← Tous les articles

Les petites erreurs ennuyeuses décident les grandes élections plus souvent que la fraude

Dans trois villes finlandaises en 2008, 232 personnes ont voté et leurs votes n'ont jamais été enregistrés — pas de fraude, pas de piratage, juste un bouton de confirmation que personne ne leur a dit d'appuyer.

C'est la matinée du 26 octobre 2008, et dans la ville finlandaise de Karkkila, un électeur entre dans un bureau de vote, s'assoit devant un terminal électronique, fait son choix et retire sa carte à puce. Il a fait tout ce qu'on lui a demandé de faire. Il s'en va en croyant qu'il a voté.

Il n'a pas voté.

Son vote n'a jamais été enregistré. Le terminal exigeait une dernière étape de confirmation — une brève pause, un appui sur un bouton — mais les instructions affichées à l'écran ne le rendaient pas clair. Sans cette étape, le système a silencieusement rejeté son choix. La même chose s'est produite à Kauniainen et Vihti. Sur l'ensemble des trois municipalités qui testaient le vote électronique finlandais ce jour-là, 232 votes ont disparu dans la machine sans aucun bruit.

Pas d'alarme. Pas de message d'erreur. Aucun moyen pour l'électeur de le savoir.

L'échec que personne n'avait prévu

La Finlande n'est pas un pays associé au chaos électoral. Elle possède l'une des traditions démocratiques les plus stables du monde. Le projet pilote de vote électronique de 2008 était une expérience soignée et limitée — trois villes, conditions supervisées, vote papier toujours disponible aux mêmes bureaux.

Et pourtant : 232 personnes ont quitté les bureaux de vote en croyant avoir participé à un processus démocratique, alors qu'en réalité elles ne l'avaient pas fait. Leur intention n'avait été enregistrée nulle part.

La Cour suprême administrative finlandaise (Korkein hallinto-oikeus) a enquêté et, le 9 avril 2009, a rendu la décision KHO:2009:39. La cour a constaté que les déficiences dans les instructions aux électeurs et la conception de la machine signifiaient que les élections dans ces trois municipalités devaient être refaites. De nouvelles élections ont été ordonnées. La Finlande n'a pas poursuivi le vote électronique.

Lisez cette séquence attentivement. L'erreur n'était pas une cyberattaque. Ce n'était pas de la fraude. Ce n'était pas un officiel renégat. C'était un défaut d'ergonomie — une interface qui ne disait pas aux gens ce qu'ils devaient faire — combiné à un système qui n'avait aucun moyen d'avertir un électeur que son action était incomplète. La méthode n'offrait aux électeurs aucune confirmation indépendante que leur bulletin avait été capturé. Donc quand ce n'était pas le cas, personne ne le savait.

C'est le type d'échec que les conversations sur l'intégrité électorale presque jamais se concentrent. Nous nous sommes entraînés à surveiller les conspirations. Les désastres banals passent juste devant nous.

Pourquoi les erreurs ennuyeuses sont celles qui décident réellement les élections

Il existe une idée persistante selon laquelle les élections serrées sont principalement menacées par les mauvais acteurs — quelqu'un qui bourre les bulletins, quelqu'un qui altère une machine, quelqu'un qui corrompt un employé du bureau de vote. Cette menace est réelle et documentée. Mais ce n'est pas le moyen le plus courant par lequel les marges minces sont décidées par quelque chose d'autre que les votes.

Le coupable plus courant est l'erreur ordinaire. Et l'erreur ordinaire est, par définition, invisible jusqu'à ce que quelqu'un regarde.

Une ligne de pli au mauvais endroit. De la poussière sur une lentille. Un bouton de confirmation que personne n'a appuyé. Une carte mémoire qui n'a pas été mise à jour. Ce ne sont pas des choses dramatiques, et c'est précisément le problème.

Considérez ce que l'audit judiciaire de Windham, New Hampshire a trouvé en juillet 2021. Après qu'une disparité est apparue entre les décomptes des machines et un recompte manuel dans une course de 2020 au poste de représentant d'État, la législature du New Hampshire a ordonné une enquête judiciaire complète en vertu du SB 43. L'équipe d'audit — Harri Hursti, Mark Lindeman et Philip Stark — a retracé le mauvais décompte à quelque chose d'presque comiquement banal : une plieuse que la ville avait louée à des fins d'envoi postal sans lien. Elle pliait les bulletins de vote par anticipation, mais pas selon les lignes de score imprimées du bulletin. Le pli résultant traversait les ovales des votes. Les lecteurs optiques AccuVote interprétaient une fraction importante de ces plis comme des votes marqués.

