← Todos los artículos

Cómo se sentiría realmente votar en una elección completamente verificable

¿Cómo se sentiría realmente votar en un sistema que pudieras verificar tú mismo — no confiando en un oficial, sino comprobando las matemáticas?

Es una mañana entre semana en Brasília, y un grupo de personas que no son funcionarios electorales reciben las llaves de la máquina.

No metafóricamente. Una investigadora calificada — una informática, una investigadora independiente, una ciudadana cuyo plan de prueba fue aprobado — está sentada frente a la urna eletrônica de Brasil, la máquina de votación electrónica utilizada por más de 150 millones de votantes. Se le ha indicado, oficial y por escrito, que intente romperla. El Tribunal Superior Eleitoral de Brasil ha publicado las reglas, abierto las puertas e invitado al público. Cualquier cosa que encuentre, el TSE se compromete a reparar antes de la próxima elección general.

Esta es la Teste Público de Segurança — la Prueba Pública de Seguridad — que Brasil ha realizado desde 2009. Se rige por la Resolución TSE 23.444/2015 y cubre todo el ciclo electoral: generación de materiales de voto, votación, escrutinio, transmisión de archivos y los sistemas de auditoría utilizados para verificar el conteo electrónico. Los hallazgos se utilizan para mejorar los sistemas. Las correcciones se revisan nuevamente en pruebas de confirmación antes de la elección. Sin cuartos cerrados. Sin la palabra del vendedor.

Podrías preguntarte: ¿qué tiene esto que ver contigo, el votante?

Todo.

Lo que "verificable" realmente se siente desde donde estás tú

La mayoría de los votantes experimentan una elección de la misma manera. Entras, marcas algo, te vas. Tal vez recibas una pegatina. Unos días después, alguien anuncia un ganador.

En ningún momento de esa secuencia puedes confirmar — personal, independientemente, sin llamar a una línea de ayuda o confiar en un comunicado de prensa — que tu voto fue contado, que fue contado correctamente, y que el total final refleja lo que todos los votantes en tu sección electoral realmente eligieron.

Eso no es paranoia. Es una descripción de cómo funciona casi todos los sistemas electorales existentes. El conteo ocurre en otro lugar, a algo que ya no posees, mediante un proceso que no puedes observar directamente.

La pregunta que una elección completamente verificable tiene que responder es: ¿qué tendría que ser verdad para que puedas verificarlo tú mismo, ahora mismo, con tus propios ojos?

Esa pregunta es más difícil de lo que parece. Y algunos lugares alrededor del mundo han comenzado a responderla concretamente.

La escena en Brasília, y lo que demuestra

La prueba de seguridad pública de Brasil no es un ejercicio de comunicado de prensa. Investigadores calificados presentan planes de prueba, obtienen acceso a los sistemas reales y ejecutan sus ataques bajo condiciones monitoreadas que abarcan todo el ciclo electoral. El TSE publica el programa y sus resultados. Es una revisión contradictoria institucionalizada — la autoridad electoral tratando sus propios sistemas como sospechosos hasta que forasteros hayan intentado romperlos.

Esto importa por una razón específica: cambia lo que significa "certificado".

En Irlanda en 2004, una comisión estatal no pudo recomendar un sistema de votación electrónica que el gobierno ya había pagado, porque no pudo satisfacerse independientemente de la exactitud y el secreto del sistema. El sistema nunca fue utilizado. En Alemania en 2009, la Corte Constitucional Federal dictaminó que la votación electrónica solo es legítima cuando los ciudadanos ordinarios — no solo expertos — pueden verificar los pasos esenciales del conteo sin conocimiento especializado. La propia comisión asesora del gobierno holandés concluyó el mismo año que no hay secretos en el proceso electoral y que cualquier método aceptable para la democracia debe producir resultados que sean respondibles y verificables por el público.

La certificación por una sola autoridad, una sola vez, antes del despliegue, no es lo que estos tribunales y comisiones pedían. Pedían algo continuo, abierto e independientemente verificable.

La prueba de Brasil, imperfecta como cualquier institución humana, apunta al objetivo correcto: invitas al público a atacar tu sistema, reparas lo que encuentren, y documentas todo. Eso no es confianza. Eso es verificación.

La experiencia concreta del votante: qué cambia cuando un sistema se construye de esta manera

Hagamos esto físico. Imagina la experiencia de votar en un sistema diseñado desde cero para la verificabilidad pública.

Llegas a un lugar de votación. Las máquinas que realizan el conteo se construyen con software de código abierto de propiedad pública — lo que significa que el código que cuenta tu voto no es un secreto comercial. Cualquiera puede leerlo, compilarlo y confirmar que la versión que se ejecuta hoy es la versión que fue inspeccionada. El Voting Solutions for All People (VSAP) del Condado de Los Ángeles — el primer sistema de conteo de votos de código abierto y propiedad pública certificado en California, certificado por el Secretario de Estado el 21 de agosto de 2018 — tomó exactamente este paso: el condado estableció un grupo de trabajo de código abierto para que expertos independientes pudieran inspeccionar lo que se estaba ejecutando, no solo tomar la palabra del vendedor.

