← Todos os artigos

Toda eleição acirrada é um teste de esforço que o seu sistema de votação provavelmente falha

Uma dobra num boletim. Pó numa lente. Sem fraude, sem malware — e ainda assim centenas de votos contados incorretamente numa corrida decidida por dezenas. O que acontece quando o método de auditoria é tão propenso a erros quanto a coisa que está a auditar?

É a manhã de 4 de novembro de 2020, e o cartório em Windham, New Hampshire está a examinar um resultado de contagem manual que não corresponde exatamente ao total da máquina.

Não por milhares. Não por centenas na maioria dos casos. Por o suficiente, numa corrida para Representante Estadual no Distrito 7 de Rockingham, para que a discrepância não pudesse ser ignorada. A margem que separava os candidatos era apertada. A diferença entre o que os scanners óticos AccuVote tinham registado e o que as mãos humanas tinham voltado a contar era real. Uma investigação aproximava-se — mas ainda não. Primeiro, os funcionários da cidade fizeram o que funcionários em toda a parte fazem: terminaram a certificação e seguiram em frente.

É aí que a história se torna interessante. Porque o que a auditoria forense eventualmente descobriu nada tinha a ver com fraude, hacking, ou agentes malignos de qualquer espécie. Tinha a ver com uma máquina de dobrar, uma dobra no sítio errado, e um scanner que não conseguia ver a diferença.

Os erros eleitorais mais perigosos são os entediantes que ninguém repara.

Uma dobra, uma ruga, e 300 votos contados incorretamente

Em julho de 2021, uma equipa de auditoria de três pessoas — Harri Hursti, Mark Lindeman, e Philip B. Stark — divulgou o seu relatório sob a Lei 43 do Senado de New Hampshire. O que encontraram foi metodicamente pouco glamoroso: uma máquina de dobrar que a cidade tinha alugado para fins de correio tinha dobrado alguns boletins por correio ao longo de linhas que cortavam diretamente os alvos de voto impressos — os óvalos que os eleitores deveriam preencher.

Os scanners AccuVote, a ler esses boletins, interpretaram uma fração substancial das rugas de dobra como marcas. Votos estavam a ser alucinados a partir da geometria do papel. Os experimentos da equipa mostraram taxas de falsos positivos de dobra através do alvo variando de cerca de 20 por cento a mais de 72 por cento, com uma média em torno de 44 por cento. Pó branco também tinha-se acumulado dentro de alguns scanners, obstruindo parcialmente as lentes — provavelmente piorando o problema nessas máquinas específicas.

O relatório completo é inequívoco: sem malware, sem adulteração, sem evidência de qualquer ato intencional. A eleição era, escreveu a equipa, "na sua generalidade, bem conduzida em circunstâncias desafiantes." E ainda assim as máquinas tinham contado incorretamente centenas de boletins validamente votados por uma razão mecânica que nenhum teste pré-eleitoral, nenhum processo de certificação, e nenhuma auditoria rotineira tinha sinalizado.

A única coisa que tornou isto detectável foi a existência de boletins de papel duradouro que uma mão humana pudesse re-examinar. A contagem manual recuperou a intenção do eleitor que o scanner tinha corrompido. Essa parte da história é genuinamente tranquilizadora.

Mas aqui está a parte que não é.

A auditoria que deteta o erro é ela própria imperfeita

A contagem manual no Condado de Antrim, Michigan em dezembro de 2020 — ordenada para resolver disputas sobre uma má configuração do tabulador que tinha brevemente publicado resultados oficiais absurdos — totalizou cada boletim presidencial manualmente. O resultado certificado não foi afetado. Os funcionários declararam a auditoria uma confirmação.

O que o anúncio do Departamento de Estado de Michigan notou, sem particular ênfase, foi que a contagem manual final (9.759 para Trump, 5.959 para Biden) ainda diferia da tabulação da máquina por cerca de uma dúzia de votos de aproximadamente 15.700 votados.

Doze votos. Numa corrida a nível de condado, sem nenhuma competição acirrada em jogo, esse número desaparece na categoria de "está tudo bem." Mas examine-o sob uma luz diferente.

Numa corrida decidida por menos de uma dúzia de votos, uma contagem manual que ela própria está errada por uma dúzia de votos não pode dizer-lhe quem venceu.

Isto não é uma teoria da conspiração. É aritmética. As contagens manuais carregam erro humano irredutível: os contadores leem mal as marcas, perdem a noção de uma pilha, discordam sobre um preenchimento ambíguo que é 70 por cento de um óvalo. Na contagem manual estadual da Geórgia em 2020 de aproximadamente 5 milhões de boletins presidenciais — uma das operações de auditoria mais impressionantes na história eleitoral americana — a variação entre a contagem original da máquina e a contagem manual foi cerca de um décimo de um por cento. Um décimo de um por cento parece minúsculo. Numa eleição de 5 milhões de boletins com uma margem de cerca de 11.000 votos, foi perto o suficiente para ser digno de atenção cuidadosa. Numa corrida local decidida por 8 votos, uma taxa de erro de um décimo de um por cento no próprio método de auditoria é maior do que a margem.

