← Todos los artículos

La máquina de votación sin papel: una transacción sin recibo con la democracia

En el Condado de Sarasota en 2006, 18,000 votos desaparecieron en máquinas que no dejaron nada para recontar. Un tribunal federal en 2020 encontró el mismo problema con un disfraz más nuevo.

En algún lugar de una sección electoral de Florida en noviembre de 2006, un votante toca una pantalla, observa la página de resumen y presiona "Emitir voto". La máquina suena. Un contador se incrementa en algún lugar de la memoria. Y luego — nada. Sin papel. Sin comprobante. Sin prueba independientemente verificable de que el voto que la máquina acaba de registrar es el voto que el votante realmente intentaba emitir.

Ese momento se repitió 18,412 veces solo en el Condado de Sarasota.

La carrera que afectó — el Distrito Congresional 13 de Florida — fue decidida por 369 votos. Y porque cada máquina en el Condado de Sarasota era una pantalla táctil ES&S iVotronic sin papel, no había nada en la tierra para recontar. Ni un comprobante, ni un papel, ni un rollo de papel térmico detrás de un panel cerrado. Solo un número dentro de una caja, y la palabra de la caja.

Esa es la ilustración más clara posible del problema del que trata este artículo. Pero no es la versión más peligrosa. La versión más peligrosa llegó catorce años después, e implicó papel.

El recibo que no significa lo que crees

Existe una suposición común en las discusiones sobre tecnología de votación: si una máquina imprime algo, el problema de la verificabilidad está resuelto. Existe papel. Recontar.

Esa suposición es incorrecta, y un tribunal federal en Atlanta lo dijo con una franqueza inusual.

El 11 de octubre de 2020, la Jueza Federal Amy Totenberg emitió una opinión en Curling v. Raffensperger examinando el sistema de dispositivo de marcado de boletas Dominion de Georgia — las máquinas que reemplazaron las pantallas táctiles sin papel antiguas de Georgia. El nuevo sistema produce un papel. Un votante se acerca al BMD, realiza sus selecciones en una pantalla táctil, y la máquina imprime una boleta. Esa boleta se alimenta entonces en un tabulador para ser contada.

Pero esto es lo que el tribunal encontró: la boleta que la máquina imprime contiene un código QR, y ese código QR es lo que el tabulador realmente lee para determinar el voto. El texto legible por humanos en la boleta impresa — los nombres de los candidatos — no es lo que se cuenta. El código de barras es.

Las propias palabras del tribunal: el sistema "no proporciona un registro de boleta verificable y auditable porque se basa en el código QR para el recuento de votos y ese código en sí no puede ser leído y verificado por el votante."

No puedes leer un código QR con tus ojos. Casi con certeza no lo intentaste. Entonces, cuando revisaste tu resumen de boleta impresa en la sección electoral y presionaste confirmar, verificaste el texto legible por humanos — y aceptaste la palabra de la máquina sobre lo que codificó en el código de barras.

Esto no es una preocupación teórica. El tribunal citó el testimonio de expertos del Dr. J. Alex Halderman describiendo la viabilidad práctica de un ciberataque que podría alterar los códigos QR — intercambiando o eliminando votos — mientras deja el resumen legible por humanos sin cambios. Verías los nombres de los candidatos correctos. El código de barras diría otra cosa. El tabulador contaría el código de barras.

El tribunal también citó la conclusión de 2018 de las Academias Nacionales de que no existe actualmente ningún mecanismo técnico que garantice que una aplicación de recuento de votos produzca resultados precisos y que las pruebas solas no pueden garantizar que los sistemas no hayan sido comprometidos.

El tribunal finalmente rechazó ordenar un alivio de último momento — la elección de 2020 estaba a pocas semanas, y cambiar de métodos de votación a mitad de campaña conlleva sus propios riesgos. Eso es un juicio defendible bajo presión de tiempo imposible. Pero el hallazgo se mantiene independientemente: Georgia tenía papel, y el papel no era verificable por el votante.

Esta es la versión mejorada del problema de Sarasota. Sarasota no tenía papel en absoluto. Georgia tenía papel que decía una cosa mientras el registro contado decía otra.

Por qué "sin papel" es el piso, no el techo

Para entender por qué estos dos casos forman un argumento único, comienza con lo que una auditoría realmente requiere.

