← Todos los artículos

Irlanda compró un sistema de votación electrónica nacional, luego no pudo demostrar que funcionara

Irlanda gastó millones en máquinas de votación que permanecieron en un almacén durante cinco años, luego fueron desechadas, porque una comisión independiente no pudo demostrar que funcionaban.

Es la primavera de 2004, y un almacén en algún lugar de Irlanda sostiene el futuro de la democracia irlandesa, aún en su embalaje original.

El gobierno irlandés había adquirido aproximadamente 7.500 máquinas de votación y recuento electrónico Nedap/Powervote. El acuerdo costó decenas de millones de euros. Las máquinas habían pasado las pruebas del propio proveedor. Se habían programado elecciones. El personal de las mesas electorales había sido capacitado. El gobierno estaba listo.

Había un problema. Se le había pedido a una Comisión Independiente sobre Votación Electrónica que revisara el sistema. Y cuando lo examinó de cerca, no pudo afirmar que las máquinas funcionaran.

No "las máquinas están rotas". No "encontramos fraude". Algo más inquietante que ninguno de los dos: no podemos convencernos a nosotros mismos, en el grado de confianza requerido, de que funcionan.

Esa oración —medida, técnica, devastadora— es la que detuvo un programa nacional de votación electrónica completo. Las máquinas fueron puestas en reserva. En 2009 fueron desechadas formalmente. Y la pregunta que planteó la Comisión nunca ha desaparecido.

"No probado" no es lo mismo que "está bien"

El Informe Provisional de 2004 de la Comisión sobre Votación Electrónica no fue una teoría conspirativa. No fue un ataque político. Fue un grupo de expertos independientes encargados de una pregunta específica: ¿podemos verificar, para nuestra satisfacción, que este sistema es exacto y secreto?

Su respuesta: no.

La Comisión fue explícita en que su conclusión no era un hallazgo de que el sistema no funcionaría. Era un hallazgo de que el sistema no había sido probado a la satisfacción de la Comisión que funcionaría. Ese es un estándar diferente y más exigente, y es el correcto.

Exactitud significa: ¿cada voto emitido se convierte en el voto contado? Secreto significa: ¿nadie puede vincular una papeleta al elector que la emitió? Estas no son demandas técnicas exóticas. Son las dos propiedades innegociables de una elección legítima. Y la Comisión, después de examinar el sistema Nedap/Powervote tal como se presentó, no pudo confirmar ninguna de las dos a su propia satisfacción.

El Informe Provisional de la Comisión es un documento breve, y vale la pena leerlo completamente. Lo que no dice es tan importante como lo que sí dice. No dice que el proveedor mintió. No dice que el gobierno actuó de mala fe. Dice: la evidencia presentada no fue suficiente para permitir la verificación independiente. Y para un dispositivo cuyo trabajo es producir un recuento digno de confianza, "no independientemente verificable" es un defecto fatal, no una brecha menor que se pueda cubrir con promesas.

Las máquinas fueron almacenadas.

El defecto debería haber sido siempre: no desplegar sistemas no probados

Esto es lo que la historia de Irlanda hace concreto. El proveedor dijo que las máquinas funcionaban. El gobierno creyó al proveedor. Se realizó una compra, se gastó dinero, se realizó capacitación. El sistema estaba a punto de ser utilizado para determinar los resultados reales de las elecciones para millones de votantes irlandeses.

Y entonces un organismo independiente hizo una pregunta simple —¿pueden probarlo?— y la respuesta fue no.

Esa secuencia es al revés. La prueba debe preceder al despliegue, no perseguirlo. La Comisión irlandesa, para su crédito, trató "aún no probado" como razón suficiente para "no usar". Ese es el defecto correcto. La carga de la prueba recae en el sistema. Una autoridad electoral que no puede demostrar a revisores independientes que su tecnología es exacta y secreta no ha alcanzado el estándar. Simplemente ha elegido no alcanzarlo antes de ir en vivo.

Las máquinas Nedap/Powervote utilizadas en Irlanda eran del mismo fabricante cuyas máquinas Alemania utilizó en su elección federal de 2005, el voto del Bundestag posteriormente cuestionado ante la Corte Constitucional Federal. En marzo de 2009, la corte alemana dictaminó que las máquinas de votación electrónica cuya operación no puede ser verificada independientemente por ciudadanos ordinarios, sin conocimiento especializado, violan el principio constitucional de elecciones públicas. El fallo de la Bundesverfassungsgericht es cuidadoso y vale la pena leerlo: no es una prohibición de computadoras en las elecciones. Es un requisito de que cualquiera que sea la tecnología utilizada, los ciudadanos deben poder verificar por sí mismos los pasos esenciales desde la papeleta hasta el resultado. Las máquinas Nedap fallaron esa prueba en la corte constitucional de Alemania cinco años después de que la comisión independiente de Irlanda ya había llegado a la misma conclusión por medios diferentes.