Marcas tu papeleta. En un sistema bien diseñado, el objeto que marcas es el objeto que se cuenta. No un código QR que solo una máquina pueda leer — un tribunal federal en Georgia encontró en 2020 que los dispositivos de marcación de papeletas de Georgia se basaban en un código de barras QR que el votante no puede leer ni verificar, lo que significa que el papel físico en realidad no era lo que se contaba. En un sistema verificable, lo que marcas y lo que se escanea son la misma cosa legible por humanos.

Depositas tu papeleta en una caja sellada con evidencia de manipulación. El número de sello se registra. Puedes anotarlo.

Tu sección electoral cuenta sus papeletas. El resultado — no solo el ganador, sino el desglose completo a nivel de sección electoral, en formato legible por máquina que cualquiera puede descargar — se publica en el momento en que es final. No agregado hacia arriba en un total del condado que aparece horas después sin respaldo granular. Los números de tu sección electoral, justo ahí, descargables, reconciliables por cualquier hoja de cálculo.

Después de la elección, una auditoría independiente extrae una muestra estadísticamente determinada de papeletas físicas y las compara con el conteo de la máquina. No porque se asuma fraude, sino porque así es como se confirma un resultado en lugar de solo anunciarlo. Colorado se convirtió en el primer estado en ejecutar una auditoría de limitación de riesgo a nivel estatal en 2017 — un método que dimensiona la verificación manual al margen de la carrera, dando un nivel de confianza estadística definido, no una verificación de porcentaje fijo que prueba casi nada en una contienda cerrada.

En cada paso, la cadena de custodia está documentada y es pública: quién selló la caja, quién la transportó, quién la abrió, quién fue testigo. La Corte Constitucional de Austria anuló una elección presidencial en 2016 — no porque se probara fraude, sino porque los sobres de voto ausente fueron abiertos y los votos contados por personas no autorizadas sin los testigos requeridos, en números que excedían el margen ganador. La cadena de custodia falló, y cuando falla, un resultado no puede ser confiable incluso si resulta ser correcto.

El número que puedes verificar tú mismo

Aquí está la versión de la noche electoral que la verificabilidad hace posible.

Tu sección electoral cierra a las 8 p.m. A las 8:45, la cinta de conteo manual del escáner óptico se publica en la pared del lugar de votación, de la manera que muchas jurisdicciones ya requieren. Unos minutos después — o esa misma noche — el resultado de la sección electoral se publica en línea en un archivo descargable.

Vuelves a casa. Abres un navegador. Descargas el archivo de resultados a nivel de sección electoral. Encuentras tu sección electoral. Verificas los números contra lo que viste publicado en el lugar de votación.

Coinciden.

Ahora verificas todas las secciones electorales en tu condado. Las sumas. Obtienes el total del condado. Lo verificas contra el total publicado del condado.

Coincide.

Cualquiera en el país puede hacer esto simultáneamente. Periodistas. Académicos. Contadores jubilados al azar. Voluntarios de partidos políticos. Un resultado que nadie puede alterar en privado porque miles de personas están observando la aritmética desde afuera es fundamentalmente diferente a un resultado que te piden que confíes.

La Comisión de Asistencia Electoral de EE.UU. ya insta a los funcionarios a que hagan que los resultados sean descargables en formatos comunes — .csv, .xml — y a que indiquen qué tipos de papeletas incluye cada informe. Idaho publica resultados a nivel de sección electoral con datos sin procesar descargables. Estos son los componentes básicos. La arquitectura no es ciencia ficción.

Lo que el código abierto realmente te compra — y lo que no

El VSAP del Condado de LA vale la pena examinar por un momento, porque demuestra tanto el poder como los límites del software de código abierto en las elecciones.

La propiedad pública del código fuente significa que el software que cuenta los votos puede ser inspeccionado por expertos independientes. Sin protección de secreto comercial. Sin "confiar en el vendedor". Cuando el sistema de votación propietario del Condado de Coffee, Georgia fue copiado y filtrado en enero de 2021 — un equipo de análisis forense se fue con el Sistema de Gestión Electoral, lectores de urnas, dispositivos de marcación de papeletas y el software de Dominion de todo el estado de Georgia — el episodio mostró exactamente cuán frágil es el secreto como estrategia de seguridad. Los secretos se filtran. El código abierto no necesita mantenerse en secreto; necesita ser correcto.

Pero el código abierto por sí solo no es suficiente. El sistema de votación por internet de Swiss Post tuvo su código fuente publicado en 2019. Los investigadores independientes Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague encontraron que la prueba de mezcla se basaba en un esquema de compromiso de puerta trasera — lo que significa que una autoridad que conociera los valores de la puerta trasera podría generar una prueba que pasara la verificación mientras realmente había alterado votos. El código era público. El defecto seguía estando ahí. Las autoridades suizas suspendieron el sistema.