Cuando los funcionarios electorales o los tribunales quieren verificar un recuento de máquina, necesitan dos artefactos independientes: la salida de la máquina, y algo que el votante mismo confirmó que era correcto. Si esas dos cosas coinciden, tienes corroboración. Si divergen, tienes un problema que vale la pena investigar. Si solo existe un artefacto — la salida de la máquina — no hay nada para corroborar. Estás auditando la respuesta de la máquina preguntándole a la máquina.

En Sarasota, el iVotronic sin papel produjo un único artefacto. Cuando surgieron preguntas sobre la tasa de voto en blanco del 13% — mucho más alta que los condados adyacentes que usaban boletas de papel — la Oficina de Responsabilidad del Gobierno de los EE.UU. realizó pruebas en las máquinas. Esas pruebas no encontraron un mal funcionamiento que explicara el voto en blanco, mientras notaban explícitamente que una pista de papel verificada por votante podría haber proporcionado confirmación independiente de que las pantallas táctiles registraron votos correctamente. La GAO no estaba diciendo que las máquinas funcionaran mal. Estaba diciendo que nadie podía probar que no lo hicieran, porque no había nada para verificar.

Eso no es un certificado limpio de salud. Eso es una confesión de inverificabilidad.

En Georgia, el problema del artefacto es más sutil. La boleta impresa existe, pero la porción legible por votante y la porción legible por máquina no son el mismo registro. Un votante puede confirmar el texto humano. Un tabulador lee el código de barras. Estos son dos codificaciones diferentes de (supuestamente) los mismos datos, generados por una máquina cuyo software el votante no puede inspeccionar y cuya salida el votante no puede verificar de forma independiente. Una auditoría de las boletas de papel de Georgia es técnicamente una auditoría de los códigos de barras — confirmando que los códigos de barras fueron tabulados consistentemente, no que fueron generados correctamente en primer lugar.

Una pista de papel es solo una herramienta de verificación si el artefacto que verificas es el mismo artefacto que el votante confirmó.

Cómo se ve realmente la verificación independiente

El contraste es instructivo. El recuento manual estatal de Georgia en 2020 — aproximadamente cinco millones de boletas presidenciales, contadas manualmente en 159 condados en menos de seis días — fue significativo y valioso precisamente porque confirmó el recuento de máquina a menos del una décima de un por ciento. Ese recuento manual es el caso más sólido para boletas de papel que alguien podría hacer: cuando existe un registro real y duradero, una carrera cerrada puede ser verificada independientemente a gran escala.

Pero nota lo que lo hizo funcionar. Georgia también estaba usando boletas de papel marcadas a mano para muchos votantes junto con el sistema BMD. Las boletas marcadas a mano en la carrera de 2020 de Georgia fueron verificadas por votante en el sentido más verdadero: el votante puso pluma en papel, circuló un nombre o rellenó un óvalo, y el papel marcado fue directamente a una caja sellada. Sin codificación intermedia. Sin código QR. La marca humana es el registro.

El recuento manual funcionó porque existía un artefacto genuinamente segundo — intención del votante, expresada directamente en papel — que podía ser comparado con el recuento de máquina. Cuando los dos se alineaban, la confianza era justificada.

Colorado proporciona otro modelo. Cuando Colorado se convirtió en el primer estado en completar una auditoría de limitación de riesgo a nivel estatal en noviembre de 2017, funcionó por la misma razón: las boletas de papel marcadas a mano dieron a los auditores algo contra lo cual verificar las máquinas. Una RLA no solo hace una verificación de muestra de un porcentaje fijo de boletas. Ajusta el tamaño de muestra basándose en el margen — exigiendo más verificación manual en carreras cerradas y menos en las lopsidadas, calibrado a un nivel de confianza estadística establecido. En una carrera decidida por cientos de votos, examina suficientes boletas para decir, con probabilidad definida, si el resultado de la máquina es correcto.

Esa es una herramienta poderosa. También depende completamente de que la pista de papel sea confiable — de que el registro en la caja de boletas sellada sea lo que el votante realmente intentó, no una codificación producida por una máquina que el votante no podría inspeccionar.

El estándar alemán, y por qué EE.UU. sigue sin alcanzarlo

En marzo de 2009, ocho jueces en Karlsruhe resolvieron una pregunta que probablemente debería haberse resuelto antes de que las computadoras de votación se implementaran en cualquier lugar: ¿cuándo satisface un sistema de conteo electrónico los requisitos de una elección democrática?

