← Todos os artigos10 de agosto de 2026

Quando a própria empresa de máquinas de votação diz: não confiem nestes números

Em 2017, a empresa que construiu as máquinas de votação da Venezuela disse ao mundo que o número oficial de participação era uma mentira — por pelo menos um milhão de votos. Ninguém conseguiu provar o contrário.

É a noite de 30 de julho de 2017, e o Conselho Nacional Eleitoral da Venezuela acaba de anunciar que 7,5 milhões de pessoas votaram na eleição da Assembleia Nacional Constituinte. O número chega nas redações de jornais em todo o mundo. Os governos emitem declarações. A oposição o chama de fabricado. E então, dois dias depois, acontece algo que quase não tem precedentes na história das eleições em qualquer lugar da Terra.

A empresa que construiu as máquinas — que escreveu o software, que gerenciou os servidores, que contou cada voto eletrónico — aproxima-se de um microfone e diz: sabemos, sem qualquer dúvida, que o número está errado. Não por um erro de arredondamento. Não por alguns milhares de votos. Por pelo menos um milhão.

Essa empresa era a Smartmatic.

O fornecedor desmente a contagem

A 2 de agosto de 2017, a Smartmatic emitiu uma declaração pública sobre a eleição da Assembleia Constituinte realizada dois dias antes. O seu director executivo disse que a empresa sabia "sem qualquer dúvida" que o número de participação anunciado pelo Conselho Nacional Eleitoral da Venezuela tinha sido manipulado, e estimou a diferença entre a participação real e a anunciada em "pelo menos um milhão" de votos.

Leiam isto novamente, lentamente.

As pessoas que construíram o sistema, que compreendiam a sua arquitetura melhor do que qualquer outra pessoa viva, disseram que o número oficial não podia ser confiável. Não um adversário político. Não um governo estrangeiro. Não um investigador trabalhando de fora. O fornecedor.

A Smartmatic havia sido parceira de tecnologia de votação automatizada da Venezuela desde 2004. Tinha gerido eleições ao longo da geografia complexa do país. Sabia o que as máquinas registavam. E o que as máquinas registavam, de acordo com a Smartmatic, não correspondia ao que o governo anunciou.

Após essa declaração, a Smartmatic retirou-se das subsequentes eleições regionais e municipais de 2017 da Venezuela e cessou todas as operações no país em 2018.

A pergunta que essa declaração deixa em suspenso — permanentemente, como se verificou — é: o que é que as máquinas realmente registaram? Porque sem uma auditoria independente, ninguém fora do governo foi nunca capaz de responder a isso.

A lacuna que ninguém consegue fechar

Aqui está o problema estrutural. Um sistema de votação produz registos. Esses registos são mantidos por quem gere o sistema. Quando essa autoridade anuncia um resultado, as únicas pessoas que podem verificar se o anúncio corresponde aos registos são as pessoas que têm os registos.

Na Venezuela em 2017, essas pessoas eram o governo que queria que o número de 7,5 milhões se mantivesse.

A Smartmatic podia dizer — e disse — que algo estava errado. Mas até a declaração da Smartmatic tinha um limite. A empresa podia falar sobre o que sabia do seu próprio acesso e conhecimento da arquitetura do sistema. Não podia publicar por si mesma os registos subjacentes da máquina, os totais precinto a precinto, ou uma pista de auditoria criptograficamente verificável. Não porque estivesse a esconder algo, mas porque um resultado que apenas uma parte pode verificar é estruturalmente incheckável por todos os outros.

Essa é a frase que vale a pena reproduzir: Um resultado que apenas uma parte pode verificar é estruturalmente incheckável por todos os outros.

Isto não é um problema venezuelano. Não é um problema que existe apenas em estados autoritários. É a condição predefinida de qualquer sistema de eleição — por muito bem-intencionados que sejam os seus administradores — que não publica um registo à prova de adulteração, legível por máquina, independentemente verificável de cada voto em cada fase da contagem.

Por que deveriam importar-se, mesmo que não vivam em Caracas

O caso da Venezuela é extremo. A escala da alegada manipulação — se a estimativa da Smartmatic estiver correta — não é um erro de arredondamento; é um milhão de votos. O contexto político não é ambíguo.

