← Tous les articles16 juillet 2026

Le pays qui a désinventé l'ordinateur de vote

En 2007, une commission gouvernementale néerlandaise s'est posé une question simple : un citoyen ordinaire peut-il vérifier qu'un ordinateur de vote a compté correctement ? La réponse a changé la façon dont un pays vote.

Nous sommes à l'automne 2006, et un groupe d'activistes néerlandais appelé « Wij vertrouwen stemcomputers niet » — « Nous ne faisons pas confiance aux ordinateurs de vote » — se tient devant une caméra de télévision en train de faire quelque chose qui va embarrasser un gouvernement.

Ils ont obtenu une machine de vote Nedap, du même type utilisée aux Pays-Bas. Devant la caméra, ils l'ouvrent. Ils démontrent qu'elle peut être manipulée. Ils montrent que ses émissions radio peuvent être détectées de l'extérieur d'un isoloir, révélant potentiellement comment quelqu'un a voté. Ce ne sont pas des chercheurs publiant dans une revue académique. Ce sont des citoyens, prouvant un point en public, à la télévision, où les personnes qui gèrent les élections doivent regarder.

Le gouvernement néerlandais ne les a pas écartés.

En quelques mois, le gouvernement a retiré l'approbation des machines en usage et a commandité un organe consultatif indépendant — la Commission consultative sur le processus électoral, présidée par F. Korthals Altes — pour examiner l'ensemble de la question de la façon dont les élections néerlandaises devraient se dérouler. Le 27 septembre 2007, cette commission a remis son rapport. Son titre était Stemmen met vertrouwen.

Voter avec confiance.

Ce que la commission a vraiment dit

La commission Korthals Altes n'a pas produit un livre blanc technique pour les ingénieurs. Elle a produit un argument démocratique.

Elle a établi les exigences fondamentales : la transparence, la vérifiabilité (controleerbaarheid), l'intégrité et le secret du scrutin. Elle a déclaré, avec une remarquable franchise, qu'il n'y a pas de secrets dans le processus électoral — que les questions doivent être posables et que les réponses doivent être vérifiables et contrôlables. Non vérifiables en principe. Vérifiables par le public, en pratique, sans connaissances spécialisées.

Puis elle a tracé la ligne. Le vote par bulletin de papier dans un bureau de vote est préférable du point de vue de la transparence et de la vérifiabilité. Toute méthode électronique n'est acceptable que si elle produit un vote papier que l'électeur peut personnellement vérifier.

Les machines de vote en usage ne produisaient pas ce vote papier. Elles produisaient un nombre, stocké en mémoire électronique, à l'intérieur d'une boîte scellée, que nul citoyen ordinaire ne pouvait vérifier. La commission a conclu que ce n'était pas suffisant. Le gouvernement néerlandais a été d'accord. Le règlement de 1997 qui avait approuvé les machines de vote a été retiré.

Les Pays-Bas sont retournés au papier et au crayon. Les élections sont désormais comptées à la main.

C'est une chose extraordinaire pour un pays moderne et technologiquement sophistiqué de faire. Il vaut la peine de demander pourquoi ils ont pensé que c'était nécessaire — et ce que cela signifie pour tous les autres pays qui ne les ont pas suivis.

Ce que les caméras de télévision ont exposé

La démonstration des activistes ne concernait pas principalement le piratage. Elle portait sur un problème plus fondamental : vous ne pouvez pas regarder un ordinateur penser.

Quand un bulletin va dans une urne papier et est compté par un être humain dans une pièce éclairée, vous pouvez voir le bulletin. Vous pouvez voir la main. Vous pouvez contester un jugement. Chaque étape est observable par toute personne présente — un représentant d'un candidat, un journaliste, un voisin soupçonneux. La Cour constitutionnelle fédérale allemande l'a énoncé précisément dans sa décision historique de 2009 interdisant les machines de vote électronique : les étapes essentielles du vote et de la détermination du résultat doivent être examinables par le citoyen sans aucune connaissance spécialisée. Ce n'est pas une norme technique. C'est une norme démocratique.

Une machine de vote échoue par conception. Vous lui remettez votre vote et elle vous restitue un nombre. Entre ces deux moments, quelque chose s'est produit à l'intérieur de la machine que vous ne pouvez pas observer, et la machine ne vous montre pas son travail.

