← Todos los artículos

"Verificable" es una palabra que los políticos adoran. Esto es lo que realmente debe significar.

La Corte Suprema de Kenia anuló una elección presidencial no porque se probara fraude, sino porque nadie —ni un juez, ni un periodista, ni un votante ordinario— podía verificar de forma independiente cómo se construyó el resultado.

Es la mañana del 1 de septiembre de 2017, y seis jueces en Nairobi acaban de dividirse cuatro a dos sobre una pregunta que resonará en tribunales desde Malaui hasta Alemania hasta tu sala: cuando no puedes rastrear un voto desde la casilla de votación hasta el recuento nacional, ¿tienes realmente una elección?

El ganador declarado de la elección presidencial de Kenia del 8 de agosto fue Uhuru Kenyatta, con aproximadamente el 54 por ciento de los votos. Pero la Corte Suprema no anuló el resultado porque los números fueran incorrectos. Lo anuló porque nadie podía verificar si los números eran correctos. El Formulario 34A —la hoja de resultados a nivel de casilla que la constitución requería fuera transmitida electrónicamente al centro de recuento nacional— no había llegado completo como se requería. La forma de recuento final no llevaba marca de agua, no tenía número de serie. El presidente de la comisión electoral había declarado un ganador antes de recibir todos los documentos subyacentes. La cadena del voto individual al total nacional tenía eslabones rotos, y en una democracia constitucional, los eslabones rotos no son un inconveniente técnico. Son el problema completo.

"La elección no se realizó en conformidad con la Constitución", escribió la mayoría en sus razones completas, emitidas el 20 de septiembre. El requisito: que la votación sea simple, precisa, verificable, segura, responsable y transparente. No confiable. No certificada. Verificable.

Esa palabra —verificable— está haciendo un trabajo enorme en esa oración. Los políticos la usan constantemente, y casi nunca la definen. Los tribunales, resulta, tienen que hacerlo.

Lo que un tribunal entiende por "verificable"

La Corte Suprema de Kenia estaba interpretando el Artículo 86 de la constitución de Kenia, que establece esas seis propiedades como requisitos —no aspiraciones, requisitos. Pero la contribución más profunda de la sentencia es lo que implica sobre el contenido de la palabra.

Verificable no es lo mismo que verificado por alguien en quien confías. No es lo mismo que nuestros auditores lo revisaron. Significa: cualquier persona, no solo un experto, puede rastrear los pasos esenciales —desde el voto en la urna hasta el número en el recuento— y confirmar que coinciden. Una cadena ininterrumpida, verificable de forma independiente. Cada eslabón público, documentado, a prueba de manipulaciones.

El sistema keniano falló en múltiples eslabones simultáneamente. Los formularios no fueron transmitidos como se requería. Los formularios que llegaron carecían de características de seguridad consistentes. La agregación final ocurrió antes de que se hubieran recibido los documentos fuente que se suponía que reflejaba. Nada de esto significa que los votos fueran robados. La Corte explícitamente no encontró que ocurriera fraude. Pero la estructura del recuento hizo que el fraude fuera indetectable —y un error indetectable es indistinguible de un fraude indetectable. Ese es el punto.

Se ordenó una nueva elección dentro de 60 días. El subcampeón, Raila Odinga, la boicoteó. Kenyatta ganó de nuevo. Si el voto subyacente en agosto de 2017 era preciso genuinamente no lo sabemos —y ese es precisamente el problema que la Corte identificó.

La formulación alemana: no se requiere conocimiento especializado

Cuatro meses antes de que la elección keniana siquiera se realizara, un tribunal en el otro lado del mundo había trazado la misma línea, más claramente.

El 3 de marzo de 2009, la Corte Constitucional Federal Alemana invalidó el uso de máquinas de votación electrónica Nedap en la elección federal de 2005. Las máquinas habían sido ampliamente utilizadas. Habían sido certificadas. Nadie había encontrado evidencia de manipulación. Nada de eso importó.