El código abierto es necesario. No es suficiente. El código que se ejecuta el día de las elecciones también tiene que ser el código que fue inspeccionado — lo que requiere compilaciones reproducibles, controles de cadena de custodia para el software compilado, y confirmación independiente de que lo que está en la máquina coincide con lo que está en el repositorio.

Y más allá del software: la cadena de custodia física para cada papeleta, la independencia de los auditores, la granularidad pública de los resultados, y la existencia de un registro de papel duradero que la auditoría pueda verificar — todo esto es necesario. Deja afuera cualquiera de estos, y los piezas restantes no se suman a la verificabilidad.

Las partes que el votante aún no puede verificar hoy

Aquí es donde la honestidad intelectual requiere que dejemos de describir lo posible y comencemos a nombrar la brecha.

Incluso con código abierto, resultados públicos a nivel de sección electoral, papeletas de papel y auditorías estadísticas, la mayoría de los votantes en la mayoría de las elecciones hoy no pueden verificar independientemente lo siguiente:

Que el software que se ejecuta el día de las elecciones es el software que fue inspeccionado. Las compilaciones reproducibles — el proceso técnico de confirmar que un programa compilado coincide con el código fuente inspeccionado — aún no son una práctica estándar en la administración electoral en ningún lugar de Estados Unidos.

Que la papeleta de papel que marcaron fue la papeleta que entró en el conteo. Una auditoría de limitación de riesgo verifica una muestra estadística. El conteo manual de Georgia en 2020 de aproximadamente cinco millones de papeletas presidenciales — 41,881 lotes en menos de seis días — confirmó el total de la máquina dentro de aproximadamente una décima de uno por ciento. Eso es impresionante. Pero la auditoría forense de Windham, New Hampshire en 2021 encontró que una línea de pliegue y algo de polvo en una lente del escáner había contado mal cientos de papeletas marcadas válidamente, sin fraude, sin malware, y sin que nadie lo detectara hasta después. El error solo fue recuperable porque el papel existía y un conteo manual podía recuperar la intención del votante. La auditoría funcionó — pero requirió que alguien la ordenara. En la mayoría de las elecciones, nadie lo hace.

Que los resultados a nivel de sección electoral se publican rápidamente en formato legible por máquina. Muchas jurisdicciones aún no hacen esto. La EAC lo recomienda. Algunos estados lo hacen. La mayoría no, o lo hacen días después, o publican formatos que requieren herramientas especializadas para analizar.

Que la auditoría es independiente. Una auditoría realizada por los mismos funcionarios que realizaron la elección, verificando su propio trabajo, sin que ningún tercero independiente verifique el proceso, es una garantía — no una prueba. La Corte Constitucional de Alemania lo dijo claramente: si solo un experto designado por la autoridad puede verificar el conteo, no es una elección pública en ningún sentido constitucional significativo.

Lo que lo haría verificable por cualquiera — ahora mismo

La lista de verificación no es larga. Nada de esto requiere nueva tecnología que no exista.

Software de código abierto de propiedad pública, compilado reproduciblemente. Para que el código que cuenta votos sea el código que fue inspeccionado, verificable por cualquiera que tenga un compilador.

Papeletas marcadas a mano en papel como artefacto de registro. No un código QR. Lo que el votante toca es lo que se cuenta — y puede ser recontado, a mano, por cualquiera que tenga permiso para observar.

Resultados a nivel de sección electoral publicados la noche electoral en formatos legibles por máquina. Cada sección electoral. Cada tipo de papeleta. Descargable. Reconciliable. Para que el total del condado sea una suma que cualquiera pueda verificar independientemente.

Auditorías obligatorias e independientes de limitación de riesgo antes de la certificación. Dimensionadas al margen. Realizadas por auditores que no están empleados por la autoridad siendo auditada. Con resultados publicados completamente.

Una cadena de custodia documentada y pública para cada papeleta y cada tarjeta de memoria — desde el lugar de votación hasta el escrutinio hasta el archivo — para que la evidencia física pueda ser rastreada, y cualquier ruptura en la cadena sea inmediatamente visible.

Pruebas públicas contradictorias institucionalizadas del software y los sistemas, en un ciclo regular antes de cada elección. No porque la autoridad sea deshonesta. Porque una invitación a romper el sistema es la única forma de demostrar que no ha sido roto.

Brasil ejecuta la prueba. Los Ángeles abrió el código. Colorado construyó la auditoría. Ninguno de ellos hizo todo junto.

Un sistema de votación que puedes verificar no es un sistema en el que confías porque un oficial te lo dijo. Es un sistema cuya aritmética puedes verificar tú mismo, ahora mismo, con una hoja de cálculo y una descarga pública.

Ese sistema existe en piezas. Aún no existe completo. Las piezas no están clasificadas. Ni siquiera son caras. Lo que falta es la voluntad política para ensamblarlas — y la demanda pública para insistir en ello.

Ver cuán común es esta brecha en todos los países →

Lee la versión de 2 minutos del problema de la verificabilidad →

Explora la base de datos completa de brechas →

Fuentes

Ver todos los artículosExplora las brechas