L'équipe a estimé qu'environ 44 pour cent des plis traversant les cibles de vote ont été interprétés comme des votes en novembre, avec des taux expérimentaux variant de environ 20 à plus de 72 pour cent selon les conditions. Une résidu de poudre blanche s'était aussi accumulé à l'intérieur des lecteurs, obstruant les lentilles. Pas de logiciel malveillant. Pas de falsification. Pas de fraude. Juste de la physique.

L'erreur n'était détectable que parce que les bulletins papier existaient. Un examen manuel pouvait récupérer ce que l'électeur avait réellement marqué — parce que le papier était toujours là, toujours lisible par les yeux humains. Le rapport d'audit a conclu que l'élection s'était, pour l'essentiel, bien déroulée. Mais le décompte par machine avait été incorrect. Et le décompte manuel qui l'a attrapé n'était lui-même pas parfait, comme les décomptes manuels le sont toujours.

« Le décompte manuel l'a confirmé » est une assurance, pas une preuve

C'est ici que l'assurance standard s'effondre — et où nous devons être honnêtes plutôt que réconfortants.

Au Comté d'Antrim, Michigan en 2020, une erreur de dépouillement a causé la publication de résultats préliminaires incorrects. La cause était humaine : une erreur de configuration, pas de la fraude ou un logiciel malveillant. L'erreur a été attrapée parce que les chiffres étaient scandaleusement implausibles pour le comté. Lorsque les officiels ont effectué un audit manuel complet de chaque bulletin présidentiel en décembre 2020, ils ont trouvé que le total certifié par machine et le décompte manuel différaient toujours d'environ une douzaine de votes sur environ 15 700 votants.

Douze votes. D'un décompte manuel. L'étalon-or.

Une méthode qui est elle-même inexacte d'une poignée de votes ne peut pas définitivement trancher une course décidée par une poignée de votes.

Ce n'est pas une accusation. C'est une description de comment le décompte humain fonctionne. Les gens mal catégorisent les marques ambiguës. Ils perdent le compte au milieu d'une pile. Ils débattent si un trait d'écritoire traverse un ovale. L'audit de Windham note exactement cela : un décompte manuel pouvait « déterminer l'intention de l'électeur » que les lecteurs avaient mal lu — mais le décompte manuel est aussi une activité humaine, sujette aux appels de jugement humains et à l'erreur humaine.

Le énorme décompte manuel de Géorgie en 2020 d'environ cinq millions de bulletins présidentiels — sur 41 881 lots, 159 comtés, moins de six jours — a confirmé le résultat tabulé par machine à environ un dixième de un pour cent près. C'est impressionnant à grande échelle. C'est aussi un rappel que « environ un dixième de un pour cent » dans une course très serrée n'est pas zéro. Les audits électoraux à risque limité du Colorado à l'échelle de l'État, les premiers du genre au lancement en 2017, offrent une approche statistiquement solide pour dimensionner la vérification en fonction de la proximité de la course — mais même ces audits dépendent d'un dossier papier exact, et de l'échantillonnage étant véritablement aléatoire.

Le point n'est pas que les décomptes manuels sont sans valeur. Ils sont essentiels. Le point est que « un décompte manuel l'a confirmé » et « le secrétaire d'État dit que c'est bon » sont des affirmations, pas des preuves. Dans une course décidée par des dizaines de votes, la confirmation par une méthode qui est elle-même incertaine de dizaines de votes est une assurance. Ce n'est pas la même chose que la vérifiabilité indépendante.

Le problème structurel que ces deux cas partagent

La Finlande 2008 et Windham 2020 semblent différentes en surface — l'une est un terminal de vote électronique dans un programme pilote nordique, l'autre est un lecteur optique dans une ville de la Nouvelle-Angleterre. Mais elles partagent le même échec sous-jacent.

Dans les deux cas, le système a produit un décompte qui différait des votes réels exprimés, et il n'y avait aucun mécanisme en temps réel pour que quelqu'un — électeur, observateur ou officiel — le détecte indépendamment.

