← Tous les articles

« Vérifiable » est un mot que les politiciens adorent. Voici ce qu'il doit réellement signifier.

La Cour suprême du Kenya a annulé une élection présidentielle non pas parce qu'une fraude a été prouvée, mais parce que personne — ni un juge, ni un journaliste, ni un électeur ordinaire — ne pouvait vérifier indépendamment comment le résultat avait été établi.

C'est la matinée du 1er septembre 2017, et six juges à Nairobi viennent de se diviser quatre contre deux sur une question qui fera écho dans les salles d'audience du Malawi à l'Allemagne en passant par votre salon : quand vous ne pouvez pas retracer un vote du bureau de vote au dépouillement national, avez-vous vraiment une élection ?

Le vainqueur déclaré de l'élection présidentielle kenyane du 8 août était Uhuru Kenyatta, avec environ 54 % des voix. Mais la Cour suprême n'a pas annulé le résultat parce que les chiffres étaient erronés. Elle l'a annulé parce que personne ne pouvait vérifier si les chiffres étaient corrects. Le formulaire 34A — le relevé de résultats au niveau du bureau de vote que la constitution exigeait de transmettre électroniquement au centre national de dépouillement — n'était pas tous arrivés comme prévu. Le formulaire de dépouillement final ne portait ni filigrane ni numéro de série. Le président de la commission électorale avait déclaré un vainqueur avant de recevoir tous les documents justificatifs. La chaîne allant du bulletin individuel au total national présentait des mailles manquantes, et dans une démocratie constitutionnelle, les mailles manquantes ne sont pas une simple gêne technique. C'est le cœur du problème.

« L'élection n'a pas été menée en conformité avec la Constitution », ont écrit les juges de la majorité dans leur justification intégrale, publiée le 20 septembre. L'exigence : que le vote soit simple, exact, vérifiable, sécurisé, responsable et transparent. Pas digne de confiance. Pas certifié. Vérifiable.

Ce mot — vérifiable — fait un travail énorme dans cette phrase. Les politiciens l'utilisent constamment, et presque jamais ne le définissent. Or, il s'avère que les tribunaux doivent le faire.

Ce qu'un tribunal entend par « vérifiable »

La Cour suprême kenyane interprétait l'article 86 de la constitution kenyane, qui énonce ces six propriétés comme des exigences — pas des aspirations, des exigences. Mais la contribution plus profonde du jugement réside dans ce qu'il implique quant au contenu du mot.

Vérifiable ne signifie pas vérifié par quelqu'un en qui vous avez confiance. Ce n'est pas nos auditeurs ont vérifié. Cela signifie : toute personne, et pas seulement un expert, peut retracer les étapes essentielles — du bulletin dans l'urne au chiffre dans le dépouillement — et confirmer qu'ils correspondent. Une chaîne ininterrompue, vérifiable indépendamment. Chaque maillon public, documenté, irréfutable.

Le système kenyan a échoué sur plusieurs mailles à la fois. Les formulaires n'ont pas été transmis comme prévu. Les formulaires reçus ne portaient pas de mesures de sécurité cohérentes. L'agrégation finale a eu lieu avant que les documents source qu'elle était censée refléter ne soient reçus. Rien de cela ne signifie que les votes ont été volés. La Cour a explicitement conclu qu'aucune fraude n'avait eu lieu. Mais la structure du dépouillement rendait la fraude indétectable — et une erreur indétectable est indistinguishable d'une fraude indétectable. C'est là le point.

Une nouvelle élection a été ordonnée dans les 60 jours. Le deuxième candidat, Raila Odinga, l'a boycottée. Kenyatta a gagné à nouveau. Nous ne saurons jamais vraiment si le vote sous-jacent d'août 2017 était exact — et c'est précisément le problème que la Cour a relevé.

La formulation allemande : aucune connaissance spécialisée requise

Quatre mois avant même que l'élection kenyane ne se tienne, un tribunal de l'autre côté du monde avait tracé la même ligne, plus nettement.

Le 3 mars 2009, la Cour constitutionnelle fédérale allemande a invalidé l'utilisation des machines de vote électroniques Nedap lors de l'élection fédérale de 2005. Les machines avaient été largement utilisées. Elles avaient été certifiées. Personne n'avait trouvé de preuve de falsification. Rien de cela n'avait d'importance.

