← Tous les articles

L'Amérique a dépensé des milliards pour réparer le vote après 2000. A-t-elle acheté la vérifiabilité ?

L'Amérique a dépensé 3 milliards de dollars pour remplacer les machines à voter par cartes perforées après le chaos électoral de 2000 — mais acheter du nouveau matériel n'est pas la même chose qu'acheter un décompte que n'importe qui peut indépendamment vérifier.

Nous sommes le 29 octobre 2002, et un projet de loi vient de devenir loi. Dix-huit mois après que quelques bulletins mal détachés aient failli paralyser la démocratie américaine, le Congrès a fait quelque chose qu'il fait rarement avec célérité : s'accorder sur un problème, signer un chèque et l'adopter. La Loi pour l'aide au vote en Amérique — HAVA — autorise environ 3,9 milliards de dollars de fonds fédéraux pour moderniser les élections. Elle crée une nouvelle agence fédérale, la Commission fédérale d'assistance électorale des États-Unis. Elle promet des normes minimales. Elle ordonne aux États de remplacer leurs machines à cartes perforées et leurs machines à leviers.

La question que personne ne prend assez de temps pour poser : remplacées par quoi, exactement — et le public peut-il vérifier que le remplacement fonctionne réellement ?

Cette question reste ouverte aujourd'hui.

Le statut et sa promesse

HAVA était, selon le langage de ses auteurs, une réaction au chaos de la Floride en 2000. La loi elle-même est explicite : l'argent fédéral finance le remplacement des machines à voter par cartes perforées et à leviers. Des normes administratives minimales seront établies. La nouvelle Commission d'assistance électorale testera et certifiera le matériel de vote.

Relisez cette liste. Chaque point concerne un processus — financement, administration, normes, certification. Rien dans le texte ne garantit que les machines qui remplacent les cartes perforées produiront un document qu'un électeur ordinaire peut indépendamment vérifier.

Ce n'est pas une lecture cynique. C'est l'architecture réelle du statut.

Et cela a énormément d'importance, car la crise des chads mal détachés de 2000 n'a jamais vraiment porté sur les cartes perforées. Elle concernait ce que Bush c. Gore a réellement exposé : un système sans norme uniforme et connue du public pour lire ce qu'un électeur a marqué. Les différents comtés ont appliqué des règles différentes. Les différentes commissions de dépouillement ont examiné le même chad sous différentes lumières. La Cour suprême a constaté que des bulletins identiques étaient évalués différemment dans l'État — une violation de l'égalité de protection parce qu'elle valorisait le vote d'une personne plus que celui d'une autre.

Le problème n'était pas la technologie. C'était l'absence d'une norme vérifiable et uniforme pour savoir ce qu'un bulletin marqué signifiait.

HAVA a abordé la technologie. Le problème plus profond s'est perpétué, irrésolument, dans l'ère numérique.

La GAO a regardé, trois ans plus tard, et a constaté que le travail était inachevé

En 2005, les machines de remplacement arrivaient dans les palais de justice des comtés et les salles de gym scolaires à travers le pays. Le vote électronique par écran tactile se propageait. L'appareil fédéral que HAVA avait promis — laboratoires d'essai, procédures de certification, dépôts de logiciels, directives de sécurité — était censé être en place.

Il ne l'était pas.

Dans un rapport publié le 21 septembre 2005 — GAO-05-956 — les auditeurs fédéraux ont examiné la sécurité et la fiabilité des systèmes de vote électronique dans le paysage post-HAVA. Leurs conclusions : les problèmes documentés avec les systèmes de vote électronique avaient soulevé des questions sur leur sécurité et leur fiabilité. Les efforts fédéraux étaient en cours, mais les activités clés restaient inachevées. La GAO a recommandé à la Commission d'assistance électorale d'agir pour améliorer les normes de vote, établir les procédures de certification, créer des dépôts pour les logiciels certifiés, partager les informations sur les vulnérabilités du système et diffuser les pratiques de sécurité recommandées.

Pensez à ce que cette liste signifie. Trois ans après HAVA, l'agence créée pour certifier que les systèmes de vote sont sécurisés n'avait pas encore pleinement construit l'appareil pour certifier que les systèmes de vote sont sécurisés.

L'argent avait circulé. Les machines avaient été expédiées. Les normes étaient toujours en cours de rédaction.