El razonamiento de la Corte vale la pena memorizar palabra por palabra: los pasos esenciales de la votación y de la determinación del resultado deben ser examinables por el ciudadano de forma confiable y sin ningún conocimiento especializado del tema. Esto fluye del principio de publicidad de las elecciones incorporado en la Ley Fundamental —el requisito democrático fundacional de la constitución alemana.

Las máquinas almacenaban votos solo en memoria electrónica. No existía ningún registro independiente que un votante pudiera verificar. Ninguna persona ordinaria podía verificar la transición de "presioné este botón" a "este número apareció en el total". La Corte llamó a esto un defecto constitucional, punto final. Se negó a anular el resultado de 2005 —la elección había ocurrido, no había evidencia de mal funcionamiento, y la Corte sopesó eso contra la alteración de destituir un parlamento— pero prohibió las máquinas en adelante.

Dos tribunales, dos continentes, dos tradiciones constitucionales. La misma definición de verificable. La cadena del voto al total debe ser verificable por cualquiera, sin necesidad de confiar en la palabra de un técnico.

Lo que "verificable" no es

Aquí es donde el concepto se afina por lo que excluye.

No es "lo contamos a mano". Un recuento manual es una verificación útil, pero no es autoverificable. En el Condado de Antrim, Michigan, en 2020, los trabajadores electorales realizaron una auditoría manual completa de cada voto presidencial después de que un error de recuento por máquina atrajera escrutinio. El recuento manual diferió del recuento por máquina corregido en aproximadamente una docena de votos de los aproximadamente 15,700 emitidos. Doce votos. Ese es el error humano irreducible en un proceso manual —fatiga, juicios sobre marcas ambiguas, un voto brevemente colocado en la pila equivocada. En una carrera decidida por un puñado de votos, un método que en sí mismo está fuera por un puñado de votos no puede resolver la pregunta. "El recuento manual lo confirmó" es una garantía. No es una prueba.

No es "certificamos el sistema". Irlanda compró un sistema de votación electrónica nacional —máquinas Nedap/Powervote, 7,500 de ellas— y una comisión independiente concluyó que simplemente no podía recomendar la implementación con el "grado de confianza requerido". No porque se encontrara fraude. Porque la precisión y el secreto no habían sido probados a satisfacción de la comisión. Las máquinas se sentaron en un almacén durante cinco años, luego fueron desechadas. La certificación es una afirmación. El trabajo de la comisión era probar la afirmación. La afirmación falló.

No es "un funcionario superior dijo que estaba bien". En Venezuela en agosto de 2017, Smartmatic —la empresa que había construido y dirigido la infraestructura de votación del país durante más de una década— emitió una declaración pública diciendo que sabía "sin ninguna duda" que la asistencia anunciada en la elección de la Asamblea Nacional Constituyente del 30 de julio había sido manipulada, diferenciándose de la participación real por al menos un millón de votos. El resultado oficial había sido declarado. El vendedor mismo lo rechazó. Cuando las personas que construyeron la máquina no pueden conciliar lo que la máquina registró con lo que fue anunciado, y no existe verificación independiente, no queda nada en lo que el público pueda apoyarse.

Ni siquiera es "nuestra prueba criptográfica se publica". Swiss Post y su vendedor Scytl publicaron el código fuente completo de su sistema de votación por internet en 2019 precisamente como un gesto de transparencia. Investigadores independientes Sarah Jamie Lewis, Olivier Pereira y Vanessa Teague leyeron el código y encontraron una puerta trasera en la prueba de mezcla del mixnet: alguien que conociera los valores de la puerta trasera podría generar una transcripción de verificación que pasara cada verificación mientras hubiera alterado silenciosamente los votos. Las autoridades suizas suspendieron el sistema. La prueba parecía válida. El defecto fue invisible hasta que criptógrafos independientes de fuera sin interés en el resultado lo buscaron. Una afirmación de verificabilidad solo es significativa si sobrevive al escrutinio adversarial externo.

Los cinco eslabones de la cadena

Si "verificable por cualquier persona ordinaria" es el estándar constitucional, ¿qué requiere realmente en la práctica? El caso de Kenia, leído contra el caso de Alemania y la evidencia acumulada de una docena de otros países, sugiere cinco eslabones específicos que deben mantenerse todos.

