundestag de 2005, dictaminó que la votación electrónica solo es legítima cuando "los pasos esenciales de la votación y de la determinación del resultado pueden ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado."

No por un experto certificado. No por la autoridad electoral. Por un ciudadano.

Las máquinas almacenaban votos solo en memoria electrónica, sin registro verificable de forma independiente que un votante pudiera verificar. Fallaron la prueba. La Ordenanza Federal de Máquinas de Votación fue declarada inconstitucional.

La Corte Suprema de India en 2024 estaba lidiando con la misma pregunta a escala mucho mayor, con una arquitectura de máquina diferente, y llegó a una conclusión del fondo diferente — pero observa qué preservó en ambas direcciones: el comprobante de papel que el votante ve caer en la caja, y el registro de hardware que una circunscripción disputada ahora puede solicitar examinar. La corte trazó una línea entre confiar en una máquina y tener algo para verificar la máquina contra.

Esa línea no es invención de India. Es el mínimo irreducible que toda corte nacional seria eventualmente ha exigido.

Qué sucede cuando no hay nada que verificar

El caso del Condado de Sarasota, Florida de 2006 sigue siendo el ejemplo más claro de lo que realmente te cuesta la ausencia de un rastro de papel. Aproximadamente 18,000 boletas en el Distrito Congresional 13 de Florida no mostraban ninguna opción registrada en la carrera — una tasa de voto en blanco del 13% en máquinas táctiles ES&S iVotronic sin papel. La carrera fue decidida por 369 votos. La GAO probó los sistemas y no pudo identificar una falla de máquina, pero señaló que un rastro de papel verificado por el votante podría haber proporcionado confirmación independiente de que las pantallas táctiles registraron correctamente los votos.

No había nada para recontar. Ningún comprobante en una caja. Ningún artefacto físico que el votante hubiera visto producir. Las máquinas dijeron lo que dijeron, y no había ninguna capa independiente para interrogar.

Una máquina que no deja rastro verificable no es un sistema de conteo. Es una declaración.

El régimen VVPAT de India, sea cual sea sus limitaciones, es un rechazo estructural de ese resultado. El comprobante de papel existe. La pregunta que la Corte Suprema estaba adjudicando no era si tener un rastro de papel sino cuánto de él debe ser verificado a mano, y bajo qué condiciones el hardware que hay debajo puede ser examinado.

Ese es un argumento real que vale la pena tener. No es el mismo argumento que si tener alguna verificación en absoluto.

Por qué la muestra de cinco estaciones de votación es una tensión genuina, no una respuesta cómoda

La corte retuvo el requisito de que los comprobantes VVPAT sean contados a mano en cinco estaciones de votación seleccionadas aleatoriamente por circunscripción. India tiene miles de circunscripciones. La muestra es pequeña.

Los críticos de la sentencia — y los peticionarios ante la corte — argumentaron que una muestra aleatoria pequeña no puede proporcionar la confianza estadística necesaria para certificar un resultado cerrado. Esa es una objeción técnica legítima, no una fringe.

Compara el enfoque de Colorado: en 2017, Colorado se convirtió en el primer estado estadounidense en completar una auditoría de límite de riesgo a nivel estatal, un método que dimensiona su muestra de verificación manual a la cercanía de la carrera. Un abrumador requiere una muestra pequeña para confirmar. Un casi empate requiere muchas más boletas examinadas a mano. El RLA entrega confianza estadística definida; una muestra fija de cinco estaciones no, y en una carrera cerrada, las matemáticas importan.

La respuesta de la corte india no es que cinco estaciones sea óptimo. Su respuesta es que la arquitectura de resolución de disputas — SLUs selladas, almacenadas durante 45 días, con verificación de microcontrolador disponible bajo solicitud — proporciona una capa diferente de verificación que la muestra de cinco estaciones sola no proporciona.

Si esa capa es suficiente es una pregunta técnica que la sentencia no resuelve completamente. Esa pregunta sin resolver no es un defecto en el argumento de esta pieza — es precisamente la pregunta que da a la sentencia su tensión.

La corte mantuvo las máquinas. Agregó verificaciones de disputas a nivel de hardware. No proporcionó una garantía matemática de confianza estadística en carreras cerradas. Estas tres cosas son simultáneamente verdaderas, y cualquiera que te diga que solo una de ellas te está contando una historia cómoda.

El problema más profundo: qué "verificado" realmente significa en una ventana de siete segundos

Aquí está la parte que la sentencia de la corte deja genuinamente abierta, y que vale la pena nombrar claramente.

El comprobante VVPAT aparece detrás de una ventana de vidrio durante siete segundos. El votante lo ve. Luego cae en una caja sellada.

Lo que el votante verificó es que el comprobante se imprimió correctamente. No verificó que la máquina tabulara ese comprobante correctamente. El comprobante va en una caja sellada que es contada a mano solo en las estaciones muestreadas.

En los Estados Unidos, una corte federal en Atlanta hizo una observación estructuralmente similar en 2020. En Curling v. Raffensperger, revisando los dispositivos de marcado de boletas de Dominion de Georgia, la corte encontró que el sistema "no proporciona un registro de boleta verificable y auditable porque depende del código QR para tabulación de votos y ese código en sí no puede ser leído y verificado por el votante." El comprobante impreso existía. El artefacto de tabulación — el código QR — no era legible para humanos.

