← Tous les articles

L'Inde a conservé ses machines de vote — mais a renforcé le contrôle papier. Pourquoi ?

La Cour suprême indienne a refusé d'abandonner ses machines de vote — puis a immédiatement ordonné des sceaux papier plus solides et des contrôles aléatoires indépendants. Cette tension vous dit tout ce que « confiance » exige vraiment.

C'est la matinée du 26 avril 2024, et quelque part à New Delhi, un banc de deux juges de la Cour suprême indienne vient de terminer la lecture de 102 pages de pétitions lui demandant de faire quelque chose de dramatique : supprimer l'ensemble du système de vote électronique du pays, ou à tout le moins exiger que chaque bulletin papier généré par chaque machine de vote soit compté à la main.

Les pétitionnaires — l'Association for Democratic Reforms et d'autres — n'étaient pas des théoriciens du complot. Ils soulevaient une question structurelle véritable : dans une élection impliquant environ 970 millions d'électeurs admissibles dans un pays de la taille d'un continent, quelle part du dépouillement électronique un citoyen peut-il indépendamment vérifier ?

La cour a dit non aux deux demandes.

Et puis elle a immédiatement ordonné des sceaux papier plus solides, un stockage sécurisé obligatoire, et un nouveau mécanisme de vérification des différends lié à la piste papier.

Cette combinaison — maintenir les machines, renforcer le contrôle papier — mérite qu'on s'y arrête. Car elle contient un argument qui traverse chaque démocratie ayant jamais tenté de diriger une élection sur ordinateur.

Ce que font réellement les machines de l'Inde, et ce que la cour a réellement dit

Les machines de vote électroniques (EVM) de l'Inde sont des appareils autonomes, non en réseau. Elles ne sont pas connectées à Internet. Elles n'exécutent pas de logiciels commerciaux. La Commission électorale de l'Inde les décrit comme des unités spécialement conçues et résistantes à la manipulation. Depuis 2013, le système est associé à une piste d'audit papier vérifiable par l'électeur — une VVPAT — une petite imprimante derrière une vitre qui affiche, pendant sept secondes, un bulletin montrant le symbole du parti et le nom du candidat que la machine a enregistré. Le bulletin tombe dans une boîte scellée que l'électeur ne peut pas toucher.

Dans Association for Democratic Reforms v. Election Commission of India (2024 INSC 341, jugement du 26 avril 2024), la Cour suprême de l'Inde a refusé d'ordonner un retour aux bulletins papier ou un dépouillement complet à 100% des bulletins VVPAT. Le régime existant — vérification manuelle obligatoire des bulletins VVPAT dans cinq bureaux de vote sélectionnés au hasard par circonscription — a survécu.

Mais la cour n'a pas simplement dit « nous faisons confiance à la Commission électorale ». Elle a émis des directives concrètes :

  • Les unités de chargement de symboles (SLU) — les appareils utilisés pour charger les symboles des candidats et des partis sur les EVM avant une élection — doivent être scellés et sécurisés après le processus de chargement des symboles et stockés pendant au moins 45 jours après la proclamation des résultats.
  • Les candidats peuvent, moyennant le paiement d'une redevance, demander la vérification du microcontrôleur mémoire brûlée dans 5% des EVM d'une circonscription, en cas de différend.

Lisez attentivement ces deux directives. La cour ne disait pas que les machines vont bien, faites-nous confiance. Elle disait : sceller les appareils qui touchent les machines avant le vote, les garder disponibles pour vérification après, et donner aux candidats perdants un mécanisme pour contester le dépouillement contre des preuves physiques matérielles.

Même un jugement qui soutenait le système électronique s'appuyait, à chaque moment d'inquiétude, sur la logique de la vérifiabilité indépendante, fondée sur le papier et le matériel.

C'est l'argument. Pas l'argument de l'Inde — celui de tout le monde.