Uno: un registro a prueba de manipulaciones en el punto de votación. La papeleta —papel o su equivalente— debe capturar la intención del votante en una forma que ni la máquina ni ningún manejador posterior puedan alterar sin detección. Los dispositivos de marcación de papeleta con código QR revisados en Curling v. Raffensperger en Georgia ilustran el modo de fallo: un tribunal federal encontró que el sistema "no proporciona un registro de papeleta verificable y auditable porque se basa en el código QR para el recuento de votos y ese código en sí no puede ser leído y verificado por el votante." Lo que se cuenta debe ser lo que el votante puede inspeccionar. Esos tienen que ser el mismo artefacto.

Dos: una cadena de custodia documentada y firmada. En la segunda vuelta presidencial de Austria en 2016, las papeletas postales fueron abiertas y contadas prematuramente, por personas no autorizadas, sin los testigos requeridos. La Corte Constitucional Austriaca anuló el resultado —77,000 votos afectados excedieron el margen de 30,000 votos— aunque no encontró evidencia de fraude. La cadena de procedimiento existía precisamente para hacer que la manipulación fuera detectable. Una vez que la cadena se rompe, no puedes distinguir una irregularidad de procedimiento de un fraude encubierto. El resultado se vuelve legalmente indefendible no porque sea incorrecto sino porque no es verificable.

Tres: un registro público en cada paso de agregación. En Kenia, el requisito constitucional era la transmisión electrónica en tiempo real del Formulario 34A de cada casilla de votación. Ese requisito existía específicamente para que cualquiera —un periodista, un agente del partido, un ciudadano privado— pudiera comparar la suma de abajo hacia arriba con el anuncio de arriba hacia abajo. Cuando eso no sucede, el total nacional flota libre de sus documentos fuente. En Malaui en 2019, funcionarios electorales usaron corrector de fluido en hojas de recuento oficiales antes de ingresarlas en el recuento. La Corte Constitucional anuló la elección. No puedes verificar un número que alguien ya ha borrado y reescrito. Los registros fuente a prueba de manipulaciones no son pedantería burocrática; son la base de evidencia en la que depende cualquier auditoría posterior.

Cuatro: auditoría independiente con dientes estadísticos. Una verificación de la misma institución que produjo el número no es independiente. Colorado, en 2017, realizó la primera auditoría de limitación de riesgo estatal en los Estados Unidos —un procedimiento que examina suficientes papeletas contadas a mano para dar un nivel de confianza matemáticamente definido de que el total de la máquina es correcto. Funciona solo porque existen papeletas de papel duradero y pueden ser comparadas físicamente contra la salida de la máquina. La lógica de la auditoría es adversarial: está diseñada para detectar un resultado incorrecto con alta probabilidad, no para aprobar con un sello de goma al ganador anunciado. Eso es lo que parece una verificación independiente.

Cinco: resultados publicados al nivel más bajo, instantáneamente, en formato legible por máquina. El requisito del Formulario 34A de la constitución de Kenia fue la idea correcta por esta razón: la transparencia de abajo hacia arriba a nivel de casilla hace que los errores de agregación sean inmediatamente visibles, porque cualquiera puede sumar los formularios y comparar. La Comisión de Asistencia Electoral de EE.UU. exhorta a los funcionarios a publicar resultados a nivel de precinto en formatos legibles por máquina descargables para que los ciudadanos puedan reconciliar el recuento ellos mismos. Esa es la verificabilidad hecha práctica —no "publicamos un PDF", sino "aquí están los datos sin procesar; verifica nuestra aritmética".

Los cinco eslabones deben mantenerse. Un eslabón roto es suficiente para hacer que la cadena sea no verificable. La cadena de Kenia se rompió en los eslabones tres y cinco simultáneamente. La de Austria se rompió en el eslabón dos. La de Malaui se rompió en el eslabón tres. Por eso los resultados anunciados con confianza en los tres casos fueron aún legalmente insostenibles.

