← Todos los artículos

Lo 'público' en las elecciones públicas: una idea legal que vale la pena revivir

En 2009, el tribunal constitucional alemán dictaminó que si los ciudadanos ordinarios no pueden verificar el recuento de votos por sí mismos —sin necesidad de experiencia— realmente no se trata de una elección democrática.

Es la mañana del 3 de marzo de 2009, y ocho jueces en Karlsruhe acaban de emitir una sentencia que la mayoría de los administradores electorales del mundo nunca leerán —y probablemente deberían.

El caso ante el Tribunal Constitucional Federal Alemán era, en apariencia, una disputa técnica sobre máquinas de votación. Específicamente: las máquinas de votación electrónica Nedap utilizadas en las elecciones federales alemanas de 2005. Los críticos se habían quejado de que estas máquinas almacenaban los votos solo en memoria electrónica. Sin registro independiente. Sin forma de que un votante —o un observador electoral, o un periodista, o un ciudadano curioso que simplemente se presentara— pudiera mirar algo después del hecho y confirmar que el recuento era correcto.

El Tribunal estuvo de acuerdo. Y luego dijo algo que va mucho más profundo que las máquinas mismas.

Los pasos esenciales del proceso de votación y de la determinación del resultado deben poder ser examinados por el ciudadano de manera confiable y sin necesidad de conocimientos especializados sobre la materia.

Esa frase, de los casos unidos 2 BvC 3/07 y 2 BvC 4/07, no es una recomendación técnica. Es una declaración sobre lo que una elección es. No lo que debería aspirar a ser. Lo que debe ser, constitucionalmente, para contar como un acto democrático en absoluto.

Las máquinas no cumplieron esa prueba. Y así desaparecieron.

El principio es más antiguo que las máquinas

Es fácil leer la sentencia alemana como una historia sobre máquinas de votación —un drama pintoresco de principios de los 2000, ya resuelto. Eso sería un error.

El Tribunal no estaba realmente argumentando sobre máquinas Nedap. Estaba recuperando un principio que llamó la Öffentlichkeit der Wahl —la naturaleza pública de las elecciones— incrustado en los artículos 38, 20.1 y 20.2 de la Ley Fundamental de Alemania. La idea es esta: en una democracia, la soberanía pertenece al pueblo. El recuento que determina quién ejerce el poder en nombre del pueblo debe por lo tanto ser observable por el pueblo. No por sus delegados. No por expertos en los que tienen que confiar. Por ellos, directamente, con sus propios ojos.

Las papeletas de papel y las salas de conteo abiertas no fueron inventadas porque el papel sea romántico. Fueron inventadas porque cualquiera podía entrar, observar a un humano clasificar una pila de papeletas en montones, y ver un número escrito en un formulario. La cadena de custodia era, en principio, algo que un abuelo sin conocimientos técnicos podría seguir.

La votación electrónica rompió esa cadena. Y el Tribunal nombró exactamente por qué eso importa: cuando los pasos esenciales ocurren dentro de una caja cerrada que solo un ingeniero puede interrogar, el público ha sido excluido silenciosamente del proceso que se supone debe representarlo.

Esto no es un argumento en contra de la tecnología. Es un argumento a favor de lo que cualquier tecnología utilizada en elecciones debe entregar: resultados que el público pueda verificar independientemente, sin pedir permiso, sin necesidad de un título en informática.

Qué significa realmente 'verificable por el público'

Hagamos esto concreto. Porque 'verificabilidad pública' puede sonar como un lema hasta que preguntas qué requiere en la práctica.

Una votante entra en un colegio electoral. Marca una papeleta de papel. La papeleta entra en una urna cerrada. Al final del día, los trabajadores abren la urna, clasifican las papeletas, y escriben un número en un formulario que es firmado y pegado en la puerta del colegio electoral. Cualquier observador presente puede contar junto con ellos. Cualquier transeúnte puede fotografiar el resultado publicado.

Esa cadena —marcar, sellar, clasificar, publicar— es públicamente verificable en el sentido del tribunal alemán. Cada paso es humanamente observable. Ningún paso requiere confiar en un algoritmo propietario.