Le raisonnement de la Cour mérite d'être mémorisé mot pour mot : les étapes essentielles du vote et de la détermination du résultat doivent être examinables par le citoyen de manière fiable et sans aucune connaissance spécialisée du sujet. Cela découle du principe de la publicité des élections enchâssé dans la Loi fondamentale — l'exigence démocratique fondatrice de la constitution allemande.

Les machines ne stockaient les votes que dans la mémoire électronique. Aucun dossier indépendant n'existait que l'électeur pouvait vérifier. Aucune personne ordinaire ne pouvait vérifier la transition de « j'ai appuyé sur ce bouton » à « ce chiffre est apparu au total ». La Cour a qualifié cela de vice constitutionnel, point final. Elle a refusé d'annuler le résultat de 2005 — l'élection avait eu lieu, il n'y avait aucune preuve de malfonctionnement, et la Cour l'a mis en balance avec le trouble provoqué par la révocation d'un parlement — mais elle a interdit les machines à l'avenir.

Deux tribunaux, deux continents, deux traditions constitutionnelles. La même définition de vérifiable. La chaîne allant du bulletin au total doit être vérifiable par n'importe qui, sans avoir besoin de faire confiance à la parole d'un technicien.

Ce que « vérifiable » n'est pas

C'est là que le concept s'affûte par ce qu'il exclut.

Ce n'est pas « nous l'avons compté à la main ». Un dépouillement manuel est une vérification utile, mais il n'est pas auto-vérifiable. Dans le comté d'Antrim, au Michigan, en 2020, les agents électoraux ont procédé à un audit manuel complet de tous les bulletins présidentiels après qu'une erreur de dépouillement par machine ait attiré l'attention. Le dépouillement manuel différait de la tabulation corrigée par machine d'environ une douzaine de votes sur environ 15 700 exprimés. Douze votes. C'est l'erreur humaine irréductible dans un processus manuel — la fatigue, des appels au jugement sur des marques ambiguës, un bulletin brièvement placé dans le mauvais tas. Dans une course décidée par une poignée de votes, une méthode qui dévie elle-même d'une poignée de votes ne peut pas trancher la question. « Le dépouillement manuel l'a confirmé » est une assurance. Ce n'est pas une preuve.

Ce n'est pas « nous avons certifié le système ». L'Irlande a acheté un système national de vote électronique — des machines Nedap/Powervote, 7 500 d'entre elles — et une commission indépendante a conclu qu'elle ne pouvait tout simplement pas recommander le déploiement avec le « degré requis de confiance ». Non parce qu'une fraude a été découverte. Parce que l'exactitude et le secret n'avaient pas été prouvés à la satisfaction de la commission. Les machines se sont retrouvées dans un entrepôt pendant cinq ans, puis ont été mises au rebut. La certification est une affirmation. Le travail de la commission était de tester l'affirmation. L'affirmation a échoué.

Ce n'est pas « un haut responsable a dit que c'était correct ». Au Venezuela en août 2017, Smartmatic — la société qui avait construit et géré l'infrastructure électorale du pays pendant plus d'une décennie — a publié une déclaration selon laquelle elle savait « sans aucun doute » que la participation annoncée à l'élection de l'Assemblée constituante nationale du 30 juillet avait été manipulée, différant de la participation réelle d'au moins un million de votes. Le résultat officiel avait été déclaré. Le fournisseur lui-même l'a désavoué. Quand les personnes qui ont construit la machine ne peuvent pas réconcilier ce que la machine a enregistré avec ce qui a été annoncé, et qu'aucune vérification indépendante n'existe, il ne reste rien sur lequel le public puisse se tenir.

Ce n'est même pas « notre preuve cryptographique est publiée ». La Poste suisse et son fournisseur Scytl ont publié le code source complet de leur système de vote en ligne en 2019 précisément comme un geste de transparence. Les chercheurs indépendants Sarah Jamie Lewis, Olivier Pereira et Vanessa Teague ont lu le code et trouvé une porte dérobée dans la preuve de mélange du mixnet : quelqu'un qui connaissait les valeurs de la trappe pouvait générer un relevé de vérification qui passait tous les contrôles tout en ayant silencieusement modifié les votes. Les autorités suisses ont suspendu le système. La preuve semblait valide. Le défaut était invisible jusqu'à ce que des cryptographes externes sans enjeu dans le résultat le recherchent. Une affirmation de vérifiabilité n'a de sens que si elle résiste à l'examen critique adversarial externe.

Les cinq mailles de la chaîne

Si « vérifiable par n'importe quelle personne ordinaire » est la norme constitutionnelle, que faut-il réellement en pratique ? L'affaire Kenya, lue au regard de l'affaire allemande et des preuves accumulées de plus d'une douzaine d'autres pays, suggère cinq mailles spécifiques qui doivent toutes tenir.