Les électeurs finlandais n'avaient aucune confirmation que leur bulletin avait été capturé. Les bulletins de Windham n'avaient aucun moyen de signaler que les lignes de pli corrompaient la lecture. En Finlande, l'écart n'a été trouvé que parce que les officiels pouvaient éventuellement comparer le nombre d'électeurs enregistrés contre le nombre de bulletins attendus. À Windham, ce n'a été trouvé que parce qu'un recompte manuel a produit un chiffre suffisamment différent pour inciter à une enquête — et ensuite seulement entièrement expliqué parce qu'une équipe judiciaire y a passé des mois.

Les deux erreurs ont été attrapées après coup. Les deux ont exigé des efforts importants pour diagnostiquer. En Finlande, le seul recours était de refaire entièrement les élections. À Windham, le résultat a tenu — mais la marge dans la course affectée avait été incorrecte le soir des élections, et le degré auquel le décompte final certifié reflète avec précision l'intention de l'électeur est quelque chose qui ne peut pas être répondu avec certitude.

Le méchant dans les deux histoires est l'opacité. Pas la malveillance. L'opacité.

Ce que les tribunaux ont réellement dit à ce sujet

Ce n'est pas juste un argument technique. Les tribunaux dans plusieurs pays sont arrivés à la même conclusion du côté constitutionnel.

La Cour constitutionnelle fédérale allemande, statuant le 3 mars 2009 — presque exactement deux mois avant la Cour suprême administrative finlandaise — a jugé que le vote électronique n'est constitutionnellement légitime que lorsque les citoyens ordinaires, sans connaissance spécialisée, peuvent indépendamment vérifier chaque étape essentielle du bulletin au résultat. La Cour a constaté que les machines stockant les votes uniquement en mémoire électronique, sans dossier indépendamment vérifiable, ne satisfaisaient pas cette norme. Elle a annulé la base juridique des machines même sans preuve de dysfonctionnement réel.

La Commission Korthals Altes du gouvernement néerlandais, dans son rapport 2007 Stemmen met vertrouwen (Voter avec confiance), a énoncé le principe encore plus clairement : il n'y a pas de secrets dans le processus électoral. Les questions doivent être répondables, et les réponses doivent être vérifiables et contrôlables. Les Pays-Bas ont abandonné les ordinateurs de vote et sont retournés au papier.

La Cour suprême du Kenya a annulé une élection présidentielle en 2017 en partie parce que les formulaires de résultats manquaient de caractéristiques de sécurité cohérentes et la chaîne du bureau de vote au dépouillement national ne pouvait pas être indépendamment vérifiée. Les tribunaux du Malawi ont annulé un résultat présidentiel en 2020 parce que les feuilles de dépouillement avaient été altérées avec du liquide correcteur — une intervention physique banale, pas une cyberattaque — laissant aucun dossier fiable de ce que les électeurs ont réellement décidé.

Remarquez ce que tous ces cas ont en commun. Ils ne concernent pas les pirates. Ils concernent l'absence d'un mécanisme que quelqu'un en dehors de l'autorité de dépouillement peut utiliser pour vérifier indépendamment le décompte. Que le mode d'échec soit un défaut d'ergonomie, un pli de papier, du liquide correcteur ou un code QR illisible, le problème sous-jacent est le même : le dossier qui était censé prouver le résultat ne pouvait pas être indépendamment vérifié.

L'argument plus profond : la vérifiabilité attrape l'erreur honnête, pas seulement la fraude

La conversation publique sur l'intégrité électorale est presque entièrement encadrée autour de la fraude. C'est compréhensible mais trompeur. La fraude est un acte délibéré, et les actes délibérés laissent des traces — motifs, modèles, bénéficiaires. Les erreurs honnêtes ne laissent rien sauf un chiffre incorrect.

L'implication est importante : un système conçu uniquement pour détecter la fraude manquera les erreurs qui se produisent réellement le plus souvent.

Le système de vote électronique finlandais n'a pas été conçu pour être piraté. Il a été conçu pour être pratique. Il a échoué parce que ses concepteurs n'ont pas construit un mécanisme permettant aux électeurs de vérifier indépendamment que leur bulletin avait été compté — et sans ce mécanisme, un défaut d'ergonomie est devenu une perte de votes indétectable.

Les lecteurs de Windham n'ont pas été compromis. Ils faisaient ce pour quoi ils avaient été programmés : lire les marques foncées à des endroits spécifiques. Un pli de papier est une marque foncée à un endroit spécifique. Sans vérification indépendante des bulletins physiques, la sortie de la machine a été traitée comme faisant autorité.