La respuesta de la Corte Constitucional Federal Alemana fue directa. La votación electrónica es constitucional solo cuando "los pasos esenciales de la votación y de la determinación del resultado pueden ser examinados por el ciudadano de forma fiable y sin ningún conocimiento especializado." Las máquinas Nedap utilizadas en la elección federal alemana de 2005 no pasaron esta prueba. Almacenaban votos en memoria electrónica sin un registro independientemente verificable que un votante pudiera verificar. El tribunal declaró la Ordenanza Federal de Máquinas de Votación inconstitucional.

Nota lo que el tribunal no dijo. No dijo que las máquinas funcionaran mal. No dijo que los votos hubieran sido cambiados. Dijo que un sistema cuya corrección depende de confiar en software oculto falla la prueba de verificabilidad pública independientemente de si el sabotaje alguna vez se prueba.

La Comisión Asesora de Procesos Electorales del gobierno holandés llegó al mismo lugar en 2007, en su informe "Stemmen met vertrouwen" ("Votando con confianza"). La comisión fue contundente: "no hay secretos en el proceso electoral." La transparencia y verificabilidad eran innegociables. Cualquier método electrónico era aceptable solo si producía un voto en papel que el votante pudiera confirmar. Los Países Bajos volvieron al papel y al conteo manual.

La Comisión de Votación Electrónica de Irlanda, revisando las máquinas Nedap/Powervote que el gobierno ya había comprado, concluyó algo más sutil pero igualmente importante: no estaba haciendo un hallazgo de que el sistema no funcionaría. Estaba haciendo un hallazgo de que el sistema no había sido probado para funcionar a la satisfacción de la comisión. Cuando la precisión y el secreto no pueden ser verificados de forma independiente, el defecto correcto no es el despliegue.

Estos son tres países independientes llegando a la misma posición: la carga de la prueba corre en una dirección. Un sistema de votación debe probar a ciudadanos ordinarios que funciona correctamente — no pedirles a los ciudadanos que confíen en la palabra del fabricante o en la certificación del gobierno.

Aplica ese estándar a Sarasota. Aplícalo a los BMD codificados con QR en Curling. El estándar no se cumple.

El problema irreductible con "confía en los funcionarios"

Existe una versión de la respuesta a todo esto que suena razonable: los funcionarios electorales revisaron los sistemas. Los vendedores los certificaron. Los auditores los probaron. Nada se encontró.

Este es el argumento que colapsa bajo su propio peso, y la declaración "elección más segura en la historia estadounidense" de CISA de noviembre de 2020 es en realidad el ejemplo más claro de por qué.

Esa declaración — emitida por funcionarios serios y con carrera — declaró que no había "evidencia de que ningún sistema de votación eliminara o perdiera votos, cambiara votos, o fue comprometido de forma alguna." Citó explícitamente registros de papel y la capacidad de recontar y auditar como la base de su confianza.

Lee eso de nuevo. El propio argumento de la declaración para la confiabilidad fue: tenemos registros de papel que permiten recuentos y auditorías. Los funcionarios que certificaron la elección como segura fundamentaron esa certificación en la existencia de papel independientemente verificable. No estaban diciendo "confía en el software." Estaban diciendo "confía en la auditoría de papel."

Lo que significa que la pregunta para cualquier sistema — los iVotronics de Sarasota, los BMD codificados con QR de Georgia, cualquier DRE sin papel en cualquier lugar — es exactamente la que los funcionarios mismos tendrían que hacer: ¿dónde está el registro independientemente verificable?

Cuando no lo hay, "la auditoría lo confirmó" es una afirmación circular. Cuando el registro de papel no puede ser leído por el votante, "recontamos el papel" confirma solo que los códigos de barras fueron tabulados consistentemente, no que fueron generados correctamente. Cuando el recuento manual difiere del recuento de máquina por una docena de votos en una carrera decidida por docenas de votos — como sucedió en la auditoría del Condado de Antrim, Michigan — "el recuento manual lo confirmó" es una tranquilidad que conlleva su propio margen de error.

La GAO encontró en 2005 que los esfuerzos federales para mejorar la seguridad del sistema de votación estaban en curso pero que actividades clave seguían incompletas. Esa no fue la conclusión de un crítico partidista. Fue la conclusión de auditores federales con carrera. Y la brecha que identificaron — la distancia entre "certificado" y "verificable por el público" — no se ha cerrado completamente en las dos décadas desde entonces.

La solución es específica, no simbólica

Nada de esto es un argumento para la desconfianza como condición permanente. Es un argumento para lo que reemplazaría la desconfianza con algo mejor.