Dos países. Mismas máquinas. Mismo veredicto. Ninguno requería evidencia de fraude específico. Ambos llegaron al mismo resultado: lo no verificable es inaceptable.

"Certificado" es una afirmación, no una prueba

Las máquinas habían pasado las pruebas del proveedor. Se había ejecutado alguna versión de un proceso de certificación. El gobierno irlandés había aprobado una adquisición. Nada de eso fue suficiente para la Comisión.

Esto no es una peculiaridad del caso irlandés. Es la brecha persistente en el corazón de la supervisión de la tecnología electoral.

En los Estados Unidos, la GAO informó en 2005, a raíz de HAVA, la ley que el Congreso aprobó para modernizar las elecciones después del desastre de 2000, que los esfuerzos federales para mejorar la seguridad y confiabilidad de la votación electrónica estaban "en marcha pero que las actividades clave seguían siendo incompletas". El informe de la GAO encontró que los estándares necesitaban fortalecimiento, los procedimientos de certificación necesitaban ser establecidos, los repositorios de software necesitaban ser creados. Años después de la crisis que inspiró la reforma, la maquinaria de garantía aún se estaba construyendo. "Usamos sistemas certificados" era, en ese momento, una afirmación sobre un proceso que aún no era completamente operativo.

La certificación, hecha adecuadamente, es una verificación significativa. Hecha como una formalidad —un ejercicio de marcar casillas por un organismo que carece del acceso, tiempo o independencia para sondear genuinamente el sistema— se convierte en una responsabilidad. Crea la apariencia de garantía sin la sustancia. Y las apariencias de garantía, en las elecciones, son peores que la incertidumbre admitida: detienen que la gente haga preguntas más difíciles.

La Comisión irlandesa no tenía el acceso que necesitaba. Lo que se le mostró no fue suficiente para verificar la exactitud o secreto del sistema. Esa brecha —entre lo que presenta un proveedor y lo que un revisor independiente realmente puede verificar— es lo que hace que los reclamos de certificación valga la pena escudriñar en lugar de aceptar.

Lo que "no puede verificar el secreto" realmente significa

Hagamos esto físico por un momento, porque "secreto" puede sonar abstracto.

Una máquina de votación que no puede ser auditada independientemente por secreto es aquella en la que debes tomar la palabra del proveedor de que tu voto no es vinculable a ti. En la práctica, eso significa: si el software registra no solo qué candidato recibió un voto sino también un identificador que vincula ese voto a la terminal específica, tarjeta inteligente o marca de tiempo que lo produjo, esa información existe dentro de la máquina. Si no puedes inspeccionar el código —y en un sistema propietario, no puedes— no puedes confirmar que no lo hace.

Esto no es una vulnerabilidad hipotética. En 2006, investigadores de Princeton examinaron una máquina real Diebold AccuVote-TS y encontraron que código malicioso podría ser instalado en menos de un minuto de acceso físico, y que el código podría alterar los totales de votos mientras mantenía todos los registros internos consistentes. Su artículo mostró un virus robavotos funcional que podría propagarse automáticamente entre máquinas durante la actividad electoral normal. Los registros de auditoría se verían limpios. Los totales se verían plausibles. Nada del exterior lo capturaría.

La Comisión irlandesa no tenía que encontrar una vulnerabilidad específica para llegar a su conclusión. Solo tenía que no poder descartar una. Así es como se supone que funciona la revisión técnica independiente: el sistema debe demostrar su confiabilidad, no meramente afirmarla. La ausencia de un ataque confirmado no es lo mismo que la ausencia confirmada de la posibilidad de un ataque.

Los Países Bajos aprendieron la misma lección, con mejor seguimiento

Irlanda no fue la única en este enfrentamiento. El gobierno holandés encargó su propia revisión independiente, la Comisión Korthals Altes, que informó en septiembre de 2007 bajo el título Stemmen met vertrouwen: "Votando con confianza". Sus conclusiones fueron inequívocas.

La Comisión estableció que no hay secretos en el proceso electoral —lo que significa que la mecánica de cómo se emiten y cuentan los votos debe ser observable y verificable, no oculta en firmware. Concluyó que las papeletas de papel en una mesa electoral son preferibles desde el punto de vista de la transparencia y verificabilidad, y que cualquier método electrónico es aceptable solo si produce un registro de papel que el elector pueda inspeccionar.

El informe de la comisión holandesa llegó a su conclusión después de controversia pública, después de que activistas llamados "No confiamos en máquinas de votación" demostraran en vivo lo fácilmente que las máquinas filtraban señales de radio que podrían revelar cómo alguien había votado. La regulación de 1997 que aprobaba máquinas de votación fue retirada. Los Países Bajos volvieron al papel y al recuento manual.