La confianza no es lo mismo que verificabilidad —y la diferencia importa

Hay una versión de este argumento que se siente incómoda, porque parece poner en duda elecciones que la mayoría de los observadores creen que fueron honestas. Esa incomodidad vale la pena reflexionar.

El punto no es que Kenia 2017 o Austria 2016 fueran fraudulentas. Los tribunales en ambos casos se negaron a encontrar fraude. El punto es que un resultado honesto producido por un proceso no verificable es indistinguible, para el público, de un resultado deshonesto producido por el mismo proceso. La confianza que resulta estar justificada sigue siendo confianza. No es verificabilidad. Y la confianza —en funcionarios, en vendedores, en un comunicado de prensa de un Secretario de Estado— es exactamente lo que la coerción, la corrupción y la manipulación técnica sofisticada explotan.

Los Países Bajos lo entendieron en 2007 cuando su comisión asesora publicó un informe llamado "Stemmen met vertrouwen" y luego recomendó abandonar la votación electrónica. Su lógica: no hay "secretos en el proceso electoral", y "las preguntas deben ser respondibles y las respuestas verificables y comprobables". Regresaron al papel y los recuentos manuales —no porque las máquinas estuvieran probadas como comprometidas, sino porque la transparencia y la verificabilidad fueron tratadas como no negociables, independientemente de lo confiables que fueran los operadores actuales.

Esa es la arquitectura que vale la pena construir. No sistemas en los que confíes. Sistemas que puedas verificar. Sistemas cuyos resultados cualquiera pueda verificar independientemente, sin necesidad de acceso a código propietario, registros clasificados o garantías de un vendedor. Donde la prueba es pública, probada adversarialmente, y no depende de creer a la persona que la produjo.

Porque el próximo gobierno puede no ser tan honesto como este. El próximo vendedor puede no ser tan cuidadoso. La próxima elección puede no ser decidida por un margen lo suficientemente obvio para detectar un error. El requisito constitucional no es "verificable cuando prestamos atención cercana". Es verificable por diseño, por cualquiera, como cuestión de rutina.

Lo que aún no es verificable —y qué lo haría así

Aquí está lo que el fallo de Kenia, el fallo de Alemania, y el cuerpo completo de evidencia anterior dejan sin resolver:

En la mayoría de las democracias, aún no puedes, como ciudadano ordinario, confirmar de forma independiente que el número reportado de tu casilla de votación coincida con lo que fue registrado en la máquina. No puedes verificar que la agregación de casilla a sección a condado a total nacional se haya hecho correctamente. No puedes verificar si el software que tabuló tu voto contiene el código que fue certificado, o una versión posterior que no. No puedes comparar el código QR en tu papeleta marcada con el texto legible por humanos que creías que estabas eligiendo —porque el escáner lee el código de barras, no el texto.

Estas no son brechas hipotéticas. Los tribunales las han identificado. Los investigadores las han explotado. Las autoridades electorales han, en algunos casos, las han corregido —y en muchos casos no.

¿Qué las haría verificables? Resultados publicados, firmados, a nivel de casilla el momento en que sean finales. Papeletas marcadas por votantes cuyo texto legible por humanos es lo que se escanea. Software de tabulación de código abierto que expertos independientes puedan leer, probar y probar de nuevo —no una sola vez en la certificación, sino continuamente. Auditorías públicas, adversariales y rutinarias vinculadas a un nivel de confianza establecido, no un porcentaje fijo. Y una cadena de custodia documentada en cada paso, con sellos a prueba de manipulaciones que puedan ser inspeccionados físicamente después del hecho por cualquiera con derecho a mirar.

Nada de eso requiere confiar en un gobierno, un vendedor o un Secretario de Estado. Ese es el punto.

Un resultado electoral que no puedes verificar de forma independiente no es, en el sentido constitucional, un resultado en absoluto. Es un anuncio.

Ve dónde aparece esta brecha en todo el mundo →

Lee la versión de dos minutos →

Explora casos específicos de países →

Fuentes

Ver todos los artículosExplora las brechas