Ce n'est pas une conclusion partisane. La GAO est le bras d'audit indépendant du Congrès ; son travail est de rapporter ce qu'il découvre, et ce qu'il a découvert était un écart entre la promesse législative et la réalité opérationnelle. Remplacer le matériel n'a pas automatiquement créé la vérifiabilité. Cela a créé une nouvelle classe de matériel dont la vérifiabilité était toujours en cours de détermination.

Ce que les nouvelles machines ont réellement produit

Voici ce qui avait de l'importance pour les machines que HAVA avait financées en remplaçant les cartes perforées : beaucoup d'entre elles n'avaient pas de trace écrite.

Comté de Sarasota, Floride, 2006. Une course au Congrès se termine avec une marge de 369 votes. Environ 18 000 bulletins dépouillés dans ce comté — environ 13 pour cent — ne montrent aucun choix enregistré dans la course du tout. Le comté a utilisé des machines à écran tactile ES&S iVotronic qui ne produisaient aucune trace écrite vérifiée par l'électeur.

Personne ne pouvait vérifier ce qui s'était passé. Il n'y avait rien d'indépendant à recompter. La GAO a examiné les systèmes et n'a pas pu identifier une défaillance mécanique — tout en notant qu'une trace écrite vérifiée par l'électeur aurait fourni une confirmation indépendante que les écrans tactiles avaient enregistré les votes correctement.

HAVA avait financé le remplacement d'un document ambigu et analogique (un chad) par pas de document du tout.

Cette même année, des chercheurs de Princeton — Ariel Feldman, J. Alex Halderman et Edward Felten — ont obtenu une machine Diebold AccuVote-TS — l'une des machines à écran tactile les plus largement déployées en Amérique post-HAVA — et ont démontré qu'un attaquant ayant environ une minute d'accès physique pouvait installer du code malveillant qui volerait des votes tout en altérant tous les dossiers, journaux et compteurs pour rester cohérents en interne. Ils ont construit un virus de machine de vote fonctionnel qui pouvait se propager d'une machine à l'autre pendant l'activité électorale normale.

La machine était financée par HAVA. Elle avait réussi le processus de certification qui existait à l'époque.

Certifiée n'est pas la même chose que vérifiable. Ce sont des mots différents qui font l'opposé du même travail.

Ce que « certifiée » certifie réellement

Le processus de certification fédéral des systèmes de vote que HAVA a créé — finalement administré par la Commission d'assistance électorale en partenariat avec des laboratoires d'essai accrédités — teste si les machines répondent à un ensemble de normes techniques. Ces normes ont évolué au fil du temps et sont devenues plus exigeantes. C'est un réel progrès.

Mais la certification teste une machine par rapport à une norme. Elle ne rend pas le fonctionnement interne de la machine visible au public. Elle ne signifie pas qu'un électeur ou un chercheur indépendant peut inspecter le logiciel qui compte les bulletins. Elle ne signifie pas qu'un tiers en dehors du processus de certification peut vérifier que la machine testée est identique à celle déployée.

La Cour constitutionnelle fédérale allemande a compris cette distinction précisément. Dans son arrêt de 2009, elle a jugé que le vote électronique n'est constitutionnel que si les étapes essentielles du vote et la détermination du résultat peuvent être examinées par le citoyen de manière fiable et sans connaissances spécialisées. Les machines allemandes avaient réussi leurs propres processus de certification. La cour a jugé qu'elles violaient toujours la nature publique des élections parce qu'un citoyen ne pouvait pas indépendamment vérifier ce qui s'était passé sans faire confiance à des intermédiaires experts.

La logique de la cour frappe directement le cadre HAVA : la certification par les experts, pour les experts, examinée par les experts, n'est pas la même chose que la vérifiabilité par le public. Une élection démocratique doit être vérifiable par les gens qu'elle est censée servir.

La Cour suprême de l'Inde a atteint un carrefour similaire en 2024, lorsqu'elle a resserré les règles autour des pistes d'audit papier et de la chaîne de contrôle pour les machines de vote électroniques — tout en refusant de les abolir. La direction de la cour était claire : la confiance émane de preuves indépendamment vérifiables, non de l'assurance officielle.

La propre orientation de la Commission d'assistance électorale — la déclaration conjointe CISA publiée après l'élection de 2020 la déclarant « la plus sécurisée de l'histoire américaine » — prouve en réalité le point par accident. Le raisonnement de la déclaration elle-même repose sur l'existence de traces écrites qui permettent les recalculs et audits indépendants. Elle plaide pour la sécurité en citant la vérifiabilité. Ce qui signifie que l'affirmation n'est solide que si la trace écrite derrière elle l'est, et dans les juridictions où cette trace est mince, l'assurance flotte librement de son ancre.

