← Todos los artículos

La misma auditoría, método débil: por qué la forma en que muestras decide qué encuentras

Dos estados realizaron el mismo tipo de auditoría poselectoral. Uno podía decirte exactamente cuánto error habría necesitado para cambiar el resultado. El otro no podía — y aún así certificó.

Es octubre de 2021, y un equipo de la Oficina de Auditoría Legislativa de Wisconsin está intentando hacer algo que suena sencillo: verificar si la elección de noviembre de 2020 se realizó correctamente.

Hay un problema. La auditoría no fue aprobada hasta tres meses después del Día de las Elecciones. Cuando los auditores llegan, el momento ha pasado. No pueden observar lo que sucedió. Solo pueden leer lo que fue escrito.

Entonces encuestan a 1.835 secretarios municipales. Revisan 14.710 sobres de certificados de voto por correo de 29 municipios. Examinan 175 pruebas de equipos. Lo que encuentran no es evidencia de una elección robada — pero tampoco es un certificado de salud limpio. Solo el 50,3 por ciento de las pruebas de equipo requeridas se completaron dentro de la ventana de 10 días estatutaria antes de la elección. Veinticuatro individuos parecían tener dos registros de votantes activos. Cuatro de ellos pueden haber votado dos veces. El informe hace 30 recomendaciones y plantea 18 problemas para la legislatura. Sobrio, cuidadoso, específico.

Y luego viene la línea que más importa para este post: porque la auditoría no fue aprobada hasta tres meses después de la elección, los auditores no observaron directamente el Día de las Elecciones y se basaron en la evidencia disponible.

Una auditoría de tres meses de antigüedad no puede ver lo que sucedió a las 2 a.m. cuando las papeletas estaban siendo transportadas. No puede ver qué escáner leyó qué papeleta. Solo puede preguntar a las personas qué recuerdan y verificar si la documentación coincide.

Eso no es una auditoría del escrutinio. Eso es una auditoría de los registros del escrutinio. Y esas son cosas muy diferentes.

Lo que una auditoría se supone que debe hacer

Aquí está la pregunta que toda auditoría poselectoral debe responder: ¿cuánto del resultado anunciado puedo refutar si las máquinas estaban equivocadas?

Esa pregunta suena abstracta. Hazla física. Imagina una pila de papeletas de papel — digamos, 15.000 de ellas, sentadas en bolsas selladas en un almacén. El escáner dijo que el Candidato A ganó por 400 votos. Quieres saber si eso es correcto.

Tienes dos opciones.

Opción uno: extrae un porcentaje fijo de la pila — digamos, el 5 por ciento, 750 papeletas — y cuéntalas a mano. Si coinciden aproximadamente con el conteo de máquinas, declara éxito.

Opción dos: calcula, matemáticamente, cuántas papeletas necesitas examinar a mano para tener una probabilidad estadística definida de detectar un resultado incorrecto, dada la diferencia anunciada. Si la carrera fue decidida por 400 votos de 15.000, ese número podría ser casi todas. Si fue decidida por 5.000 votos, ese número podría ser minúsculo.

El primer enfoque te dice que tu muestra coincidió. No te dice nada sobre si las muestras que no extrajiste habrían coincidido — o si un error sistemático que desplaza votos por el 1 o 2 por ciento por precinto (lo suficientemente pequeño para mantenerse dentro del ruido de tu muestra) podría haber cambiado al ganador.

El segundo enfoque — una auditoría limitada por riesgo, o RLA — está construido alrededor de una afirmación comprobable: Tengo X% de confianza en que el ganador anunciado realmente ganó. El nivel de confianza no es afirmado. Se deriva del tamaño de la muestra en relación con la diferencia. Una RLA obtiene su autoridad de una garantía matemática, no de la palabra de un funcionario.

Esa diferencia — entre una ceremonia y una prueba estadística — es de qué se trata este post.

La respuesta de Colorado

En noviembre de 2017, Colorado se convirtió en el primer estado de EE.UU. en completar una auditoría limitada por riesgo a nivel estatal. El Secretario de Estado lo anunció el 22 de noviembre. Colorado comenzó con un límite de riesgo del 9 por ciento — lo que significa que la auditoría fue diseñada para tener una probabilidad de fracaso de máximo el 9 por ciento — y posteriormente apretó eso al 3 por ciento.