Ahora ejecuta el mismo escenario a través de una máquina de votación electrónica sin papel. La votante toca una pantalla. En algún lugar de la memoria de la máquina, un número cambia. Al final del día, un número se imprime en una cinta. ¿Puede la votante confirmar que su toque fue registrado correctamente? No. ¿Puede el observador electoral confirmar que la memoria contiene lo que dice la cinta? No. ¿Puede alguien —sin conocimientos especializados— retrazar algún paso esencial? No.

Los holandeses llegaron a la misma conclusión en 2007, cuando la comisión del gobierno publicó un informe llamado Stemmen met vertrouwen —"Votar con Confianza". Sus criterios para una elección legítima incluían controleerbaarheid: verificabilidad. No hay secretos en el proceso electoral. Las preguntas deben ser respondibles, y las respuestas verificables y comprobables. La comisión concluyó que las papeletas de papel contadas manualmente cumplían con este estándar. Los métodos electrónicos lo cumplirían solo si producían un registro de papel verificable por el votante. Los Países Bajos abandonaron sus máquinas de votación y han utilizado papeletas contadas a mano desde entonces.

Irlanda llegó a la misma pared desde un ángulo ligeramente diferente. Su Comisión independiente sobre Votación Electrónica examinó el sistema Nedap/Powervote que el gobierno había comprado —millones de euros en hardware, sentados listos en un almacén— y concluyó que no podía recomendar el uso del sistema propuesto. No porque hubiera probado que las máquinas estaban equivocadas. Porque no podía probar a su satisfacción que estaban correctas. La carga de demostración recae en el sistema, no en el escéptico.

Las dos direcciones en que la verificabilidad puede fallar

Hay dos formas distintas en que un sistema de votación puede ser no verificable, y es fácil confundirlas.

La primera es cuando no puedes verificar lo que la máquina registró. Este es el problema de Nedap. El problema del tribunal alemán. El problema del Condado de Sarasota, Florida, donde 18,000 votos desaparecieron en máquinas táctiles sin papel en una carrera decidida por 369, y la GAO no pudo encontrar ningún mal funcionamiento —pero tampoco tenía papel marcado por votante para examinar. La palabra de la máquina era la única palabra, y la máquina no podía ser cuestionada.

La segunda es cuando existe un registro de papel pero el artefacto realmente contado no es el que el votante puede leer. Esto es más sutil y más moderno. En 2020, un tribunal federal en Georgia examinó el sistema de máquina de marcado de papeletas de Dominion del estado. El testimonio de expertos, incluyendo del Profesor J. Alex Halderman, describió cómo las máquinas imprimen una papeleta de papel —que parece verificable— pero lo que se tabula realmente es un código QR en ese mismo papel. Un código QR que el votante no puede leer sin un dispositivo separado. El tribunal encontró que el sistema "no proporciona un registro de papeleta verificable y auditable porque depende del código QR para la tabulación de votos y ese código en sí no puede ser leído y verificado por el votante". El papel existía. La verificabilidad, en el sentido del tribunal alemán, no.

Un sistema cuyo registro de papel lleva un resumen legible por máquina que el votante no puede inspeccionar personalmente ha movido la opacidad del silicio a la tinta. El principio es el mismo: el paso que importa ocurre en algún lugar donde el ciudadano no puede seguir.

'La auditoría lo confirmó' no es lo mismo que 'podrías verificarlo'

Aquí es donde las garantías oficiales más consistentemente engañan.

Después de un recuento controvertido, las autoridades electorales rutinariamente anuncian que una auditoría ha confirmado el resultado. A veces esto es significativo. La auditoría estatal de Georgia en 2020 tomó la forma de un recuento manual completo de aproximadamente cinco millones de papeletas presidenciales —un ejercicio genuino y a gran escala de verificación de la salida de la máquina contra papeletas marcadas por votantes. La variación fue de aproximadamente una décima de uno por ciento. Eso es un punto de datos real.