Mas o mecanismo do problema é universal, e surge em formas milder em eleições que ninguém disputa.

No Condado de Antrim, Michigan em 2020, resultados errados foram publicados na noite das eleições — não por fraude, mas por um erro de configuração. Os números foram apanhados apenas porque o resultado era glaringly implausível para um condado cuja inclinação partidária toda a gente conhecia. Um erro mais subtil — um que inclinasse uma corrida renhida sem mudar a cor do condado — poderia ter passado completamente despercebido. Até a auditoria manual que se seguiu foi desligada por cerca de uma dúzia de votos, um lembrete de que nenhum método de verificação é perfeitamente limpo.

No Condado de Sarasota, Flórida em 2006, aproximadamente 18.000 votos simplesmente desapareceram de uma corrida Congressual decidida por 369 votos. As máquinas não tinham papel. Os auditores federais não conseguiram encontrar um mau funcionamento, mas também não conseguiram descartá-lo — porque não havia nada independente para verificar contra. A palavra das máquinas era tudo o que havia.

Em ambos os casos — um erro honesto, um mistério permanente — o modo de falha era idêntico ao da Venezuela ao nível estrutural: a única evidência do que aconteceu era mantida pelo mesmo sistema que produziu o resultado.

O que "o fornecedor confirmou" realmente significa

Aqui está uma versão de eventos que soa reconfortante: a autoridade eleitoral gere a contagem, o fornecedor certifica o sistema, uma auditoria confirma o resultado, e o Secretário de Estado anuncia que tudo correspondia.

Agora aqui está a versão mais difícil: a autoridade eleitoral anuncia um resultado. O fornecedor certificou um sistema antes da eleição, não a contagem específica depois. A auditoria é gerida pela mesma autoridade que mantém os boletins. O anúncio do Secretário de Estado baseia-se em relatórios dessa autoridade. Cada ligação nessa cadeia de confirmação passa pelas mesmas mãos.

Isto não é uma teoria da conspiração. É apenas uma descrição de como a maioria das auditorias eleitorais realmente funciona. Os auditores são frequentemente dignos de confiança, cuidadosos, e agindo de boa fé. Mas 'pessoas dignas de confiança confirmaram' não é o mesmo que 'qualquer um poderia verificá-lo independentemente,' e essas duas coisas não são intercambiáveis quando um resultado é renhido ou contestado.

O Tribunal Constitucional Federal da Alemanha desenhou exatamente esta linha em 2009, decidindo que a votação eletrónica é apenas legítima quando cidadãos ordinários — não apenas especialistas — podem examinar cada passo essencial da contagem por si mesmos. Não porque o Tribunal suspeitasse de fraude. Porque um resultado que requer expertise para verificar, e essa expertise existe apenas com a autoridade que gere a contagem, não cumpre o padrão mínimo de uma eleição pública e democrática.

O Tribunal Supremo do Quénia anulou uma eleição presidencial em 2017 pela mesma razão estrutural: não porque pudesse provar que os números estavam errados, mas porque a cadeia digital da estação de votação ao apuramento nacional não podia ser verificada independentemente contra registos de origem à prova de adulteração. O princípio não é "alguém fez algo errado." É "ninguém fora da sala pode confirmar que não fizeram."

O teste da República Democrática do Congo: quando os observadores não conseguem entrar

Em novembro de 2011, a República Democrática do Congo realizou eleições presidenciais e legislativas. A Missão de Observação Eleitoral da União Europeia estava no terreno, implantada por todo o país. O seu relatório final chegou a uma conclusão que deve ser lida ao lado da da Venezuela: os resultados não eram credíveis.

O que a missão da UE encontrou não foi coação de boletins perante câmaras. Foi opacidade estrutural. A comissão eleitoral careceu de transparência em como compilava e publicava resultados provisórios ao nível local e nacional. Os observadores foram negados o acesso às decisões judiciais relevantes que deveriam adjudicar disputas. A ausência de um Tribunal Constitucional funcionante significava que não havia corpo independente para escrutiná-lo publicamente.

Ninguém conseguia verificar os números. Não porque alguém escondesse uma prova esmagadora — mas porque a arquitetura do processo não incluía uma janela por onde os outsiders conseguissem espreitar.

