← Todos los artículos

El país que desinventó la máquina de votación

En 2007, una comisión del gobierno holandés se hizo una pregunta simple: ¿puede un ciudadano ordinario verificar que una máquina de votación contó correctamente? La respuesta cambió la forma en que vota un país.

Es otoño de 2006, y un grupo de activistas holandeses llamado "Wij vertrouwen stemcomputers niet" —"No confiamos en las máquinas de votación"— está frente a una cámara de televisión haciendo algo que avergonzará a un gobierno.

Han obtenido una máquina de votación Nedap, del mismo tipo utilizado en toda Holanda. Ante las cámaras, la abren. Demuestran que puede ser manipulada. Muestran que sus emisiones de radio pueden detectarse desde fuera de una cabina electoral, revelando potencialmente cómo alguien votó. No son investigadores que publican en una revista académica. Son ciudadanos, probando un punto en público, en televisión, donde los que dirigen las elecciones tienen que mirar.

El gobierno holandés no los desestimó.

Dentro de meses, el gobierno retiró la aprobación de las máquinas en uso e encargó a un organismo asesor independiente —la Comisión Consultiva del Proceso Electoral, presidida por F. Korthals Altes— que examinara toda la cuestión de cómo deberían desarrollarse las elecciones holandesas. El 27 de septiembre de 2007, esa comisión entregó su informe. Su título era Stemmen met vertrouwen.

Votar con confianza.

Lo que la comisión realmente dijo

La comisión Korthals Altes no produjo un documento técnico para ingenieros. Produjo un argumento democrático.

Estableció requisitos fundamentales: transparencia, verificabilidad (controleerbaarheid), integridad y secreto del voto. Afirmó, con notable contundencia, que no hay secretos en el proceso electoral —que las preguntas deben ser respondibles y las respuestas deben ser verificables y comprobables. No verificables en principio. Verificables por el público, en la práctica, sin conocimiento especializado.

Luego trazó la línea. Votar con papeletas de papel en una mesa electoral es preferible desde el punto de vista de la transparencia y la verificabilidad. Cualquier método electrónico es aceptable solo si produce un voto en papel que el votante pueda verificar personalmente.

Las máquinas de votación en uso no producían ese voto en papel. Producían un número, almacenado en memoria electrónica, dentro de una caja sellada, que un ciudadano ordinario no tenía forma de verificar. La comisión concluyó que esto no era suficiente. El gobierno holandés estuvo de acuerdo. La regulación de 1997 que había aprobado las máquinas de votación fue retirada.

Los Países Bajos volvieron a papel y lápiz. Las elecciones ahora se cuentan a mano.

Es algo extraordinario para un país moderno y tecnológicamente sofisticado hacer. Vale la pena preguntarse por qué pensaron que era necesario —y qué significa para todos los demás países que no los siguieron.

Lo que las cámaras de televisión expusieron

La demostración de los activistas no fue principalmente sobre piratería. Fue sobre un problema más fundamental: no puedes ver a una computadora pensar.

Cuando una papeleta va a una caja de papel y es contada por un ser humano en una sala iluminada, puedes ver la papeleta. Puedes ver la mano. Puedes cuestionar una decisión. Cada paso es observable por cualquiera presente —un representante de un candidato, un periodista, un vecino sospechoso. La Corte Constitucional Federal Alemana lo expresó con precisión en su histórica sentencia de 2009 que prohibió las máquinas de votación electrónica: los pasos esenciales de la votación y la determinación del resultado deben ser examinables por el ciudadano sin necesidad de conocimiento especializado. Ese no es un estándar técnico. Es uno democrático.

Una máquina de votación lo incumple por diseño. Le das tu voto y te devuelve un número. Entre esos dos momentos, algo sucedió dentro de la máquina que no puedes observar, y la máquina no te muestra su trabajo.

La respuesta de la comisión holandesa no fue "hagan mejores computadoras". Fue "el requisito de verificabilidad pública no puede ser satisfecho por ninguna máquina opaca, así que eliminen las máquinas".

