← Todos os artigos

Por que a margem de erro tem de ser menor que a margem de vitória

A eleição presidencial austríaca de 2016 foi anulada não porque se tenha provado fraude, mas porque 77 mil boletins mal manuseados ultrapassaram uma margem de 30 mil votos — e essa aritmética por si só foi suficiente.

É pouco antes das 9 da manhã de 22 de maio de 2016, e num escritório eleitoral de distrito em algum lugar da Áustria, um envelope selado está a ser aberto antes da hora prevista.

O envelope contém boletins de voto por correio — votos de ausentes de cidadãos que não estavam a votar em pessoa. Por lei, esses envelopes não podem ser tocados até à manhã seguinte à eleição. A comissão eleitoral de distrito tem de estar presente. Testemunhas têm de estar lá. Nada disso está a acontecer. Alguém decidiu, por razões de conveniência ou pressa ou simples negligência, começar mais cedo.

Em toda a Áustria nesse mesmo dia, variações da mesma cena repetem-se em vários distritos. Boletins contados antes da hora permitida. Envelopes abertos sem as pessoas certas presentes. Votos tabulados por mãos não autorizadas.

Ninguém encheu as urnas. Ninguém trocou os resultados. O Tribunal Constitucional Austríaco, quando examinou as provas meses depois, não encontrou prova de fraude real. O que encontrou foi algo que se revelou igualmente importante.

A aritmética que termina uma eleição

A contagem final da segunda volta de 22 de maio mostrou Alexander Van der Bellen a derrotar Norbert Hofer por aproximadamente 30 mil votos de cerca de 4,6 milhões contados — uma margem de aproximadamente 0,6 por cento.

O tribunal fez então uma aritmética diferente. Adicionou os votos afetados pelas violações procedimentais que tinha documentado: boletins de correio manuseados fora da lei, em quantidades que podiam ser verificadas distrito por distrito. O total chegou a aproximadamente 77 mil.

Setenta e sete mil contra uma margem de trinta mil.

O tribunal não precisava provar que um único boletim tivesse sido alterado. Precisava apenas de provar — e este é o discernimento crucial — que as violações tinham ocorrido em números suficientes que se tivesse havido manipulação, teria podido mudar o resultado. As regras procedimentais não eram pormenores burocráticos. Eram o mecanismo pelo qual a contagem podia ser verificada de forma independente. Uma vez quebradas em números que ultrapassam a margem, não podiam ser reconstruídas. O resultado tornou-se, num sentido legal e democrático, desconhecido.

Em 1 de julho de 2016, o Verfassungsgerichtshof anulou toda a segunda volta. Uma eleição repetida foi marcada para dezembro.

Isto é um problema matemático, não apenas jurídico

Eis o princípio que o tribunal austríaco articulou, traduzido em termos simples: a sua margem de erro tem de ser menor que a sua margem de vitória, ou não decidiu realmente nada.

Isto parece quase demasiado simples. Mas quase todas as eleições contestadas nos tempos atuais podem ser analisadas através desta ótica, e a análise é quase sempre condenatória.

Pense no que "margem de erro" significa num contexto eleitoral. Não é apenas erros de contagem. É tudo aquilo que cria incerteza entre o voto que um cidadão votou e o número que aparece na contagem final: boletins processados fora dos procedimentos legais, erros de máquina que não podem ser verificados de forma independente, rutura da cadeia de custódia que deixa um espaço vazio na pista de auditoria. Quando o total de todas essas incertezas ultrapassa a vantagem do vencedor, não está a olhar para um resultado confirmado. Está a olhar para um intervalo.

E um intervalo não tem um vencedor.

O caso austríaco é quase perfeitamente concebido como um exemplo didático porque os números são inequívocos. 77 mil é maior que 30 mil. O tribunal não precisava de estatística sofisticada. Precisava de aritmética.

O que uma contagem manual "confirmada" realmente confirma

Agora considere como poderia tentar resolver um problema como este. A resposta óbvia: recontar os boletins manualmente. Ter pessoas a olhar para cada folha de papel. Corrigir qualquer erro de máquina.

Isto é apelativo, e sob as condições certas é melhor do que nada. A recontagem manual presidencial de 2020 da Geórgia de aproximadamente cinco milhões de boletins — a maior tabulação manual na história americana — confirmou o resultado tabulado por máquina com uma margem de aproximadamente um décimo de um por cento. Isto é genuinamente tranquilizador quando a margem é medida em dezenas de milhares.