La situación de India es diferente en arquitectura: el comprobante VVPAT es legible para humanos, y la tabulación ocurre en la EVM en sí en lugar de estar codificada en un código de barras. Pero la pregunta estructural es la misma: el artefacto que el votante verifica y el artefacto que determina el conteo deben ser el mismo artefacto, y la conexión entre ellos debe ser verificable de forma independiente.

El nuevo mecanismo de verificación de microcontrolador de la corte india es un paso hacia hacer esa conexión verificable en casos disputados. No es un mecanismo de verificación pública general disponible para cualquier ciudadano como cuestión de curso.

Esa brecha — entre lo que una corte puede ordenar como remedio y lo que un sistema debería proporcionar como predeterminado — es donde vive el argumento de diseño real.

Cómo se vería un sistema construido para verificabilidad

La sentencia india, el estándar constitucional alemán, y el informe de la comisión del gobierno holandés de 2007 (que devolvió a Holanda a boletas de papel en los fundamentos explícitos de que las elecciones deben ser transparentes y verificables) todos señalan la misma especificación.

Un conteo confiable requiere:

  1. Un registro físico legible para humanos, verificado por el votante — no una ventana de siete segundos, sino un artefacto duradero que el votante confirma y el sistema retiene.
  2. Un protocolo de auditoría pública que esté diseñado estadísticamente para detectar resultados incorrectos, dimensionado al margen, no a la conveniencia.
  3. Cadenas de custodia de hardware y software que sean selladas, registradas, e independientemente verificables — no solo por candidatos que paguen una tarifa, sino como cuestión de registro público transparente.
  4. Publicación instantánea de resultados a nivel de precinto en formatos legibles por máquina que cualquiera pueda descargar y reconciliar contra el papel.

Ninguna de esas cuatro cosas requiere abandonar la votación electrónica. La corte de India no dijo abandonarla. La corte de Alemania no dijo abandonarla — dijo hacerla verificable por ciudadanos ordinarios. La comisión holandesa no dijo que la tecnología está mal — dijo que transparencia y verificabilidad son no negociables, y el papel actualmente los entrega mejor.

El hilo conductor a través de toda jurisdicción no es una preferencia por papel sobre silicio. Es una demanda de que el sistema produzca evidencia que el público puede examinar independientemente — evidencia que no pide a nadie confiar en la autoridad declarando el ganador.

Brasil ejecuta pruebas de seguridad públicas adversariales oficiales en sus urnas, invitando a cualquiera cuyo plan de prueba sea aprobado a intentar romper el sistema. El Condado de Los Ángeles construyó un sistema de conteo de propiedad pública de código abierto específicamente para que externos pudieran inspeccionar el código. Colorado diseñó su auditoría para entregar confianza estadística, no solo óptica.

Ninguno de esos son "las boletas de papel son magia." Todos ellos son "aquí está la evidencia; ven a verificarla tú mismo."

Qué todavía no está resuelto — y qué lo haría verificable

La sentencia de India de abril de 2024 es un punto de datos significativo, no una conclusión establecida.

Aquí está lo que permanece genuinamente abierto:

  • La muestra VVPAT de cinco estaciones no ha sido demostrada como proporcionando confianza estadística suficiente en una carrera de circunscripción cerrada. Ninguna corte india ni autoridad electoral ha publicado un análisis matemático demostrando qué riesgo de resultado falso acepta la muestra actual.
  • El mecanismo de verificación de microcontrolador está disponible solo para candidatos, solo en casos disputados, solo al pagar, y solo en el 5% de las EVMs. Es un remedio legal, no una auditoría pública transparente.
  • El requisito de sellado de SLU es una mejora de cadena de custodia. Si los sellos son registrados independientemente, quién tiene custodia de los registros, y cómo una discrepancia sería expuesta y adjudicada no está especificado públicamente en la sentencia.
  • El software EVM permanece cerrado. Ningún investigador independiente ha publicado un análisis de seguridad revisado por pares del EVM de India actual comparable al análisis del equipo de Princeton de 2006 del Diebold AccuVote-TS, o el análisis de votación i-voting de Estonia que identificó riesgos de manipulación indetectable.

¿Qué haría cualquiera de esto independientemente verificable?

Publica los cálculos de tamaño de muestra. Publica los registros de custodia de sellos. Abre el firmware EVM a análisis criptográfico independiente. Requiere que el conteo de comprobante VVPAT de cada circunscripción sea publicado contra su total de EVM a nivel de estación de votación, en un formato legible por máquina que cualquier ciudadano pueda descargar y verificar.

La corte movió la brújula. La brújula no está aún en "cualquiera puede verificar."

Eso no es una acusación. Es una especificación de diseño — y es la misma especificación que Alemania articuló en 2009, la misma que la Corte Suprema de Kenya hizo cumplir en 2017 cuando anuló una elección presidencial porque la cadena de resultados no podía ser rastreada independientemente, y la misma que hace la diferencia entre una elección que puedes verificar y una elección que se te pide que confíes.

La confianza no es el objetivo. La verificabilidad es. No son lo mismo.

Mira dónde aparece esta brecha en elecciones alrededor del mundo · Lee la versión de dos minutos · Explora el archivo de casos completo

Fuentes

Ver todos los artículosExplora las brechas