La réponse de la commission néerlandaise n'était pas « fabriquer de meilleurs ordinateurs ». Elle était « l'exigence de vérifiabilité publique ne peut pas être satisfaite par aucune machine opaque, donc supprimez les machines ».

C'est une conclusion plus difficile que la plupart des gouvernements n'ont été disposés à atteindre. Mais la logique est impeccable.

Ce qui se passe quand il n'y a pas de papier

Pour comprendre ce que les Pays-Bas ont évité, regardez ce qui s'est passé dans le comté de Sarasota, en Floride, en novembre 2006 — la même année où les activistes néerlandais faisaient leur apparition à la télévision.

Sarasota utilisait des machines tactiles ES&S iVotronic sans papier. Le soir des élections, le comté a signalé environ 18 000 sous-votes dans la course au 13e district du Congrès de la Floride — environ 13 pour cent de tous les bulletins de vote n'ayant enregistré aucun choix pour le Congrès. La course a été décidée par 369 voix.

Il n'y avait rien à recompter.

Le Bureau américain de la responsabilité gouvernementale a testé les machines et n'a pu trouver un dysfonctionnement qui expliquerait les sous-votes. Il a également noté, avec prudence, qu'une piste de papier vérifiée par l'électeur aurait pu fournir une confirmation indépendante que les écrans tactiles avaient enregistré les votes correctement. Sans cela, la question de l'intention de 18 000 électeurs était simplement sans réponse. Le résultat a tenu, et personne ne pouvait prouver qu'il était correct.

C'est la lacune sans papier dans sa forme la plus brutale : une élection serrée, une anomalie qui ne peut pas être expliquée, et aucun registre indépendant à vérifier. Pas de complot. Pas de fraude. Juste une incertitude irréductible qui mine la confiance du public exactement dans les courses où la confiance du public est la plus importante.

La commission néerlandaise avait regardé ce piège logique et décidé : nous ne construirons pas un système qui puisse finir ici. Le papier est la police d'assurance qui rend le reste vérifiable.

La Norvège atteint une conclusion connexe, sous un angle différent

Les Pays-Bas n'étaient pas seuls à se retirer du vote électronique après l'avoir examiné attentivement.

La Norvège a mené des projets pilotes de vote par Internet lors des élections municipales de 2011 et des élections parlementaires de 2013 dans douze municipalités — avec soin, comme supplément au vote papier, uniquement pendant la période de vote anticipé. Selon le ministère responsable, les projets pilotes n'ont pas entraîné une augmentation du taux de participation. Le dividende de commodité promis ne s'est pas matérialisé.

En 2014, le ministère norvégien du gouvernement local et de la modernisation a décidé de cesser les projets pilotes de vote par Internet. Le gouvernement a conclu que, en l'absence d'un large soutien politique au vote par Internet et compte tenu des questions non résolues quant à savoir si les votes pouvaient être vérifiés tel que votés, il serait inapproprié de dépenser davantage de temps et d'argent pour des projets pilotes supplémentaires.

Cette phrase — des questions non résolues quant à savoir si les votes pouvaient être vérifiés tel que votés — effectue un travail considérable. La Norvège n'est pas un pays aux institutions fragiles ou ayant un historique d'élections contestées. Elle a mené les projets pilotes avec soin, évalué les résultats honnêtement, et conclu que si la confiance que chaque vote est compté tel que voté ne peut pas être assurée, le canal ne vaut pas le coût.

Remarquez ce que la Norvège et les Pays-Bas ont en commun : les deux ont pris leurs décisions par des processus publics transparents, basés sur la vérifiabilité comme exigence non négociable. Aucun ne réagissait à une fraude. Les deux réagissaient à l'impossibilité de vérifier que la fraude ne s'était pas produite — ce qui, il s'avère, est le même problème.

La machine qui ne pouvait pas être prise en train de mentir

Pour avoir une idée de ce que « non vérifiable » signifie dans son extrême, considérez ce que des chercheurs de Princeton ont démontré en 2006. Travaillant avec une véritable machine tactile Diebold AccuVote-TS — alors parmi les plus largement déployées aux États-Unis — Ariel Feldman, J. Alex Halderman et Edward Felten ont montré qu'un attaquant ayant environ une minute d'accès physique pourrait installer du code malveillant qui volerait des votes, altérerait tous les journaux et compteurs pour rester cohérents en interne, et se propagerait automatiquement aux autres machines par l'activité électorale normale.