Es una conclusión más difícil que la mayoría de los gobiernos han estado dispuestos a alcanzar. Pero la lógica es impecable.

Qué sucede cuando no hay papel

Para entender de qué se escapó Holanda, mira qué sucedió en el Condado de Sarasota, Florida en noviembre de 2006 —el mismo año en que los activistas holandeses hacían su aparición televisiva.

Sarasota usaba máquinas touchscreen ES&S iVotronic sin papel. En la noche electoral, el condado reportó aproximadamente 18,000 votos insuficientes en la carrera por el Distrito Congresional 13 de Florida —alrededor del 13 por ciento de todas las papeletas emitidas sin registrar ninguna opción para el Congreso. La carrera fue decidida por 369 votos.

No había nada que recontar.

La Oficina de Contabilidad General de EE.UU. probó las máquinas y no pudo encontrar una avería que explicara el voto insuficiente. También señaló, cuidadosamente, que un registro de papel verificado por el votante podría haber proporcionado confirmación independiente de que los touchscreens registraron los votos correctamente. Sin eso, la pregunta de qué pretendían 18,000 votantes era simplemente incontestable. El resultado se mantuvo, y nadie pudo probar que fue correcto.

Esa es la brecha de falta de papel en su forma más cruda: una elección cerrada, una anomalía que no puede explicarse, y ningún registro independiente para verificar. No una conspiración. No fraude. Solo una incertidumbre irreducible que socava la confianza pública exactamente en las carreras donde la confianza pública importa más.

La comisión holandesa había examinado esta trampa lógica y decidido: no construiremos un sistema que pueda terminar aquí. El papel es la póliza de seguro que hace que el resto sea verificable.

Noruega llega a una conclusión relacionada, desde un ángulo diferente

Holanda no fue el único país que se alejó de la votación electrónica después de examinarla de cerca.

Noruega realizó pruebas de votación por internet durante las elecciones locales de 2011 y las elecciones parlamentarias de 2013 en doce municipios —cuidadosamente, como suplemento a la votación en papel, solo durante el período de votación anticipada. Según el ministerio responsable, las pruebas piloto no llevaron a una mayor participación. El dividendo de conveniencia prometido no se materializó.

En 2014, el Ministerio Noruego de Gobierno Local y Modernización decidió descontinuar futuros proyectos piloto de votación por internet. El gobierno concluyó que, ante la falta de apoyo político amplio para la votación por internet y dadas las preguntas sin resolver sobre si los votos podrían verificarse como fueron emitidos, sería inapropiado gastar más tiempo y dinero en pruebas piloto adicionales.

Esa frase —preguntas sin resolver sobre si los votos podrían verificarse como fueron emitidos— está haciendo un gran trabajo. Noruega no es un país con instituciones frágiles o un historial de elecciones controvertidas. Realizó las pruebas piloto cuidadosamente, evaluó los resultados honestamente, y concluyó que si no se puede garantizar la confianza de que cada voto se cuente como fue emitido, el canal no vale el costo.

Nota qué tienen en común Noruega y Holanda: ambas tomaron sus decisiones a través de procesos públicos transparentes, basadas en la verificabilidad como un requisito innegociable. Ninguna respondía al fraude. Ambas respondían a la imposibilidad de verificar que no había ocurrido fraude —que, resulta, es el mismo problema.

La máquina que no podía ser sorprendida mintiendo

Para tener una idea de qué significa "no verificable" en su extremo más grave, considera lo que investigadores de Princeton demostraron en 2006. Trabajando con una máquina touchscreen Diebold AccuVote-TS real —entonces entre las más ampliamente implementadas en Estados Unidos— Ariel Feldman, J. Alex Halderman, y Edward Felten mostraron que un atacante con aproximadamente un minuto de acceso físico podría instalar código malicioso que robaría votos, alteraría todos los registros y contadores para mantenerse internamente consistentes, y se propagaría automáticamente a otras máquinas a través de la actividad electoral normal.