Première : un relevé irréfutable au moment du vote. Le bulletin — papier ou équivalent — doit capturer l'intention de l'électeur d'une façon que ni la machine ni aucun manipulateur ultérieur ne peuvent modifier sans détection. Les dispositifs de balisage de bulletin à code QR examinés dans Curling v. Raffensperger en Géorgie illustrent le mode de défaillance : une cour fédérale a constaté que le système « ne fournit pas un dossier de bulletin vérifiable et vérifiable parce qu'il s'appuie sur le code QR pour la tabulation des votes et ce code lui-même ne peut pas être lu et vérifié par l'électeur ». Ce qui est compté doit être ce que l'électeur peut inspecter. C'est le même artefact.

Deuxième : une chaîne de possession documentée et signée. Lors du second tour de l'élection présidentielle autrichienne de 2016, les bulletins postaux ont été ouverts et dépouillés prématurément, par des personnes non autorisées, sans les témoins requis. La Cour constitutionnelle autrichienne a annulé le résultat — 77 000 votes affectés ont dépassé la marge de 30 000 votes — bien qu'elle n'ait trouvé aucune preuve de fraude. La chaîne procédurale existait précisément pour rendre la manipulation détectable. Une fois la chaîne rompue, vous ne pouvez pas distinguer une irrégularité procédurale d'une fraude dissimulée. Le résultat devient légalement indéfendable non pas parce qu'il est erroné mais parce qu'il est non vérifiable.

Troisième : un dossier public à chaque étape d'agrégation. Au Kenya, l'exigence constitutionnelle était la transmission électronique en temps réel du formulaire 34A de chaque bureau de vote. Cette exigence existait spécifiquement pour que n'importe qui — un journaliste, un agent d'un parti, un citoyen privé — puisse comparer la somme ascendante avec l'annonce descendante. Quand cela ne se produit pas, le total national flotte librement, détaché de ses documents source. Au Malawi en 2019, les responsables électoraux ont utilisé du correcteur liquide sur les feuilles de dépouillement officielles avant de les entrer dans le compte. La Cour constitutionnelle a annulé l'élection. Vous ne pouvez pas vérifier un chiffre que quelqu'un a déjà effacé et réécrit. Les relevés source irréfutables ne sont pas du pédantisme bureaucratique ; ils sont la base de preuves sur laquelle dépend toute vérification ultérieure.

Quatrième : un audit indépendant avec une force statistique. Une vérification par la même institution qui a produit le chiffre n'est pas indépendante. Le Colorado, en 2017, a mené le premier audit de limitation des risques à l'échelle de l'État aux États-Unis — une procédure qui examine suffisamment de bulletins de papier dépouillés à la main pour donner un niveau de confiance mathématiquement défini que le total de la machine est correct. Cela ne fonctionne que parce que des bulletins de papier durables existent et peuvent être physiquement comparés avec la sortie de la machine. La logique de l'audit est adversariale : elle est conçue pour détecter un résultat erroné avec une probabilité élevée, non pour cautionner le vainqueur annoncé. C'est ce à quoi ressemble une vérification indépendante.

Cinquième : les résultats publiés au niveau le plus bas, instantanément, sous forme lisible par machine. L'exigence du formulaire 34A de la constitution kenyane était la bonne idée pour cette raison : la transparence ascendante au niveau du bureau de vote rend les erreurs d'agrégation immédiatement visibles, parce que n'importe qui peut additionner les formulaires et comparer. La Commission d'assistance électorale des États-Unis exhorte les responsables à publier les résultats au niveau du district de vote dans des formats lisibles par machine téléchargeables afin que les citoyens puissent réconcilier le compte eux-mêmes. C'est la vérifiabilité rendue pratique — pas « nous avons posté un PDF », mais « voici les données brutes ; vérifiez notre arithmétique ».

Les cinq mailles doivent toutes tenir. Une maille cassée suffit pour rendre la chaîne non vérifiable. La chaîne du Kenya s'est cassée aux mailles trois et cinq simultanément. Celle de l'Autriche s'est cassée à la maille deux. Celle du Malawi s'est cassée à la maille trois. C'est pourquoi les résultats annoncés avec confiance dans tous les trois cas étaient toujours légalement inséquables.