La machine n'aurait pas l'air cassée. Elle produirait un décompte. Le décompte serait cohérent en interne. Rien dans les propres registres de la machine ne signalerait un problème.

La seule chose qui pourrait le détecter serait un registre papier vérifié par l'électeur que la machine ne contrôlerait pas — quelque chose que la machine ne pourrait pas altérer pour correspondre à sa propre fraude. L'AccuVote-TS n'en produisait pas.

C'est ce que la commission néerlandaise entendait par « pas de secrets dans le processus électoral ». Si le registre qui prouve le décompte est produit et stocké entièrement par la machine en cours d'audit, ce n'est pas un audit. C'est la machine qui se corrige elle-même.

« Nous l'avons compté à la main » est une assurance, pas une preuve — sauf si le papier est là

Les défenseurs des systèmes électroniques font souvent référence aux audits : les comptages manuels, les examens post-électoraux, les audits à risque limité. Ce sont de vraies améliorations. Le Colorado a effectué le premier audit à risque limité au niveau de l'État en 2017. La Géorgie a compté à la main environ cinq millions de bulletins présidentiels en 2020, l'écart entre le décompte de la machine et le décompte manuel s'élevant à environ un dixième de un pour cent.

Mais chacune de ces méthodes d'audit dépend de la même chose : un registre papier durable que la machine ne contrôlait pas exclusivement. Vous ne pouvez pas compter à la main ce qui n'a jamais été imprimé. Vous ne pouvez pas auditer une carte mémoire par rapport à elle-même.

Le décompte manuel de la Géorgie a fonctionné parce que la Géorgie avait des bulletins papier marqués par les électeurs. Le décompte manuel a confirmé le décompte de la machine parce qu'il y avait quelque chose d'indépendant à comparer.

Sarasota 2006 n'avait pas de telle comparaison. Le 13e district de la Floride avait une marge de 369 voix, 18 000 sous-votes inexpliqués, et rien à recompter. L'option d'audit n'était pas disponible. Elle avait été éliminée du système.

Les Pays-Bas ont regardé cela et ont fait un choix : papier d'abord, toujours, parce que sans lui, l'option d'audit dont vous pourriez désespérément avoir besoin n'existe pas.

Il y a une complication supplémentaire qui vaut la peine d'être nommée directement. Même les décomptes manuels entraînent une erreur humaine irréductible. L'audit manuel de décembre 2020 dans le comté d'Antrim, au Michigan — un petit comté, environ 15 700 bulletins — a produit un décompte final qui différait toujours du décompte de la machine d'environ une douzaine de voix. Pas des milliers. Douze. Dans un audit de comté à faible enjeu qui a confirmé un résultat sans ambiguïté, cette marge est inoffensive.

Dans une course décidée par une poignée de voix, une méthode qui est elle-même décalée par une poignée de voix ne peut pas régler la question. « Le décompte manuel l'a confirmé » est une assurance. Ce n'est pas une preuve. La seule chose qui convertit l'assurance en preuve est un système où tout le monde — et non seulement les responsables qui effectuent l'audit — peut vérifier indépendamment les registres sous-jacents par rapport à une chaîne de contrôle tamper-evident.

C'est la lacune que les Pays-Bas ont décidé de ne pas pouvoir supporter. Le papier plus un décompte manuel est meilleur qu'une boîte noire. Mais le papier plus un décompte manuel plus une chaîne de registres cryptographiquement vérifiable que tout le monde peut vérifier est encore mieux.

L'argument plus profond : remplacer la confiance par la vérifiabilité

Chaque pays qui s'est éloigné de la technologie de vote opaque a fait la même observation, généralement après une crise : le problème n'est pas que les machines se trompent définitivement. Le problème est que vous ne pouvez pas vous en assurer.

La Cour constitutionnelle allemande l'a dit en 2009, annulant l'utilisation des machines Nedap aux élections fédérales de 2005. Une élection dont la correction repose sur un logiciel caché échoue au test de vérifiabilité publique, indépendamment du fait que la manipulation soit jamais prouvée.

La Cour constitutionnelle autrichienne a annulé le second tour de l'élection présidentielle de 2016 non pas parce que la fraude était prouvée — elle ne l'était pas — mais parce que la chaîne de contrôle des bulletins de vote par correspondance avait été rompue d'une manière qui rendait la fraude impossible à exclure. La logique de la Cour : un résultat que personne ne peut vérifier n'est pas un résultat digne de confiance, même si la bonne personne a gagné.