¿Qué significa "límite de riesgo del 9 por ciento" en lenguaje claro? Significa: si el ganador anunciado realmente perdió, esta auditoría tiene al menos un 91 por ciento de probabilidad de detectar el error y desencadenar un conteo completo. Eso no es una promesa de que el fraude es imposible. Es un piso matemáticamente definido sobre lo que la auditoría realmente puede detectar.

Crucialmente, una RLA dimensiona la muestra al margen. Una carrera ampliamente ganada con un margen de 30 puntos necesita casi nada de verificación manual adicional; el auditor se detiene temprano porque las matemáticas dicen que la evidencia ya es lo suficientemente fuerte. Una carrera decidida por 200 votos de 100.000 papeletas emitidas podría requerir contar manualmente la mayor parte de la pila.

Esto no es una complicación. Es el punto completo. Las carreras cerradas — las que cuando la pregunta de quién realmente ganó importa más — reciben el mayor escrutinio. Las carreras desequilibradas no consumen recursos que no necesitan.

Las Preguntas Frecuentes del Secretario de Estado de Colorado hacen visible la arquitectura para cualquiera que quiera leerla. El límite de riesgo es un número público. El tamaño de la muestra se deriva de él. El proceso de muestreo usa semillas aleatorias criptográficamente generadas que cualquiera puede verificar independientemente. Cada paso de la lógica es publicado y verificable.

Eso no es una relación de confianza. Eso es una prueba.

La respuesta de Georgia, y la brecha oculta dentro de ella

Ahora ve al este. En noviembre de 2020, Georgia realizó algo oficialmente llamado una "auditoría limitada por riesgo" de la carrera presidencial. Porque el margen era estrecho, se escaló — por ley — a un conteo manual completo de todas las aproximadamente 5 millones de papeletas. El conteo manual confirmó el resultado de la máquina dentro de aproximadamente una décima de por ciento.

Eso es una tarea enorme. 159 condados. 41.881 lotes. Menos de seis días. Y la conclusión: las máquinas tenían razón.

Detente aquí.

Aquí está la pregunta que deberías hacer: ¿qué se estaba auditando realmente?

En Georgia en 2020, los votos fueron emitidos en dispositivos de marcación de papeletas Dominion (BMDs). El votante toca una pantalla. La máquina imprime una papeleta de papel. Esa papeleta de papel contiene texto legible por humanos — las elecciones del votante en lenguaje claro — y un código QR. El código QR es lo que el tabulador realmente lee y cuenta.

En Curling v. Raffensperger, la Corte de Distrito de EE.UU. para el Distrito Norte de Georgia revisó testimonio de expertos del Dr. J. Alex Halderman y otros. La corte encontró que el sistema "no proporciona un registro de papeleta verificable y auditable porque depende del código QR para la tabulación de votos y ese código no puede ser leído y verificado por el votante."

Lee eso de nuevo lentamente. El votante no puede leer el código de barras. El tabulador lee el código de barras. El conteo manual en 2020 contó la papeleta impresa por la máquina — que incluye el texto legible por humanos. Pero la pregunta es si ese texto representa fielmente lo que el código de barras codifica. Un votante que emitió su papeleta en una máquina que funciona correctamente, o una con software malicioso que alteró el código QR mientras mantenía el texto humano correcto, produciría una papeleta que se ve correcta en un conteo manual — porque los contadores manuales están leyendo las palabras, no el código.

Un recuento manual de papeletas impresas por máquinas audita la salida de la máquina. No audita la intención de la máquina.

Esta no es una preocupación teórica. La corte citó la conclusión de 2018 de las Academias Nacionales directamente: "ningún mecanismo técnico existe actualmente para asegurar que una aplicación de conteo de votos produce resultados precisos e imparciales." Las pruebas solas, encontró la Academia, no pueden asegurar que un sistema no haya sido comprometido.

Nada de eso significa que los votos fueron cambiados en Georgia en 2020. La evidencia no dice eso. Lo que dice es algo más estrecho y más difícil: el método de auditoría utilizado no puede distinguir entre una máquina correcta y una comprometida, porque ambas producen papeleta que se lee igual para un contador humano.