La question que chaque cour dans chaque pays finit par se poser

En mars 2009, huit juges à Karlsruhe, en Allemagne, ont atteint ce qui est maintenant la déclaration judiciaire la plus claire du principe fondamental. La Cour constitutionnelle fédérale allemande, examinant l'utilisation de machines de vote Nedap à l'élection du Bundestag de 2005, a jugé que le vote électronique n'est légitime que lorsque « les étapes essentielles du vote et de la détermination du résultat peuvent être examinées par le citoyen de manière fiable et sans connaissance spécialisée quelconque ».

Pas par un expert certifié. Pas par l'autorité électorale. Par un citoyen.

Les machines stockaient les votes uniquement en mémoire électronique, sans dossier indépendamment vérifiable qu'un électeur pouvait vérifier. Elles ont échoué au test. L'ordonnance sur les machines à voter fédérales a été jugée inconstitutionnelle.

La Cour suprême de l'Inde en 2024 se débattait avec la même question à une échelle bien plus grande, avec une architecture de machine différente, et a atteint une conclusion différente — mais remarquez ce qu'elle a préservé dans les deux directions : le bulletin papier que l'électeur regarde tomber dans la boîte, et le dossier matériel qu'une circonscription contestée peut maintenant demander d'examiner. La cour a tracé une ligne entre faire confiance à une machine et avoir quelque chose pour vérifier la machine.

Cette ligne n'est pas l'invention de l'Inde. C'est le minimum irréductible que chaque cour nationale sérieuse a finalement exigé.

Ce qui se passe quand il n'y a rien à vérifier

Le cas du comté de Sarasota, en Floride, de 2006 reste l'exemple le plus clair de ce que l'absence d'une piste papier coûte vraiment. Environ 18 000 bulletins en Floride dans la 13e circonscription du Congrès n'ont montré aucun choix enregistré — un taux de sous-vote de 13% sur les machines à écran tactile ES&S iVotronic sans papier. La course a été décidée par 369 voix. Le GAO a testé les systèmes et n'a pu identifier aucun dysfonctionnement de la machine, mais a noté qu'une piste d'audit papier vérifiée par l'électeur aurait pu fournir une confirmation indépendante que les écrans tactiles enregistraient correctement les votes.

Il n'y avait rien à recompter. Aucun bulletin dans une boîte. Aucun artefact physique que l'électeur avait regardé produire. Les machines disaient ce qu'elles disaient, et il n'y avait pas de couche indépendante pour interroger.

Une machine qui ne laisse aucune trace vérifiable n'est pas un système de dépouillement. C'est une déclaration.

Le régime VVPAT de l'Inde, quelle que soient ses limitations, est un rejet structurel de ce résultat. Le bulletin papier existe. La question que la Cour suprême adjugeait n'était pas s'il fallait avoir une piste papier mais quelle quantité doit en être vérifiée à la main, et dans quelles conditions le matériel qui le sous-tend peut être examiné.

C'est un vrai argument qui mérite d'être eu. Ce n'est pas le même argument que de savoir s'il faut avoir un contrôle du tout.

Pourquoi l'échantillon de cinq bureaux de vote est une véritable tension, pas une réponse confortable

La cour a maintenu l'exigence que les bulletins VVPAT soient comptés à la main dans cinq bureaux de vote sélectionnés au hasard par circonscription. L'Inde compte des milliers de circonscriptions. L'échantillon est petit.

Les critiques du jugement — et les pétitionnaires devant la cour — ont soutenu qu'un petit échantillon aléatoire ne peut pas fournir la confiance statistique nécessaire pour certifier un résultat serré. C'est une objection technique légitime, pas une objection marginale.

Comparez l'approche du Colorado : en 2017, le Colorado est devenu le premier État américain à compléter un audit à risque limité au niveau de l'État, une méthode qui dimensionne son échantillon de contrôle manuel selon la proximité de la course. Un raz-de-marée nécessite un petit échantillon pour confirmer. Une quasi-égalité exige que beaucoup plus de bulletins soient examinés à la main. L'RLA fournit une confiance statistique définie ; un échantillon de cinq stations fixes ne le fait pas, et dans une course serrée, les chiffres comptent.