Mas olhe mais atentamente para o que aconteceu no Condado de Antrim, Michigan, numa escala muito menor. Depois de um erro na tabulação de 2020 ser apanhado e corrigido, foi conduzida uma auditoria manual completa de aproximadamente 15.700 boletins presidenciais. A contagem manual diferiu da tabulação de máquina por cerca de uma dúzia de votos. Não por causa de fraude. Não por causa de um erro de programação. Porque contar manualmente é em si um método realizado por humanos, e humanos cometem erros — transposição de números numa folha de tabulação, contagem errada de uma pilha, leitura errada de uma marca ambígua.

Uma dúzia de votos em 15.700 é uma pequena taxa de erro. Mas aqui está a pergunta que o exemplo de Antrim o força a fazer: e se a eleição tivesse sido decidida por onze votos?

Nesse cenário, "a contagem manual confirmou" não é uma conclusão. É uma afirmação de que um método incerto foi verificado contra outro método incerto, e discordaram por mais do que a margem. Estaria de volta a um intervalo sem um vencedor.

Isto não é um problema teórico. Em 2006, o 13º Distrito do Congresso da Flórida foi decidido por 369 votos — uma margem menor do que o ruído irredutível numa contagem manual grande dos mesmos boletins. As máquinas eram sem papel, por isso não havia nada físico para recontar em tudo. Dezoito mil votos subregistados ficaram na memória das máquinas, e a questão de se representavam escolha do eleitor ou falha de máquina foi permanentemente insondável.

"A contagem manual confirmou" e "o Secretário de Estado diz que está bem" são tranquilizações. Não são a mesma coisa que prova que pode verificar você próprio.

Por que "nenhuma prova de fraude" não fecha a questão

A decisão austríaca faz um ponto que se perde na maioria dos debates sobre integridade eleitoral: a ausência de fraude provada não é a mesma coisa que a presença de um resultado verificável.

O tribunal foi explícito. Não anulou a eleição porque acreditasse que votos tivessem sido alterados. Anulou-a porque as salvaguardas que teriam provado que não tinham sido alterados foram violadas em números demasiado grandes para descartar. As regras sobre quem pode manusear boletins, e quando, e sob observação de quem, não são fita vermelha. São a pista de auditoria. Quebra a pista de auditoria e não tem um resultado que ninguém possa verificar independentemente — tem uma afirmação.

Esta distinção importa enormemente na prática. "Não encontrámos prova de fraude" é uma afirmação sobre o que investigadores procuraram e não encontraram. Não diz nada sobre o que um atacante com acesso e motivação poderia ter feito sem ser detetado. Um resultado é confiável não quando nenhuma fraude foi provada, mas quando os procedimentos tornam fraude não detetada impossível de ocultar — porque cada passo é observável por alguém independente das pessoas a dirigir a contagem.

O Colorado compreendeu isto quando foi pioneiro na auditoria de risco limitado em 2017. O discernimento chave por trás de uma RLA é a precisão estatística: amarrando o tamanho da amostra manual à margem de vitória, pode declarar com confiança definida se o vencedor anunciado é realmente o vencedor verdadeiro. Numa eleição decidida por 50 votos, examina uma fração muito grande de boletins manualmente. Numa eleição decidida por 50 mil, examina muito menos. O método dimensiona o escrutínio à incerteza. É a coisa mais próxima que a administração eleitoral americana tem de levar a aritmética do tribunal austríaco a sério.

Mas uma RLA só funciona se há um registo de papel fiável para auditar contra. O que o leva ao próximo problema.

O registo que audita contra tem de ser legível

Em outubro de 2020, um tribunal federal em Atlanta estava a examinar o sistema de marcação de boletins Dominion da Geórgia. O tribunal descobriu que o sistema tabula votos a partir de um código QR impresso no boletim — um código que o eleitor não pode ler. O texto legível por humanos no papel confirma as escolhas do eleitor. O código QR, que é o que o scanner realmente conta, poderia teoricamente dizer algo diferente. Um eleitor não tem forma de verificar que correspondem.

Esta é uma versão mais subtil do mesmo problema. Tem um registo de papel. Pode contar o papel manualmente. Mas o que está a contar — o código de barras legível por máquina — não é verificável de forma independente pela pessoa a fazer a contagem sem um dispositivo para o descodificar. O tribunal notou, citando as Academias Nacionais, que não existe atualmente nenhum mecanismo técnico para garantir que uma aplicação de contagem de votos produz resultados precisos e que testes por si só não podem assegurar que os sistemas não foram comprometidos.

A lição é desconfortável: uma pista de papel não é automaticamente um registo auditável. O artefato que conta tem de ser o mesmo artefato que o eleitor pode inspecionar e confirmar. Se essas duas coisas são diferentes, não fechou o circuito de verificação — acabou de adicionar uma camada de tranquilização em forma de papel.