La solución tiene dos componentes, y ambos son necesarios.

El primero es un registro duradero verificado por votante — no un resumen generado por máquina que el votante confirma en una pantalla, y no un código de barras que el votante no puede leer. Una boleta de papel marcada a mano, o un dispositivo de marcado de boleta que produce un registro de papel legible por humanos donde el texto legible por humanos es lo que se cuenta y tabula, y el votante lo confirma antes de que salga de sus manos. El registro que el votante verifica debe ser el registro que se audita. Los Países Bajos, Alemania e Irlanda llegaron a esta conclusión a través de comisiones de política y cortes constitucionales. Colorado y el recuento manual de Georgia de 2020 demuestran que funciona en la práctica.

El segundo es verificación independiente y adversarial — no una certificación previa a las elecciones por una única autoridad, sino un escrutinio público continuo. La autoridad electoral de Brasil invita a miembros calificados del público a intentar romper sus máquinas de votación antes de cada elección general. El proyecto piloto de votación por internet de Washington D.C. en 2010 fue abandonado porque ese tipo de pruebas abiertas funcionó: un equipo de la Universidad de Michigan comprometió el sistema en aproximadamente 48 horas, cambiando boletas, leyendo votos, y demostrando el ataque a los funcionarios. El ataque fue atrapado porque el sistema estaba abierto a pruebas, no porque un organismo de certificación lo hubiera aprobado.

La Corte Suprema de India, en su fallo de abril de 2024 sobre máquinas de votación electrónicas, rechazó desmantelar completamente el sistema EVM del país — pero apretó las reglas alrededor de la verificación de papel, el almacenamiento sellado de unidades de carga de símbolos, y la verificación de microcontrolador solicitada por candidatos. Incluso una corte que respalda un sistema electrónico apretó las partes independientemente verificables.

La línea común no es papel por su propio bien. Es un registro que el votante confirmó, preservado en forma a prueba de manipulaciones, auditable por cualquiera con las reglas de acceso, verificado por partes independientes que no son los funcionarios anunciando el resultado.

Eso es verificabilidad. Un funcionario diciendo "estaba bien" no lo es.

Lo que permanece inverificable — y qué lo cambiaría

Aquí está la conclusión honesta, expresada tan claramente como sea posible.

En cualquier jurisdicción que usó máquinas DRE sin papel — cada voto emitido en un iVotronic, cada Diebold AccuVote-TS, cualquier máquina que almacenó votos en memoria electrónica sin un registro de papel verificado por votante — el recuento no puede ser confirmado de forma independiente. Ahora no. Nunca. Los 18,412 votos en blanco en el Condado de Sarasota permanecen sin explicación. Pueden haber sido opciones de votantes. Pueden haber sido un error de software. No hay forma de saberlo, porque no hay nada para verificar.

En cualquier jurisdicción donde los dispositivos de marcado de boleta producen códigos QR que los votantes no pueden leer, el recuento tabulado es una auditoría de la codificación de la máquina, no una auditoría de la intención del votante. El texto legible por humanos y el código de barras escaneado pueden estar en completo acuerdo, o no. Sin un recuento manual paralelo del texto legible por humanos — no el código de barras — no hay verificación independiente.

¿Qué cambiaría esto?

Resultados a nivel de sección electoral, publicados en el momento en que cada sección electoral cierra, en formatos legibles por máquina que cualquiera puede descargar y verificar contra los totales reportados por funcionarios. Un registro de papel verificable por votante, retenido y auditable, donde lo que se cuenta es lo que el votante leyó y confirmó. Pruebas públicas adversariales de los sistemas antes de que se ejecuten en elecciones reales. Auditorías de limitación de riesgo que están dimensionadas al margen, no a un nivel de comodidad política.

Ninguno de estos requiere confiar en ningún funcionario, ningún vendedor, o ningún partido político. Ese es el punto. La solución para "confía en nosotros" es un sistema diseñado para que no tengas que hacerlo.

Hasta entonces, el sonido de una pantalla táctil sin papel es una transacción sin recibo con la democracia. Presionaste el botón. Algo pasó. Solo tendrás que aceptar su palabra al respecto.

Mira qué tan común es la brecha 'sin papel para recontar' en todo el mundo →

Lee la versión de 2 minutos de este problema →

Explora brechas de verificabilidad específicas por sistema y jurisdicción →

Fuentes

Ver todos los artículosExplora las brechas