Esta é a armadilha. Chamamos a contagem manual o padrão de ouro. Dizemos a nós mesmos que confirma o resultado. E confirma — quando a margem é grande o suficiente para que o erro tanto na contagem da máquina como na contagem manual fique confortavelmente abaixo dela. Quando a margem não é grande o suficiente, substituímos uma contagem incerta por uma segunda contagem incerta e declarámos o problema resolvido.

A margem é o teste de esforço

Uma eleição acirrada não é um caso especial. É o caso que revela se o seu sistema de verificação funciona realmente — ou apenas parece funcionar.

Considere o que uma corrida acirrada exige:

A contagem da máquina deve ser precisa dentro da margem. O método de auditoria utilizado para a verificar deve ser preciso dentro da margem. O padrão de contagem manual para o que constitui uma marca válida deve ser definido com clareza suficiente para que contadores diferentes cheguem à mesma resposta. E tudo isto deve ser independentemente verificável por alguém que não seja o funcionário a ser auditado.

O caso de Windham passa aos primeiros dois testes eventualmente — a auditoria forense identificou de facto a causa raiz, e uma contagem manual cuidadosa recuperou de facto a intenção do eleitor. Mas exigiu uma investigação forense ordenada pelo estado, uma equipa de peritos externos, meses de trabalho, e uma legislatura disposta a encomendar. Nada disto aconteceu automaticamente. Nada disto teria acontecido se a margem no Distrito 7 de Rockingham tivesse sido alguns centenas de votos mais larga.

O seu sistema de verificação eleitoral é calibrado para as eleições que espera. Uma corrida acirrada é a eleição que não estava à sua espera.

O Colorado compreendeu isto mais cedo do que a maioria. Quando executou a primeira auditoria de risco-limite estadual do país em 2017, construiu o tamanho da amostra para a margem: as corridas acirradas recebem mais boletins verificados manualmente, não uma percentagem fixa independentemente de quão apertadas as coisas estão. A lógica estatística é sólida. Mas uma auditoria de risco-limite ainda exige um registo de papel confiável para auditar, e ainda envolve mãos humanas contando boletins com todo o erro que isso implica. Estreita o problema. Não o elimina.

O que torna uma discrepância visível — e o que a mantém oculta

O erro do tabulador do Condado de Antrim foi detetado porque o resultado que produziu era absurdo à face. Um condado solidamente republicano mostrava Biden a liderar por milhares de votos com a maioria dos boletins contados. Qualquer pessoa que conhecesse o histórico do condado identificou a anomalia instantaneamente. A correção foi feita dentro de 24 horas.

Mas é exatamente a lição errada a tirar. A lição não é "o sistema apanhou-o." A lição é: o sistema apanhou-o apenas porque o erro era enorme e politicamente óbvio. Uma configuração incorreta que deslocou 50 votos, ou 20, ou 12 — na direção certa, num condado cuja inclinação partidária tornava o resultado plausível — teria passado através de todas as camadas do processo sem um sinal.

Windham é a mesma história contada mais silenciosamente. A contagem incorreta de dobras-rugas quase certamente afetou os resultados de 2020. O relatório de auditoria forense nota que a mesma máquina de dobrar, o mesmo scanner, o mesmo pó a acumular-se estava tudo presente na noite das eleições. O efeito nos totais da máquina era real. Foi apanhado apenas porque uma contagem manual subsequente divergiu o suficiente para desencadear suspeita — e porque uma legislatura ordenou uma auditoria forense em vez de aceitar a explicação de que a contagem manual tinha sido negligente.

Quantas jurisdições, enfrentando uma lacuna semelhante entre totais da máquina e totais manuais, aceitaram a narrativa mais simples? Quantas não tinham uma legislatura disposta a insistir?

A Corte Constitucional Federal Alemã colocou a questão subjacente mais acentuadamente em 2009, quando invalidou o uso de máquinas de votação eletrónica que armazenavam votos apenas na memória sem nenhum registo independentemente verificável. A sentença da Corte susteve que a votação é apenas legítima quando cidadãos comuns, sem conhecimento especializado, podem verificar os passos essenciais da contagem. Não confiar em funcionários que verificaram. Não confiar numa auditoria que ela própria carrega resíduos inexplicados. Verificar.

O princípio não é unicamente alemão. A comissão do governo holandês de 2007 — que recomendou descartar computadores de votação inteiramente — colocou-o desta forma no seu relatório Stemmen met vertrouwen: "não há segredos no processo eleitoral." Tudo deve ser verificável e validável. Ponto final.

O método e a margem não podem ter o mesmo tamanho

Aqui está a versão mais clara do argumento:

Cada método de contagem tem uma taxa de erro intrínseca. Os scanners óticos leem mal dobras e lentes obscurecidas por pó. Os contadores manuais classificam mal marcas ambíguas, perdem a noção de pilhas, e discordam uns com os outros sobre óvalos preenchidos a 70 por cento. A contagem manual de Antrim divergiu da contagem da máquina por aproximadamente uma dúzia de votos. A contagem manual estadual da Geórgia divergiu por cerca de um décimo de um por cento.