Lo que los Países Bajos hicieron que Irlanda, podría decirse, no tuvo la oportunidad de hacer —porque las máquinas fueron detenidas antes del despliegue— fue hacer explícito y duradero el compromiso político. El defecto cambió. La carga de la prueba pasó de "probar que la máquina está rota" a "probar que la máquina puede ser verificada independientemente". Cuando esa prueba no pudo ser proporcionada, la respuesta fue papel.

El problema más profundo: ¿quién decide qué significa "probado"?

Aquí está la pregunta que el caso de Irlanda deja abierta, y no es una cómoda.

La Comisión sobre Votación Electrónica existía porque alguien decidió crearla. Un organismo independiente fue autorizado para decir "aún no". En Irlanda en 2004, ese mecanismo existía y fue utilizado. Las máquinas fueron detenidas.

Pero ese resultado no fue garantizado estructuralmente. Dependía de un gobierno dispuesto a encargar una revisión verdaderamente independiente, una comisión independiente dispuesta a llegar a una conclusión inconveniente, y un entorno político que aceptara esa conclusión en lugar de anularla. Elimina cualquiera de esos tres elementos y las máquinas van en vivo. Las elecciones son decididas por un sistema que nadie fuera de las oficinas del proveedor ha verificado significativamente. Los resultados se anuncian. Los funcionarios dicen que el sistema está certificado. Y la pregunta de si realmente funciona desaparece en el archivo.

Ese es el riesgo vivo en cada jurisdicción que utiliza tecnología de votación propietaria y cerrada: la infraestructura de verificación es opcional y episódica, no estructural y continua. Una comisión independiente puede ser creada o no creada. Una revisión puede ser financiada generosamente o recibir un fin de semana y un montón de PDFs. Un hallazgo inconveniente puede ser aceptado o silenciosamente enterrado.

La solución no es confiar en que la comisión correcta será creada en el momento correcto. La solución es construir sistemas donde la prueba no se mantiene dentro de una caja negra propietaria del proveedor sino que sea públicamente inspectable, verificable matemáticamente, y verificable por cualquiera, no solo los expertos que el gobierno elige contratar este ciclo en particular.

El sistema VSAP de Los Angeles County, certificado por el Secretario de Estado de California en 2018, es un ejemplo concreto de una dirección diferente: código de propiedad pública y de código abierto que expertos externos pueden inspeccionar en lugar de simplemente ser informados. Eso no es una solución completa —la implementación, la cadena de custodia y las auditorías continuas siguen siendo importantes— pero elimina una capa central de opacidad. El problema de la Comisión irlandesa, dicho simplemente, era que el proveedor controlaba lo que la Comisión podía ver. El código de código abierto no puede jugar ese juego.

Lo que el almacén irlandés realmente nos enseña

Las 7.500 máquinas se sentaron. Nunca fueron utilizadas. Finalmente fueron vendidas como desecho, se reporta que el estado irlandés recuperó una fracción de lo que gastó adquiriéndolas.

La lectura optimista de esa historia: el sistema funcionó. Una comisión independiente hizo su trabajo, llegó a una conclusión honesta, y el gobierno escuchó. Ninguna elección fue jamás realizada en un sistema no verificado. La democracia fue protegida.

La lectura honesta: Irlanda tuvo suerte —suerte de haber creado una comisión con verdadera independencia, suerte de que la comisión tuviera la columna vertebral para decir "no", suerte de que el costo político de anular ese veredicto fue demasiado alto.

Un sistema que depende de la suerte no es un sistema. Es una serie de cosas que pueden salir mal.

La lección real de las máquinas Nedap/Powervote sentadas en sus cajas sin abrir no es que Irlanda hizo la llamada correcta —aunque lo hizo. La lección es que la llamada correcta requería una cadena de controles institucionales independientes que podrían fácilmente no haber estado allí.

El defecto para un sistema no probado debe ser: no desplegar. No "desplegar y auditar más tarde". No "desplegar y confiar en el proveedor". No "desplegar y esperar a que surja un problema". No desplegar. La carga de la prueba recae en la tecnología, y debe ser descargada antes de que se emita un voto, por revisores independientes con acceso genuino, no por la documentación del proveedor.

Y "verificación independiente" no puede significar una sola comisión, convocada una vez, cuya conclusión puede ser aceptada o ignorada. Debe significar evidencia publicada, legible por máquina, criptográficamente verificable que cualquier observador calificado —no solo los que el gobierno contrató— pueda inspeccionar en cualquier momento.

Hasta que se alcance ese estándar, "el sistema está certificado" es una oración que merece exactamente tanta confianza como la Comisión irlandesa le dio.

Lo que es decir: no mucha en absoluto.

¿Quieres ver cómo se desarrolla la brecha de "certificación no verificada" en todo el mundo? Explora nuestro atlas de elecciones global. O lee la versión de dos minutos de por qué los reclamos de certificación necesitan escrutinio independiente: las brechas, explicadas. Para una mirada más profunda a lo que la votación verificable realmente requiere, comienza aquí.

Fuentes

Ver todos los artículosExplora las brechas