La réponse de la cour indienne n'est pas que cinq stations sont optimales. Sa réponse est que l'architecture de résolution des différends — SLU scellées, stockées pendant 45 jours, avec vérification du microcontrôleur disponible sur demande — fournit une couche de contrôle différente que l'échantillon de cinq stations seul ne procure pas.

Que cette couche soit suffisante est une question technique que le jugement ne résout pas complètement. Cette question non résolue n'est pas un défaut dans l'argument de cet article — c'est précisément la question qui donne au jugement sa tension.

La cour a soutenu les machines. Elle a ajouté des contrôles de différends au niveau matériel. Elle n'a pas fourni de garantie mathématique de confiance statistique dans les courses serrées. Ces trois choses sont simultanément vraies, et quiconque vous dit que seule l'une d'elles vous raconte une histoire confortable.

Le problème plus profond : ce que « vérifié » signifie réellement sur une fenêtre de sept secondes

Voici la partie que le jugement de la cour laisse véritablement ouverte, et qui mérite d'être nommée clairement.

Le bulletin VVPAT apparaît derrière une vitre pendant sept secondes. L'électeur le regarde. Puis il tombe dans une boîte scellée.

Ce que l'électeur a vérifié, c'est que le bulletin a imprimé correctement. Il n'a pas vérifié que la machine a taboulé ce bulletin correctement. Le bulletin va dans une boîte scellée qui n'est comptée à la main que dans les stations échantillonnées.

Aux États-Unis, un tribunal fédéral à Atlanta a fait une observation structurellement similaire en 2020. Dans Curling v. Raffensperger, examinant les appareils de marquage de bulletins Dominion de la Géorgie, la cour a jugé que le système « ne fournit pas un dossier de scrutin vérifiable et auditable car il repose sur le code QR pour le dépouillement et ce code lui-même ne peut pas être lu et vérifié par l'électeur ». Le tirage papier existait. L'artefact de dépouillement — le code QR — n'était pas lisible par l'homme.

La situation de l'Inde est différente dans son architecture : le bulletin VVPAT est lisible par l'homme, et le dépouillement se fait sur l'EVM lui-même plutôt que d'être codé dans un code-barres. Mais la question structurelle est la même : l'artefact que l'électeur vérifie et l'artefact qui détermine le dépouillement doivent être le même artefact, et la connexion entre eux doit être vérifiable de manière indépendante.

Le nouveau mécanisme de vérification du microcontrôleur ordonné par la cour indienne est un pas vers la rendre vérifiable en cas de différend. Ce n'est pas un mécanisme de vérification publique générale disponible à tout citoyen en tant que de droit.

Cet écart — entre ce qu'une cour peut ordonner comme recours et ce qu'un système devrait fournir par défaut — est là que vit le vrai argument de conception.

À quoi ressemblerait un système construit pour la vérifiabilité

Le jugement indien, la norme constitutionnelle allemande, et le rapport de la commission du gouvernement néerlandais de 2007 (qui a ramené les Pays-Bas aux bulletins papier sur les motifs explicites que les élections doivent être transparentes et vérifiables) pointent tous vers la même spécification.

Un dépouillement digne de confiance exige :

  1. Un dossier physique lisible par l'homme, vérifié par l'électeur — pas une fenêtre de sept secondes, mais un artefact durable que l'électeur confirme et que le système conserve.
  2. Un protocole d'audit public qui est conçu statistiquement pour attraper les résultats erronés, dimensionné à la marge, pas à la commodité.
  3. Des chaînes de possession de matériel et de logiciels qui sont scellées, enregistrées, et indépendamment vérifiables — pas seulement par les candidats qui paient une redevance, mais en tant que dossier public transparent.
  4. La publication instantanée des résultats au niveau du bureau dans des formats lisibles par machine que n'importe qui peut télécharger et réconcilier contre le papier.