O Tribunal Constitucional Federal Alemão compreendeu isto em 2009, quando anulou máquinas de votação eletrónica com o fundamento de que cidadãos comuns têm de ser capazes de verificar os passos essenciais de boletim a resultado sem conhecimento especializado. Não auditores. Não peritos. Cidadãos. Os Países Baixos chegaram à mesma conclusão de forma independente, com a sua comissão sobre o processo eleitoral concluindo que não há "segredos no processo eleitoral" e que qualquer método tem de ser transparentemente verificável contra um registo legível por humanos.

A lacuna entre anúncio e verificação

Eis o que permanece não resolvido na maioria das eleições próximas do mundo, e por que a Áustria 2016 não é uma curiosidade histórica mas um aviso atual.

Quando um resultado é anunciado, o que recebe tipicamente é: um número, uma declaração, e uma garantia. A garantia vem da mesma instituição que produziu o número. Oficiais dizem que o resultado foi verificado. Auditores dizem que a auditoria foi concluída. Um Secretário de Estado emite um comunicado de imprensa.

Nada disto é falsável pelo público. Não pode, como eleitor, ir e verificar os dados subjacentes você próprio. Não pode extrair os registos ao nível do colégio eleitoral, reconciliá-los contra os totais relatados, e confirmar a aritmética. Na maioria das jurisdições está, em algum ponto, simplesmente a confiar que as pessoas que dirigiram a contagem a fizeram corretamente.

O exemplo da Áustria mostra exatamente por que essa confiança tem um limite estrutural. As violações procedimentais lá eram documentadas — eram visíveis o suficiente para levar a um tribunal constitucional. Mas foram apenas documentadas porque o partido perdedor moveu um desafio legal, advogados obtiveram registos através de litígio, e juízes tinham poder para compelir divulgação. A maioria dos erros — e a maioria das manipulações potenciais — nunca enfrentam esse tipo de escrutínio, porque ninguém que perde por 30 mil votos numa eleição de baixo perfil tem os recursos para um desafio constitucional.

A questão que o caso austríaco coloca não é "foi esta eleição particular roubada?" O tribunal disse que não foi. A questão é: em que fração de eleições próximas, em cada nível, as incertezas ultrapassam a margem — e quem está numa posição para saber?

A resposta, na maioria do mundo, é: ninguém, porque os dados não são públicos o suficiente para verificar.

O que "independentemente verificável" realmente tem de significar

A solução não é mais oficiais a garantir o processo. Não é auditores que reportam às mesmas autoridades que dirigiram a eleição. Não é uma declaração de imprensa citando a ausência de fraude.

É resultados ao nível do colégio eleitoral, legível por máquina, publicamente transferível — publicado no momento em que a contagem de cada colégio eleitoral é final, num formato que qualquer pessoa com uma folha de cálculo pode reconciliar contra os totais certificados. É um registo de papel que mostra as escolhas do eleitor em forma legível por humanos e é digitalizado de uma forma que a digitalização é independentemente verificável. É uma auditoria que é dimensionada à margem, dirigida por pessoas sem interesse no resultado, contra boletins mantidos numa cadeia de custódia que nunca foi quebrada.

E crucialmente: é um sistema concebido de modo que a margem de incerteza procedimentalal — os boletins mal manuseados, a cadeia de custódia quebrada, os códigos QR ilegíveis — é estruturalmente menor que a margem de vitória concebível mais pequena. Não na maioria dos casos. Sempre.

Era isto que o tribunal austríaco realmente estava a exigir. Não à prova de fraude. À prova de verificação. Um sistema no qual, quando alguém pergunta "como sei que o vencedor realmente venceu?", a resposta não é "confie em nós" — é "aqui estão os dados, aqui estão os registos, aqui estão as provas criptográficas, e aqui está como você verifica você próprio."

Os 77 mil contra 30 mil da Áustria não é uma exceção embaraçosa. É a questão que cada eleição próxima está silenciosamente a fazer, à espera de um sistema rigoroso o suficiente para a responder.

A conclusão partilhável: Um resultado que ninguém pode verificar independentemente não é um resultado confirmado — é um afirmado. Se o número de votos que passaram por um processo quebrado ultrapassa a margem de vitória, a matemática sozinha é o suficiente para anular a eleição. Isto não é uma afirmação partidária. É aritmética. A única solução honesta é um sistema onde o público — não oficiais, não fornecedores, não auditores a reportarem às pessoas que estão a auditar — pode verificar a contagem você próprio.

Veja como é comum esta lacuna de verificação em diferentes países e sistemas eleitorais →

Leia a versão de 2 minutos de por que a margem de erro importa →

Fontes

Ver todos os artigosExplorar as lacunas