La confiance n'est pas la même chose que la vérifiabilité — et la différence compte

Il existe une version de cet argument qui se sent inconfortable, parce qu'il semble jeter le doute sur des élections que la plupart des observateurs croient avoir été honnêtement menées. Ce malaise vaut la peine d'être accepté.

Le point n'est pas que Kenya 2017 ou Autriche 2016 aient été frauduleuses. Les tribunaux dans les deux cas ont refusé de trouver une fraude. Le point est que un résultat honnête produit par un processus non vérifiable est indistinguishable, pour le public, d'un résultat malhonnête produit par le même processus. La confiance qui s'avère justifiée est toujours de la confiance. Ce n'est pas la vérifiabilité. Et la confiance — envers les responsables, envers les fournisseurs, envers un communiqué de presse du Secrétaire d'État — est exactement ce que la coercition, la corruption et la manipulation technique sophistiquée exploitent.

Les Pays-Bas l'ont compris en 2007 quand sa commission consultative a publié un rapport intitulé « Voter en confiance » puis a recommandé d'abandonner le vote électronique. Sa logique : il n'existe « pas de secrets dans le processus électoral », et « les questions doivent recevoir des réponses et les réponses doivent être vérifiables et vérifiables ». Il est revenu au papier et aux comptages manuels — non pas parce que les machines avaient été prouvées compromises, mais parce que la transparence et la vérifiabilité ont été traitées comme non négociables, indépendamment de la fiabilité des opérateurs en place.

C'est l'architecture qui vaut la peine d'être construite. Pas des systèmes en lesquels vous avez confiance. Des systèmes que vous pouvez vérifier. Des systèmes dont n'importe qui peut vérifier les résultats indépendamment, sans avoir besoin d'accès à du code propriétaire, des journaux classifiés ou des assurances d'un fournisseur. Où la preuve est publique, testée de manière adversariale, et ne dépend pas de croire la personne qui l'a produite.

Parce que le prochain gouvernement ne sera peut-être pas aussi honnête que celui-ci. Le prochain fournisseur ne sera peut-être pas aussi prudent. La prochaine élection ne sera peut-être pas décidée par une marge suffisamment évidente pour attraper une erreur. L'exigence constitutionnelle n'est pas « vérifiable quand nous prêtons attention ». C'est vérifiable par conception, par n'importe qui, en tant que matière de cours normal.

Ce qui ne peut toujours pas être vérifié — et ce qui le rendrait possible

Voici ce que le jugement Kenya, le jugement Allemagne et l'ensemble complet des preuves ci-dessus laissent non résolu :

Dans la plupart des démocraties, vous toujours ne pouvez pas, en tant que citoyen ordinaire, confirmer indépendamment que le chiffre rapporté de votre bureau de vote correspond à ce qui a été enregistré dans la machine. Vous ne pouvez pas vérifier que l'agrégation du bureau de vote au district au comté au total national a été effectuée correctement. Vous ne pouvez pas vérifier si le logiciel qui a tabulé votre bulletin contient le code qui a été certifié, ou une version ultérieure qui ne l'est pas. Vous ne pouvez pas comparer le code QR sur votre bulletin balisé avec le texte lisible par l'homme que vous pensiez choisir — parce que le scanner lit le code-barres, pas le texte.

Ce ne sont pas des lacunes hypothétiques. Les tribunaux les ont nommées. Les chercheurs les ont exploitées. Les autorités électorales ont, dans certains cas, les corrigées — et dans de nombreux cas ne l'ont pas.

Qu'est-ce qui les rendrait vérifiables ? Les résultats publiés, signés, au niveau du bureau de vote dès qu'ils sont finaux. Les bulletins marqués par l'électeur dont le texte lisible par l'homme est ce qui est scanné. Un logiciel de tabulation open-source que les experts indépendants peuvent lire, tester et retester — non pas une seule fois à la certification, mais continuellement. Des audits routiniers, adversariaux et publics liés à un niveau de confiance énoncé, pas un pourcentage fixe. Et une chaîne de possession documentée à chaque étape, avec des sceaux irréfutables qui peuvent être physiquement inspectés après coup par n'importe qui ayant qualité pour regarder.

Rien de cela n'exige de faire confiance à un gouvernement, un fournisseur ou un Secrétaire d'État. C'est le point.

Un résultat électoral que vous ne pouvez pas vérifier indépendamment n'est pas, au sens constitutionnel, un résultat du tout. C'est une annonce.

Voir où cette lacune apparaît dans le monde entier →

Lisez la version deux minutes →

Explorez des cas spécifiques de pays →

Sources

Voir tous les articlesExplorer les lacunes