Eso no es una auditoría. Eso es un recuento de la salida impresa de la máquina.

El problema irreducible con los conteos manuales

Aquí es donde se pone genuinamente incómodo — porque el conteo manual generalmente se presenta como el estándar de oro, la cosa que lo resuelve.

Vuelve al Condado de Antrim, Michigan. Después de que el condado publicó resultados salvajemente incorrectos en noviembre de 2020 (atrapados porque eran implausibles, no porque el sistema los señalara), cada papeleta presidencial fue contada a mano el 17 de diciembre. Conteo manual final: 9.759 para Trump, 5.959 para Biden. La tabulación de máquina difirió de eso por aproximadamente una docena de votos de aproximadamente 15.700 emitidos.

Doce votos. En un condado donde el resultado no fue cerrado, esos doce votos no significaban nada.

Pero escala el experimento mental. Imagina una carrera a nivel estatal decidida por ocho votos. El conteo manual es "desviado por una docena." ¿En cuál conteo confías? ¿En la máquina? ¿En los contadores humanos? ¿Un recuento que podría desviarse por otro puñado?

La auditoría forense de Windham, New Hampshire en 2021 ilustró esto precisamente. Una investigación forense ordenada por el estado encontró que los pliegues de papeletas de voto por correo — causados por una máquina plegadora alquilada que no plegaba a lo largo de las líneas de puntuación impresas — estaban siendo leídos como óvalos marcados por los escáneres AccuVote. Sin malware. Sin manipulación. Sin fraude. Solo una coincidencia mecánica entre un pliegue y un óvalo. Los auditores estimaron que aproximadamente el 44 por ciento de pliegues a través de objetivos de voto fueron contados como votos.

El conteo manual, en ese caso, podría recuperar la intención del votante. Pero el conteo manual en sí lleva una forma diferente de error: recuentos humanos incorrectos, marcas ambiguas, decisiones de adjudicación donde dos contadores no están de acuerdo sobre si una marca de bolígrafo errante es un voto. Incluso el recuento manual más riguroso es un proceso humano aplicado a objetos físicos, y los procesos humanos tienen tasas de error.

"Un conteo manual lo confirmó" es una tranquilidad. En una carrera decidida por un puñado de votos, un método que en sí mismo está desviado por un puñado de votos no puede resolver la pregunta.

El argumento real para una auditoría limitada por riesgo — una correctamente implementada, con papeleta marcada por votante y muestreo criptográficamente verificable — no es que elimine el error humano. Es que la estructura matemática te dice cuánto error puede tolerar antes de que el ganador incorrecto se cuele. El límite de error es publicado. Puedes verificar si cubre el margen.

Eso es lo que distingue el diseño de Colorado del de Georgia. La RLA de Colorado te dice: aquí está el límite de riesgo, aquí está el tamaño de muestra que implica, aquí está la semilla aleatoria que generó la muestra, aquí está lo que encontramos. El conteo manual de Georgia te dice: las contamos y coincidieron. El primero es una prueba. El segundo es una afirmación.

La brecha de Wisconsin, revisitada

Regresa a Wisconsin. La auditoría de octubre de 2021 encontró que solo el 50,3 por ciento de las pruebas de equipos se completaron dentro de la ventana de 10 días estatutaria. Encontró 1.022 certificados de voto por correo — el 6,9 por ciento — con direcciones de testigos parciales, un requisito legal que afecta la validez de la papeleta. Encontró cuatro individuos que pueden haber votado dos veces.

Estos son hallazgos específicos y documentados. Son valiosos precisamente porque son verificables: un número, una metodología, una población, un resultado. El informe hace 30 recomendaciones porque hay 30 cosas que podrían ser mejores.

Pero aquí está lo que la auditoría no puede decirte: si alguno de esos problemas cambió algún resultado del concurso. Porque no fue aprobada hasta tres meses después de la elección. Porque se basó en evidencia disponible. Porque la elección ya había sido certificada.

Una auditoría que no puede cambiar el resultado es una ceremonia.