Le remède n'est pas de se méfier des officiels. La plupart des agents électoraux font un travail véritablement difficile avec des ressources limitées et un examen intense. Le remède est de arrêter de construire des systèmes qui exigent de faire confiance à quelqu'un — et de construire des systèmes où le décompte est vérifiable par n'importe qui, indépendamment, sans avoir besoin de croire une personne ou une institution particulière.

Cela signifie des bulletins papier que l'électeur marque réellement et peut voir compter. Cela signifie des audits conçus par des statisticiens pour attraper les erreurs à l'échelle à laquelle elles devraient se produire pour changer un résultat — ce que le cadre d'audit à risque limité du Colorado tente de faire. Cela signifie que les résultats au niveau des bureaux de vote sont publiés instantanément, sous forme lisible par machine, afin que n'importe qui avec une feuille de calcul puisse reconstituer le dépouillement et signaler les anomalies plus rapidement que n'importe quel audit officiel. Cela signifie des engagements cryptographiques qui permettent aux vérificateurs indépendants de confirmer le dépouillement sans pouvoir voir les votes individuels.

Cela ne signifie pas faire confiance au lecteur. Cela ne signifie pas faire confiance à l'officiel qui dit que l'audit l'a confirmé. Cela signifie concevoir le système afin que la confiance ne soit pas la variable.

Ce qui n'est toujours pas vérifiable — et ce qui le rendrait vérifiable

Voici ce que nous ne savons pas, et ne pouvons pas savoir, à partir des cas de Finlande et Windham même maintenant :

Dans les trois municipalités finlandaises, nous savons que 232 votes ont été perdus. Nous ne savons pas qui ces électeurs avaient l'intention de soutenir. Nous ne savons pas si ces 232 votes auraient changé un résultat de course individuelle. Nous savons que des élections fraîches ont été tenues. Nous ne savons pas si l'électorat de la réélection était identique en composition ou en participation à l'original. La cour a fait la bonne chose. Cela laisse toujours une incertitude réelle sur ce que l'électorat original avait réellement décidé.

À Windham, nous savons que les plis de papier ont causé des erreurs de décompte. Nous savons que l'équipe judiciaire a fait un excellent travail en diagnostiquant la cause. Nous savons que le décompte manuel a récupéré l'intention de l'électeur pour les bulletins examinés. Nous ne savons pas si des effets de pli similaires se sont produits dans les élections précédentes avec le même équipement. Nous ne savons pas le taux d'erreur exact pour chaque lot de bulletins. Le résultat a été certifié. La méthode qui l'a certifié portait sa propre incertitude irréductible.

Ce ne sont pas des accusations. Ce sont le résidu honnête de s'appuyer sur la détection après coup plutôt que sur la vérification en temps réel.

Ce qui le rendrait vérifiable ? Une méthode de vote où chaque électeur reçoit un jeton anonyme — non traçable à son identité — qu'il peut utiliser pour vérifier que son bulletin spécifique apparaît correctement dans le dépouillement final, sans révéler comment il a voté. C'est ce que les systèmes de vote vérifiables de bout en bout cryptographiquement tentent de fournir. L'électeur n'a pas à faire confiance au terminal, au lecteur, à l'officiel ou au fournisseur. Il vérifie par lui-même.

Cette technologie existe. Elle n'est pas encore standard nulle part à grande échelle. Et jusqu'à ce qu'elle le soit, chaque élection serrée décidée par quelques dizaines de votes est une question ouverte portant un costume confiant.

Le point à retenir partageable est celui-ci : la plus grande menace pour une élection serrée n'est pas un pirate dans un pays étranger — c'est une ligne de pli que personne n'a remarquée, une interface que personne n'a expliquée, une erreur que personne n'a signalée parce que le système n'a jamais été construit pour la signaler. La solution n'est pas de meilleurs officiels ou des audits plus bruyants. C'est la vérifiabilité qui fonctionne pour tout le monde, qui n'exige la confiance de personne, et qui attrape les échecs ennuyeux avant qu'ils ne deviennent le dossier permanent.

Voyez à quel point cette lacune de vérification est courante dans le monde →

Lisez la version de deux minutes →

Explorez la base de données complète des lacunes →

Sources

Voir tous les articlesExplorer les lacunes