Isso é a RDC em 2011. Isso é a Venezuela em 2017. E isso, num registo menos dramático, é cada sistema eleitoral que publica um total final sem publicar os registos a nível de precinto, legíveis por máquina, à prova de adulteração que permitiriam a qualquer pessoa interessada reconciliar o total por si própria.

Anunciar um vencedor não é provar a contagem. Essas são coisas diferentes.

Por que a palavra do fornecedor nunca foi suposta ser suficiente

A declaração da Smartmatic em 2017 foi extraordinária precisamente porque os fornecedores quase nunca dizem isto. A estrutura de incentivos corre inteiramente na outra direção: um fornecedor cujo sistema é associado a um resultado contestado perde contratos. Falar foi, comercialmente, um ato de auto-destruição.

Mas mesmo que cada fornecedor em cada eleição fosse igualmente disposto a dizer verdades incómodas, o testemunho do fornecedor não é verificação independente. Um fornecedor conhece o seu próprio sistema. Não sabe o que uma autoridade eleitoral fez com o resultado após o sistema o entregar. Não pode auditar a transmissão, a agregação, a compilação final. Na Venezuela, a Smartmatic podia dizer que o número anunciado estava errado. Não podia produzir o número verificado.

Essa lacuna — entre "algo está errado" e "aqui está o que está certo, e aqui está a evidência" — é o que a arquitetura de auditoria independente, criptograficamente verificável é concebida para fechar. Não confiando no fornecedor. Não confiando na autoridade. Publicando registos que são à prova de adulteração por construção, para que qualquer parte — um jornalista, um candidato da oposição, um observador estrangeiro, um membro do público — possa fazer os números por si próprio e chegar à mesma resposta.

O Colorado realizou a primeira auditoria de limitação de risco a nível estadual na história dos EUA em 2017. O processo gerou evidência estatística — ligada a boletins de papel físicos — que qualquer estatístico podia replicar. A Geórgia contou manualmente aproximadamente cinco milhões de boletins presidenciais em 2020. O papel existia; a contagem era pública; a metodologia era checkável. Estes são melhores do que nada. Não são o topo.

O topo é um sistema que publica um compromisso criptográfico a cada boletim votado no momento em que é votado — para que o total final possa ser verificado não contando novamente, mas provando, matematicamente, que nada foi adicionado, removido, ou alterado entre o eleitor e o resultado. Esse tipo de verificabilidade não requer confiar em qualquer funcionário, qualquer fornecedor, ou qualquer equipa de auditoria. Requer apenas que a matemática esteja correta.

O que ainda não é verificável — e o que o mudaria

Aqui está o que ninguém fora do governo venezuelano foi capaz de confirmar independentemente desde 30 de julho de 2017: a participação real na eleição da Assembleia Nacional Constituinte.

A Smartmatic disse que o número oficial estava desligado por pelo menos um milhão de votos. O governo disse que não. Não há pista de auditoria independente. Não há compromisso criptográfico publicado antes de a contagem ter começado. Não há ficheiro de resultado a nível de precinto, legível por máquina, que uma terceira parte pudesse descarregar e reconciliar contra o total anunciado.

O caso está encerrado — não porque a pergunta foi respondida, mas porque nenhum mecanismo existe para respondê-la.

Isto não é um problema único da Venezuela. É o problema que vive dentro de qualquer sistema eleitoral que confunde anunciar um resultado com provar um. A solução não é melhores funcionários. A solução não é um fornecedor mais honesto. A solução é um sistema concebido para que o que as máquinas registaram, o que o apuramento agregou, e o que a autoridade anunciou possam todos ser verificados um contra o outro por qualquer pessoa — antes, durante, e depois da contagem — usando evidência que nenhuma parte única controla.

Um fornecedor nunca mais deverá ser aquele a dizer: confiem em mim, o número está errado. A arquitetura deveria tornar isto checkável por todos.

Vejam como é comum a lacuna entre resultados anunciados e verificáveis independentemente é através do mundo: exploram o atlas. Ou leiam a versão de dois minutos de por que a verificabilidade supera a confiança: a versão curta. Para um mapa global de casos onde resultados não podiam ser confirmados independentemente, vejam a base de dados de lacunas.

Fontes

Ver todos os artigos Explorar as lacunas