Pero noten lo que lo hizo real: la existencia de papeletas marcadas por votantes que podrían ser re-examinadas por humanos, independientemente de las máquinas. El papel era la verificabilidad. El recuento manual solo fue posible porque el artefacto que el votante realmente tocó seguía existiendo y podía ser leído por cualquiera.

Ahora hagan una pregunta más difícil. En una jurisdicción que utiliza máquinas de marcado de papeletas con códigos QR ilegibles, ¿qué audita un "recuento manual"? Audita el registro de papel —que refleja la salida del código QR, no la marca independiente del votante. Si la máquina tradujo incorrectamente los toques en códigos QR, el papel es incorrecto, y el recuento manual reproduce fielmente la respuesta incorrecta.

'La auditoría lo confirmó' solo es significativo si lo que se audita es algo que un votante marcó independientemente —no algo que una máquina produjo en su nombre.

Y "el Secretario de Estado dice que la auditoría lo confirmó" no es prueba de nada. Es una afirmación. La pregunta siempre es: ¿puedes verificarlo tú mismo, sin confiar en la persona que hace la afirmación?

Lo que realmente requieren los primeros principios

Retrocede de los casos individuales y las tecnologías específicas y pregunta qué debe tener una elección legítimamente pública, si el principio del tribunal alemán se toma en serio.

Primero: cada votante debe poder confirmar, con sus propios sentidos, que sus opciones fueron registradas como tenía la intención. No confiando en la pantalla de una máquina. No tomando la palabra de un vendedor. Inspeccionando un artefacto legible por humanos que ellos mismos crearon —una papeleta marcada en papel que pueden leer antes de que salga de sus manos.

Segundo: el artefacto que el votante marca debe ser el mismo artefacto que se cuenta. No una traducción producida por máquina de ese artefacto. No un código de barras derivado de él. La cosa misma, o una copia transparente y legible por humanos de ella.

Tercero: cualquiera —sin conocimientos especializados— debe poder observar el proceso por el cual artefactos individuales se agregan en un total final. En un recuento manual, esto es visible en la sala. En un recuento de máquina, requiere que el software que realiza la agregación sea publicado y verificable independientemente, y que la salida de la máquina sea verificable contra los artefactos físicos.

Cuarto: el resultado publicado debe ser lo suficientemente granular para que cualquier observador pueda hacer su propia aritmética. Totales a nivel de precinto, disponibles en formato legible por máquina, desde el momento en que son finales. No porque los observadores desconfíen de los funcionarios, sino porque la capacidad de verificar independientemente es lo que hace que la confianza sea racional en lugar de obligatoria.

Estas no son demandas utópicas. Las papeletas de papel, conteos abiertos, totales de precintos publicados, y auditorías de limitación de riesgos publicadas ya las entregan en la mayoría de las jurisdicciones que han elegido implementarlas. Colorado ejecutó la primera auditoría de limitación de riesgos a nivel estatal en 2017. El método no es exótico: muestrea papeletas estadísticamente, verificando más de ellas cuando una carrera es más cerrada, hasta que la probabilidad de haber perdido un resultado incorrecto cae por debajo de un umbral definido. El público puede inspeccionar la metodología. El papel puede ser re-examinado.

Lo que ninguna jurisdicción ha entregado completamente —aún— es un sistema en el que la prueba criptográfica de un recuento correcto sea publicada y verificable por cualquier miembro del público sin confiar en ningún funcionario o vendedor. Eso sería el principio del tribunal alemán completamente realizado en software: no papel en una pared, sino un registro matemático que cualquiera pueda verificar con herramientas abiertas, sin necesidad de asistir al recuento en persona o solicitar una copia a una autoridad.

El villano no es una máquina. Es la opacidad.

Es importante ser preciso aquí, porque la sentencia alemana se malinterpreta en dos direcciones.

Un malentendido es que es un voto en contra de la votación electrónica. No lo es. El Tribunal no dijo que la votación electrónica sea inconstitucional. Dijo que la votación electrónica es inconstitucional cuando los ciudadanos ordinarios no pueden verificar los pasos esenciales. Un sistema con papeletas marcadas por votantes, agregación auditable públicamente, y resultados publicados a nivel de precinto satisfaría el principio tan bien como papel contado manualmente —posiblemente mejor, si la verificabilidad criptográfica es lo suficientemente rigurosa.