La Cour suprême du Kenya a annulé une élection présidentielle en 2017 parce que la chaîne numérique du bureau de vote au décompte national n'a pas pu être vérifiée par rapport à des registres source tamper-evident. Le décompte n'a pas pu être vérifié. Le résultat a été annulé.

Le fil conducteur est toujours le même. Ce n'est pas question de quel parti a gagné. Ce n'est pas question de prouver une fraude. C'est question de savoir si le public — et non les responsables, ni le fournisseur, ni le Secrétaire d'État — peut vérifier indépendamment le décompte. Quand ils ne peuvent pas, le résultat repose sur la confiance dans l'autorité qui l'annonce. Et la confiance qui ne peut pas être testée n'est pas de la confiance. C'est de la déférence.

La contribution durable de la commission néerlandaise a été d'insister sur la vérifiabilité comme condition préalable, non comme fonctionnalité bonus. Le résultat : un pays qui vote toujours avec du papier et un crayon, dont les élections peuvent être observées du début à la fin du décompte final par tout citoyen se tenant dans la pièce, et dont le gouvernement n'a pas besoin de vous demander de lui faire confiance.

Ce qui ne peut toujours pas être vérifié — et ce qui le résoudrait

Voici ce qui n'est pas encore résolu, même aux Pays-Bas.

Les élections par bulletin papier compté manuellement sont vérifiables au sens fort : les bulletins sont des objets physiques, observés par plusieurs parties, et le décompte est surveillé en temps réel. Mais le processus repose toujours sur le comptage correct des humains, sur des registres complets de la chaîne de contrôle pour chaque bulletin, et sur l'hypothèse que les bulletins entrant dans le décompte sont ceux que les électeurs ont marqués. Les erreurs de comptage humain, les registres incomplets de la chaîne de contrôle, et la substitution en fin d'étape sont toujours possibles.

Le modèle néerlandais est dramatiquement meilleur qu'une machine sans papier. Ce n'est pas cryptographiquement prouvable au sens où les systèmes basés sur des logiciels vérifié de bout en bout aspirent à l'être — des systèmes où chaque électeur peut vérifier indépendamment que son bulletin a été inclus dans le décompte final sans révéler comment il a voté, et où tout observateur peut vérifier le total sans voir le choix de personne.

Cette lacune compte surtout dans les courses serrées. Dans une course décidée par des dizaines de voix, une méthode qui est elle-même décalée par une poignée de voix ne peut pas établir définitivement qui a gagné. Ce n'est pas un argument contre le papier. C'est un argument en faveur de l'ajout de vérifiabilité indépendante et mathématique par-dessus le papier — pour construire un système où le public n'a pas à faire confiance au décompte, parce qu'il peut le vérifier lui-même.

Le fait vérifiable est ceci : en ce moment, dans la plupart des juridictions, il n'y a pas de tel contrôle indépendant disponible pour vous. Le décompte est publié. Un responsable dit qu'il est correct. Un recompte peut ou peut ne pas être disponible. La piste d'audit sous-jacente peut ou peut ne pas être publiée sous une forme que vous pouvez télécharger et vérifier.

C'est la lacune de vérifiabilité — et elle peut être comblée. Ce qu'il faut, c'est publier instantanément les résultats au niveau des bureaux de vote, sous une forme lisible par machine, par rapport à une chaîne de contrôle tamper-evident que tout membre du public peut indépendamment réconcilier. Pas demander au public de faire confiance au décompte. Lui montrer le décompte, sous une forme qu'il peut vérifier.

Les Pays-Bas se sont éloignés de la machine quand elle n'a pas pu répondre à la question : pouvez-vous prouver que ce décompte est correct ?

Cette question attend toujours une meilleure réponse que « faites-nous confiance ».

Curieux de savoir à quel point la lacune sans papier est courante au niveau mondial ? Voyez le tableau complet entre juridictions. Vous voulez la version de deux minutes de ce que la vérifiabilité signifie en pratique ? Commencez ici. Ou approfondissez ce qu'une véritable piste d'audit ressemble — et ce qu'elle ne ressemble pas — sur notre page des lacunes.

Sources

Voir tous les articles Explorer les lacunes