La máquina no se vería rota. Produciría un recuento. El recuento sería internamente coherente. Nada en los registros propios de la máquina señalaría un problema.

Lo único que podría atraparlo sería un registro de papel verificado por el votante que la máquina no controla —algo que la máquina no puede alterar para que coincida con su propio fraude. AccuVote-TS no producía uno.

Eso es lo que la comisión holandesa significaba por "no hay secretos en el proceso electoral". Si el registro que prueba el recuento es producido y almacenado enteramente por la máquina siendo auditada, no es una auditoría. Es la máquina verificando sus propias tareas.

"Lo contamos a mano" es una tranquilidad, no una prueba —a menos que el papel esté allí

Los defensores de los sistemas electrónicos a menudo señalan las auditorías: recuentos manuales, revisiones posteriores a la elección, auditorías de riesgo limitado. Estas son mejoras reales. Colorado realizó la primera auditoría de riesgo limitado en todo el estado en 2017. Georgia contó a mano aproximadamente cinco millones de papeletas presidenciales en 2020, con la variación entre el recuento de máquina y el recuento manual siendo aproximadamente una décima parte de uno por ciento.

Pero cada uno de estos métodos de auditoría depende de la misma cosa: un registro de papel duradero que la máquina no controló exclusivamente. No puedes contar a mano lo que nunca fue impreso. No puedes auditar una tarjeta de memoria contra sí misma.

El recuento manual de Georgia funcionó porque Georgia tenía papeletas de papel marcadas por votantes. El recuento manual confirmó el recuento de máquina porque había algo independiente para comparar.

Sarasota 2006 no tenía tal comparación. El Distrito 13 de Florida tenía un margen de 369 votos, 18,000 votos insuficientes inexplicables, y nada para recontar. La opción de auditoría no estaba disponible. Había sido diseñada fuera del sistema.

Holanda examinó esto e hizo una opción: papel primero, siempre, porque sin eso la opción de auditoría que podrías desesperadamente necesitar no existe.

Hay una complicación adicional que vale la pena nombrar directamente. Incluso los recuentos manuales conllevan un error humano irreducible. La auditoría manual de diciembre de 2020 en el Condado de Antrim, Michigan —un condado pequeño, aproximadamente 15,700 papeletas— produjo un recuento final que aún difería del recuento de máquina en alrededor de una docena de votos. No miles. Doce. En una auditoría de condado de bajo riesgo que confirmó un resultado inequívoco, ese margen es inofensivo.

En una carrera decidida por un puñado de votos, un método que en sí mismo está desviado por un puñado de votos no puede resolver la pregunta. "El recuento manual lo confirmó" es una tranquilidad. No es prueba. Lo único que convierte la tranquilidad en prueba es un sistema donde cualquiera —no solo los funcionarios que conducen la auditoría— puede verificar independientemente los registros subyacentes contra una cadena de custodia a prueba de manipulaciones.

Esa es la brecha que Holanda decidió que no podía permitirse vivir. Papel más un recuento manual es mejor que una caja negra. Pero papel más un recuento manual más un conjunto de registros criptográficamente verificables que cualquiera puede verificar es aún mejor.

El argumento más profundo: reemplaza la confianza con verificabilidad

Cada país que se ha alejado de la tecnología de votación opaca ha hecho la misma observación, generalmente después de una crisis: el problema no es que las máquinas definitivamente estén equivocadas. El problema es que no puedes saber de ninguna manera.

La Corte Constitucional Alemana dijo esto en 2009, anulando el uso de máquinas Nedap en la elección federal de 2005. Una elección cuya corrección se basa en software oculto falla la prueba de verificabilidad pública sin importar si la manipulación nunca es probada.