El segundo malentendido es que es un voto a favor de cualquier alternativa específica. No lo es tampoco. Cambiar de un sistema no verificable a uno diferente no verificable no logra nada. Los Países Bajos volvieron al papel —pero un recuento de papel que ocurre tras puertas cerradas, con resultados reportados solo en agregado, sin datos de precinto legibles por máquina disponibles para reconciliación independiente, seguiría sin cumplir el principio. La forma no importa. La verificabilidad sí.

El villano en cada caso en este archivo —la RDC en 2011, donde la misión de observación de la UE encontró resultados compilados sin visibilidad pública; Venezuela en 2017, donde incluso el vendedor del sistema de votación rechazó la asistencia anunciada; Malawi en 2020, donde las hojas de conteo habían sido sobrescritas con corrector líquido— no es una tecnología particular. Es la opacidad. La eliminación sistemática del recuento de la capacidad de cualquiera de verificarlo independientemente.

Y las garantías oficiales no disuelven la opacidad. Agregan una capa encima.

Lo que aún no es verificable —y qué lo arreglaría

Aquí está lo que sigue siendo verdad, independientemente de lo que digan los funcionarios, en la mayoría de las elecciones del mundo en este momento.

El software que agrega resultados de precintos en un total de condado o nacional es propietario en la mayoría de las jurisdicciones, inspeccionado por nadie fuera del vendedor y el laboratorio de certificación. Los hallazgos del laboratorio de certificación rara vez son públicos en su totalidad. La cadena desde una papeleta individual a un total final pasa por múltiples pasos —escaneo, tabulación, carga, escrutinio— que no son verificables individualmente por ningún miembro del público.

En jurisdicciones que usan máquinas de marcado de papeletas en lugar de papel marcado manualmente por votantes, el artefacto que se cuenta es producido por software que el votante no puede inspeccionar.

En jurisdicciones sin auditorías de limitación de riesgos, el recuento de máquina se verifica mediante una verificación de punto de porcentaje fijo que no proporciona garantía estadística sobre carreras cercanas.

En jurisdicciones sin resultados a nivel de precinto legibles por máquina publicados en tiempo real, el público no tiene forma de hacer aritmética independiente contra el total oficial.

El tribunal alemán trazó la línea claramente en 2009. Un resultado que solo un experto puede verificar no es un resultado democráticamente legítimo. Esa línea aún no ha sido cruzada —en la dirección de la verificabilidad pública completa— por la mayoría de los sistemas en uso hoy.

¿Qué la cruzaría? Papeletas marcadas por votantes, contadas o escaneadas en público, con un registro a nivel de precinto publicado inmediatamente y descargable en un formato que cualquier hoja de cálculo pueda abrir. Una auditoría de limitación de riesgos de cada contienda cercana, con las papeletas muestreadas y sus totales leídos manualmente publicados. Y, para los criptográficamente ambiciosos: un sistema verificable de extremo a extremo en el cual cada votante puede confirmar que su papeleta fue incluida en el total final, y cualquier observador puede verificar la integridad matemática de la tabulación, sin confiar en ninguna autoridad única.

Ese último elemento es técnicamente factible. Suiza intentó implementarlo y encontró una trampa en la criptografía —pero la encontró precisamente porque investigadores independientes pudieron inspeccionar el código publicado. La trampa fue parcheada. Eso es el resultado correcto: el escrutinio público encontró una falla que la certificación privada había perdido. La respuesta a un sistema de verificabilidad criptográfica defectuoso no es abandonar la verificabilidad. Es mantener el código público hasta que la falla desaparezca.

El principio del tribunal alemán no está satisfecho hasta que cada paso esencial sea verificable por cada ciudadano que elija mirar.

La mayoría de las elecciones, en este momento, no están ahí.

Ve cómo esta brecha aparece en sistemas electorales en todo el mundo →

Lee la versión de dos minutos de por qué la verificabilidad importa →

Explora casos documentados de elecciones no verificables →

Fuentes

Ver todos los artículosExplora las brechas