La trace écrite : nécessaire mais pas suffisante en soi

Le Congrès a remarqué le problème des machines sans trace écrite. La Loi pour la confiance de l'électeur et l'accessibilité accrue, la législation VVPAT, et finalement l'évolution des normes de la Commission d'assistance électorale ont poussé la plupart des juridictions vers des traces écrites vérifiées par l'électeur — soit des bulletins à lecture optique que les électeurs marquent à la main, soit des dispositifs de marquage de bulletin qui produisent un document imprimé.

C'est un progrès. Le papier est vérifiable. Le décompte manuel de la Géorgie en 2020 d'environ cinq millions de bulletins — le plus grand audit manuel de l'histoire américaine — a confirmé le total de la machine à environ un dixième de pour cent près. L'audit à risque limité à l'échelle de l'État du Colorado en 2017, le premier du genre, a montré que la confiance statistique dans un résultat correct est réalisable quand vous avez du papier durable à vérifier.

Mais une impression papier n'est pas automatiquement un document vérifiable par l'électeur. La Cour de district américaine dans Curling c. Raffensperger a constaté que les dispositifs de marquage de bulletin de la Géorgie produisaient un code QR que le tabulateur lit — mais que l'électeur ne peut pas lire. Un recompte manuel vérifie la production du code QR. Il ne vérifie pas l'intention de l'électeur de marquer. Si la machine encode silencieusement un choix différent de celui affiché à l'écran, aucune quantité de recompte papier ne le détecte.

Et même un balayage optique propre avec du papier marqué à la main comporte une marge d'erreur humaine irréductible. Windham, New Hampshire, 2021 : un audit judiciaire ordonné par la législature de l'État a attribué un mauvais décompte à des plis traversant les zones de vote sur les bulletins par correspondance — une machine de pliage avait plissé les bulletins au mauvais endroit, et le scanner lisait les lignes de pli comme des ovales remplis. Aucun logiciel malveillant. Aucune manipulation. Juste de la poussière sur une lentille et un pli au mauvais endroit, dénombrant silencieusement mal des centaines de bulletins valablement marqués. Le recompte manuel a récupéré l'intention de l'électeur. Mais le recompte manuel au complet du comté d'Antrim, Michigan en 2020 différait toujours du total de la machine d'environ une douzaine de votes sur quinze mille dépouillés.

Une méthode qui elle-même a une marge d'erreur de quelques votes ne peut pas définitivement trancher une course décidée par quelques votes. « Le recompte manuel l'a confirmé » est une assurance. Ce n'est pas une preuve au sens mathématique.

L'écart d'audit que HAVA n'a pas fermé

HAVA a créé un cadre. La Commission d'assistance électorale a établi des normes. Les laboratoires d'essai certifient le matériel. Les États doivent respecter les minimums pour les bulletins provisoires, l'identification et les bases de données d'inscription.

Ce que HAVA n'a pas créé — et ce que l'appareil de certification toujours ne garantit pas — est un système où un membre ordinaire du public peut indépendamment vérifier, sans faire confiance à aucun officiel ou vendeur unique, que le décompte est correct.

Cet écart s'affiche de façons concrètes :

Le logiciel du système de vote reste propriétaire dans la plupart des juridictions. Vous ne pouvez pas lire le code qui compte votre vote. Ni votre voisin, votre journaliste local ou un chercheur en sécurité indépendant qui n'a pas signé d'accord de non-divulgation.

La certification teste les machines avant le déploiement, non après. Elle ne peut pas confirmer que la machine au bureau de vote le jour du scrutin exécute le même logiciel que le laboratoire a testé. Le comté de Coffee, Géorgie, a montré à quel point facilement l'ensemble du système de vote d'une juridiction peut être copié et retiré par des gens à qui on a ouvert la porte.

Les audits post-électoraux — audits à risque limité, recalculs manuels, examens judiciaires — sont menés par des officiers électoraux puis rapportés. Leurs résultats ne sont autorisés que si vous faites confiance aux officiers qui les conduisent. Pour la plupart des juridictions, un membre du public ne peut pas indépendamment télécharger les résultats lisibles par machine au niveau du bureau de vote et les réconcilier par rapport à un document public signé cryptographiquement que la Commission d'assistance électorale rend final.

La propre orientation de la Commission d'assistance électorale exhorte les officiers à publier les résultats dans des formats téléchargeables comme .csv et .xml avec un étiquetage clair des types de bulletins. C'est une bonne pratique. Certains États le font. La plupart ne le font pas en temps réel, avec des données lisibles par machine, signées d'une manière que n'importe qui peut indépendamment vérifier.