La Corte Constitucional Austriaca anuló la segunda vuelta presidencial de 2016 no porque se probara fraude —no fue así— sino porque la cadena de custodia de las papeletas por correo había sido rota de una manera que hizo imposible descartar el fraude. La lógica de la Corte: un resultado que nadie puede verificar no es un resultado digno de confianza, incluso si la persona correcta ganó.

La Corte Suprema de Kenia anuló una elección presidencial en 2017 porque la cadena digital de la mesa electoral al recuento nacional no pudo ser verificada contra registros de origen a prueba de manipulaciones. El recuento no pudo ser verificado. El resultado fue anulado.

El hilo conductor es siempre el mismo. No se trata de qué partido ganó. No se trata de probar fraude. Se trata de si el público —no los funcionarios, no el vendedor, no el Secretario de Estado— puede verificar independientemente el recuento. Cuando no pueden, el resultado se basa en la confianza en la autoridad que lo anuncia. Y la confianza que no puede ser probada no es confianza. Es deferencia.

La contribución duradera de la comisión holandesa fue insistir en la verificabilidad como un requisito previo, no como una característica adicional. El resultado: un país que aún vota con papel y lápiz, cuyas elecciones pueden ser observadas de papeleta a recuento final por cualquier ciudadano de pie en la sala, y cuyo gobierno no tiene que pedirte que tomes su palabra.

Lo que aún no puede ser verificado —y qué lo arreglería

Aquí está lo que aún no se resuelve, incluso en Holanda.

Las elecciones con papel contado a mano son verificables en un sentido fuerte: las papeletas son objetos físicos, observados por múltiples partes, y el recuento se ve en tiempo real. Pero el proceso aún se basa en que los humanos cuenten correctamente, en registros completos de cadena de custodia para cada papeleta, y en la suposición de que las papeletas entrando al recuento son las mismas que los votantes marcaron. Los errores de recuento humano, los registros incompletos de custodia, y la sustitución en última instancia siguen siendo posibles.

El modelo holandés es dramáticamente mejor que una máquina sin papel. No es criptográficamente comprobable en el sentido que los sistemas verificables de extremo a extremo basados en software aspiran a ser —sistemas donde cada votante puede confirmar independientemente que su papeleta fue incluida en el recuento final sin revelar cómo votó, y donde cualquier observador puede verificar el total sin ver las opciones de nadie.

Esa brecha importa más en carreras cerradas. En una carrera decidida por docenas de votos, un método que en sí mismo está desviado por un puñado de votos no puede resolver definitivamente quién ganó. Eso no es un argumento en contra del papel. Es un argumento a favor de agregar verificabilidad independiente y matemática encima del papel —para construir un sistema donde el público no tiene que confiar en el recuento, porque puede verificarlo ellos mismos.

El hecho verificable es esto: ahora mismo, en la mayoría de jurisdicciones, no hay tal verificación independiente disponible para ti. El recuento se publica. Un funcionario dice que es correcto. Un recuento puede o no estar disponible. El registro de auditoría subyacente puede o no ser publicado en una forma que puedas descargar y verificar.

Esa es la brecha de verificabilidad —y es cerrable. Lo que se necesita es publicar resultados a nivel de precinto instantáneamente, en forma legible por máquina, contra una cadena de custodia a prueba de manipulaciones que cualquier miembro del público puede conciliar independientemente. No pedirle al público que confíe en el recuento. Mostrarles el recuento, en una forma que puedan verificar.

Holanda se alejó de la máquina cuando no pudo responder la pregunta: ¿puedes probar que este recuento es correcto?

Esa pregunta aún está esperando una respuesta mejor que "confía en nosotros".

¿Curioso sobre qué tan común es la brecha de falta de papel globalmente? Ver la imagen completa en todas las jurisdicciones. ¿Quieres la versión de dos minutos de lo que significa verificabilidad en la práctica? Comienza aquí. O profundiza en cómo se ve un registro de auditoría real —y cómo no se ve— en nuestra página de brechas.

Fuentes

Ver todos los artículosExplora las brechas