Estas taxas de erro não são escândalos. São realidades de engenharia.

O escândalo é que tratamos estes métodos como resolvendo questões que não conseguem resolver. Dizemos "a contagem manual confirmou-o" sobre corridas onde a banda de erro da própria contagem manual abrange a margem. Dizemos "a auditoria afirmou o resultado" sem questionar se a precisão do método de auditoria era mais fina do que a margem de vitória.

Um método de verificação que é menos preciso do que a quantidade que está a medir não é um método de verificação. É um ritual de tranquilização.

"A contagem manual confirmou-o" e "o Secretário de Estado diz que está tudo bem" são tranquilizações. Não são prova. A prova exige um método cujo erro é demonstravelmente menor do que a margem — verificado por alguém que não seja o funcionário a ser auditado, contra registos que não podem ser silenciosamente alterados.

O Condado de Sarasota, Flórida tornou isto concreto em 2006, quando aproximadamente 18.000 votos em branco apareceram numa corrida congressional decidida por 369 votos, e não havia papel para examinar porque o condado utilizava máquinas de ecrã tátil sem papel. Não havia auditoria a executar, nenhuma contagem manual a executar, nenhum método a aplicar. O total da máquina era o único registo que existia. A corrida foi decidida. Os votos em branco nunca foram explicados.

Este é um modo de falha: nenhum papel em tudo. Windham é um mais subtil: papel existe, scanner leu mal, contagem manual recupera intenção, mas levou meses, uma equipa forense, e vontade legislativa para chegar lá. O modo de falha no meio — papel existe, scanner leu mal, lacuna está dentro do ruído de uma contagem manual, ninguém investiga — é aquele que não temos forma clara de detetar.

O que "verificável" realmente exige

A solução não é "contar manualmente tudo." As contagens manuais são lentas, caras, e elas próprias imprecisas. A solução não é "confiar nas máquinas." Windham e Antrim ambos mostram porquê.

A solução é um sistema concebido para que a verificação seja: mais rápida do que uma auditoria forense de meses; mais precisa do que o erro humano irredutível de uma contagem manual; independente do funcionário a ser verificado; e acessível a qualquer observador, não apenas a peritos encomendados pela legislatura.

Isto significa, no mínimo: registos de papel marcado pelo eleitor duradouros (não registos apenas com código de barras que o eleitor não consegue ler — um ponto que o tribunal federal em Curling v. Raffensperger fez explicitamente); auditorias estatísticas rotineiras dimensionadas à margem, não uma percentagem fixa independentemente de quão apertadas as coisas estão; e resultados a nível de secção de votação publicados imediatamente e em forma legível por máquina para que qualquer observador possa reconciliar o total público contra os registos subjacentes sem ter de esperar para receber acesso.

O framework de auditoria de risco-limite do Colorado avança para isto. A contagem manual de 2020 da Geórgia avançou para isto. Nenhuma chega todo o caminho. Nenhuma responde a questão do que fazer quando a banda de erro do método de auditoria e a margem de vitória têm a mesma largura.

Essa questão será respondida — ou não respondida — numa futura corrida acirrada que ninguém atualmente espera.

O que ainda não consegue verificar

A auditoria forense de Windham é genuinamente uma boa notícia: encontrou a causa, nomeou o mecanismo, produziu recomendações. A página de auditoria do Secretário de Estado de New Hampshire é publicamente acessível. O relatório é publicado.

Mas aqui está o que o relatório não consegue dizer-lhe: se o mesmo problema de máquina de dobrar afetou outras jurisdições utilizando o mesmo modelo de scanner, em corridas onde ninguém ordenou uma auditoria forense porque a margem era larga o suficiente para que a discrepância passasse despercebida. O relatório de Windham nota esta possibilidade explicitamente.

E aqui está o que nenhum framework de auditoria atual, em nenhum estado dos EUA, consegue dizer-lhe como um cidadão na noite das eleições: os totais exatos da máquina a nível de secção de votação, com carimbo de data/hora e assinados, publicados numa forma que possa descarregar e reconciliar contra o resultado certificado você próprio, sem pedir permissão a ninguém.

Esta lacuna — entre "os funcionários verificaram-no" e "você consegue verificá-lo" — é o argumento inteiro.

Um sistema eleitoral que não consegue verificar independentemente é um sistema eleitoral em que tem de confiar. E confiança, como Windham mostrou, não é a mesma coisa que precisão.

Veja como esta lacuna de verificação é comum em jurisdições em todo o mundo. Leia a versão de dois minutos do que torna uma contagem independentemente verificável. Explore a base de dados completa de falhas de auditoria de margem aproximada e o que revelam.

Fontes

Ver todos os artigosExplorar as lacunas