Le système VSAP du comté de Los Angeles, certifié en 2018 comme premier système de décompte électoral à code ouvert possédé par le public de la Californie, est une étape significative : la propriété publique signifie que le code qui compte les votes peut être inspecté par des experts indépendants plutôt que d'être protégé comme un secret commercial. Le code ouvert n'est pas une garantie complète — l'implémentation et la chaîne de contrôle restent importants — mais il supprime une couche d'opacité imposée. C'est la direction du voyage que les architectes originaux de HAVA auraient pu insister pour avoir et n'ont pas fait.

La vraie leçon des 3,9 milliards de dollars

L'argent de HAVA a fait des choses réelles. Les cartes perforées ont disparu. Les machines à leviers ont disparu. Les droits au bulletin provisoire existent. Une agence fédérale établit des normes de base. Les procédures de certification, incomplètes qu'elles étaient en 2005, sont plus développées aujourd'hui.

Mais le pari fondamental du statut était que remplacer le matériel résoudrait un problème de vérifiabilité. Ce n'était pas le cas — parce que la vérifiabilité n'est pas une propriété d'une machine particulière. C'est une propriété d'un système : la chaîne du marquage du bulletin à la publication du résultat, avec chaque lien indépendamment vérifiable par quiconque veut le vérifier.

Vous ne pouvez pas acheter la vérifiabilité. Vous devez la construire dans l'architecture.

Les Pays-Bas ont conclu cela en 2007 — que la transparence et un document vérifiable par l'homme étaient des fondations non négociables, pas des améliorations optionnelles — et sont revenus au papier et au décompte manuel jusqu'à ce que quelque chose de mieux puisse être prouvé. La Cour constitutionnelle allemande a tiré la ligne à l'intelligibilité publique : si seul un expert peut vérifier le décompte, ce n'est pas une élection démocratique. Le Brésil institutionnalise le test public adversarial de ses machines ; les étrangers sont invités à les casser avant chaque cycle électoral, et les correctifs sont appliqués et re-vérifiés.

L'Amérique a dépensé des milliards pour acheter de nouvelles machines et construire une bureaucratie de certification. La bureaucratie de certification teste les machines dans un laboratoire. Elle ne vous donne pas — à vous l'électeur, le journaliste, le chercheur indépendant — un moyen de confirmer le décompte vous-même.

C'est la question que HAVA a répondue avec de l'argent mais pas avec l'architecture. Et elle reste, deux décennies plus tard, la question ouverte.

Ce qui la fermerait réellement

La solution n'est pas un autre cycle de remplacement de matériel. Ce n'est pas un laboratoire de certification plus coûteux. Ce n'est pas une plus grande agence fédérale avec plus de personnel.

C'est un système de vote conçu pour que sa correction soit vérifiable par le public, non affirmée par les officiers.

Cela signifie : des bulletins marqués par l'électeur dont les marques sont sans ambiguïté et lisibles par l'homme — pas un code QR que seul un scanner peut décoder. Cela signifie les audits réguliers et obligatoires à risque limité dans chaque juridiction, non des projets pilotes optionnels dans les États progressistes. Cela signifie les résultats lisibles par machine au niveau du bureau de vote publiés au moment où le décompte de chaque bureau est complet, dans des formats que n'importe quelle feuille de calcul peut ouvrir — pour que le public puisse réconcilier les résultats au fur et à mesure qu'ils sont rapportés, non après que les officiers les aient expliqués. Cela signifie le logiciel de décompte des votes à code ouvert que tout chercheur en sécurité peut inspecter sans signer d'accord de non-divulgation.

Et cela signifie traiter « le Secrétaire d'État a certifié le résultat » et « l'audit l'a confirmé » comme des réclamations à examiner, non comme des conclusions. Parce que dans une course décidée par quelques votes, une méthode qui elle-même a une marge d'erreur de quelques votes ne peut pas trancher la question. Seul un système que le public peut indépendamment vérifier peut le faire.

HAVA était un projet de loi. La vérifiabilité est une exigence d'ingénierie. Ce ne sont pas les mêmes documents.

Explorez à quoi ressemble cet écart de vérifiabilité dans différents pays et systèmes : parcourez l'atlas mondial, ou lisez le résumé de 2 minutes de ce qui manque et pourquoi cela importe.

Sources

Voir tous les articlesExplorer les lacunes