Aucune de ces quatre choses ne nécessite d'abandonner le vote électronique. La cour indienne ne l'a pas dit d'abandonner. La cour allemande ne l'a pas dit d'abandonner — elle a dit le rendre vérifiable par les citoyens ordinaires. La commission néerlandaise ne l'a pas dit que la technologie est mauvaise — elle a dit la transparence et la vérifiabilité sont non négociables, et le papier les livre actuellement mieux.

Le fil conducteur dans chaque juridiction n'est pas une préférence pour le papier sur le silicium. C'est une exigence que le système produise des preuves que le public peut examiner indépendamment — des preuves qui ne demandent à personne de faire confiance à l'autorité déclarant le gagnant.

Le Brésil exécute des tests de sécurité publics officiels et contradictoires sur ses urnas, invitant n'importe qui dont le plan de test est approuvé à essayer de casser le système. Le comté de Los Angeles a construit un système de dépouillement en source ouverte détenu publiquement spécifiquement pour que des étrangers puissent inspecter le code. Le Colorado a conçu son audit pour fournir une confiance statistique, pas seulement une optique.

Aucune de celles-ci n'est « les bulletins papier sont magiques ». Toutes sont « voici la preuve ; venez la vérifier vous-même. »

Ce qui reste non résolu — et ce qui le rendrait vérifiable

Le jugement indien d'avril 2024 est un point de données significatif, pas une conclusion définitive.

Voici ce qui reste véritablement ouvert :

  • L'échantillon VVPAT de cinq stations n'a pas été montré comme fournissant une confiance statistique suffisante dans une course de circonscription serrée. Aucune cour indienne ou autorité électorale n'a publié une analyse mathématique démontrant quel risque de faux résultat l'échantillon actuel accepte.
  • Le mécanisme de vérification du microcontrôleur n'est disponible que pour les candidats, uniquement en cas de différend, uniquement moyennant le paiement, et uniquement dans 5% des EVM. C'est un recours juridique, pas un audit public transparent.
  • L'exigence de scellage SLU est une amélioration de la chaîne de possession. Que les sceaux soient indépendamment enregistrés, qui a la garde des journaux, et comment une discordance serait soulevée et adjugée n'est pas publiquement spécifié dans le jugement.
  • Le logiciel EVM reste fermé. Aucun chercheur indépendant n'a publié une analyse de sécurité revue par les pairs des EVM indiens actuels comparable à l'analyse de l'équipe de Princeton en 2006 du Diebold AccuVote-TS, ou l'analyse du vote électronique estonien qui a identifié des risques de manipulation indétectables.

Qu'est-ce qui rendrait tout cela indépendamment vérifiable ?

Publier les calculs de taille d'échantillon. Publier les journaux de garde des sceaux. Ouvrir le firmware EVM à une analyse cryptographique indépendante. Exiger que le dépouillement des bulletins VVPAT de chaque circonscription soit publié par rapport à son total EVM au niveau du bureau, dans un format lisible par machine que n'importe quel citoyen peut télécharger et vérifier.

La cour a bougé le curseur. **Le curseur n'est pas encore à « n'importe qui peut vérifier ». **

Ce n'est pas une accusation. C'est une spécification de conception — et c'est la même spécification que l'Allemagne a articulée en 2009, celle que la Cour suprême du Kenya a appliquée en 2017 quand elle a annulé une élection présidentielle parce que la chaîne de résultats ne pouvait pas être indépendamment tracée, et celle qui fait la différence entre une élection que vous pouvez vérifier et une élection à laquelle on vous demande de faire confiance.

La confiance n'est pas l'objectif. La vérifiabilité l'est. Ce ne sont pas la même chose.

Voir où cet écart se manifeste dans les élections du monde entier · Lire la version de deux minutes · Explorer l'archive complète des cas

Sources

Voir tous les articlesExplorer les lacunes