La auditoría de Wisconsin no es una ceremonia — tiene valor procesal real y sus hallazgos importan para elecciones futuras. Pero está limitada estructuralmente de una manera que la de Colorado no lo está. La RLA de Colorado se ejecuta junto con el calendario de certificación, con suficiente tiempo para desencadenar un conteo manual completo si la muestra falla la prueba estadística. La auditoría de Wisconsin llegó después de que el tren se hubiera ido.

El calendario no es incidental. Refleja una elección sobre para qué sirve la auditoría. Si es para la rendición de cuentas pública — para dar a cualquier ciudadano, no solo a alguien de adentro, la capacidad de verificar si el ganador anunciado realmente ganó — entonces tiene que estar integrada en el proceso, no añadida posteriormente. Y tiene que estar construida sobre un método cujos límites de error son más pequeños que el margen que se supone que debe proteger.

Lo que "cualquiera puede verificar" realmente requiere

La Corte Constitucional Federal Alemana lo expresó más claramente. En su sentencia de marzo de 2009, la Corte sostuvo que los pasos esenciales de votación y conteo "pueden ser examinados por el ciudadano de manera confiable y sin ningún conocimiento especializado." No por un experto. No por un auditor con autorización de seguridad. Por el ciudadano.

Eso es un requisito de diseño, no una perogrullada.

¿Qué tomaría satisfacerlo? Tres cosas, trabajando juntas:

Primero, papeleta marcada por votante. No papeletas impresas por máquinas con códigos QR ilegibles — papeletas donde la mano del votante marca la elección que se cuenta. Este es el único registro que es simultáneamente la intención del votante y el artefacto auditable.

Segundo, una auditoría limitada por riesgo con un límite de riesgo publicado y verificable. Una revisión de muestra de porcentaje fijo no te dice nada sobre cuánto error puede pasar por alto. Una RLA te dice exactamente qué puede y qué no puede detectar, en términos matemáticos, dada la diferencia y el tamaño de la muestra.

Tercero, muestreo verificable criptográficamente. La semilla aleatoria de Colorado es pública. Cualquiera puede reproducir el proceso de muestreo y confirmar que se habrían extraído las mismas papeletas. Eso no es un pequeño detalle — es lo que previene que la muestra sea silenciosamente inclinada hacia precintos que se sabe que son limpios.

Ninguno de estos individualmente es suficiente. Una papeleta marcada por votante con una auditoría de porcentaje fijo y un proceso de muestreo opaco aún puede pasar por alto errores sistemáticos. Una RLA construida sobre papeletas BMD impresas por máquinas está auditando la salida de la máquina, no la intención del votante, como Curling deja claro. Y una muestra criptográficamente verificable no significa nada si la población que muestrea tiene un problema de código de barras no detectable.

Los tres tienen que trabajar juntos. Y en este momento, en la mayoría de jurisdicciones de EE.UU., no lo hacen.

El resumen

La misma palabra — "auditoría" — cubre un espectro desde una prueba estadística hasta una revisión de registros de tres meses de antigüedad. El público se merece saber cuál tipo obtuvo.

Un Secretario de Estado que dice "la auditoría confirmó el resultado" está haciendo una afirmación, no presentando una prueba. La pregunta correcta a hacer es: ¿cuál es el límite de riesgo? ¿Cuál fue el tamaño de la muestra? ¿Fue la papeleta marcada por votante o impresa por máquina? ¿Fue la semilla de muestreo pública? ¿Se completó la auditoría antes de la certificación, con suficiente tiempo para desencadenar un conteo completo si falla?

Si esas preguntas no tienen respuestas publicadas y verificables, lo que tienes es una tranquilidad — y toda la historia de elecciones, desde Windham hasta Wisconsin hasta los pasillos de la Corte Constitucional Alemana, te dice que las tranquilidades son exactamente lo que falla cuando más importa.

La brecha que documentamos en /gaps/weak-audit-method no es teórica. Es la brecha entre lo que la palabra "auditoría" promete y lo que un método de auditoría específico realmente puede entregar. Cerrarla requiere no funcionarios mejores — requiere un sistema cuyas matemáticas cualquiera puede ejecutar, cuya papeleta cualquiera puede leer, y cuyos resultados cualquiera puede verificar sin ser instruido a confiar primero.

Ve qué tan común es esta brecha en todo el mundo →

Lee la versión de 2 minutos de la brecha de método de auditoría débil →

Fuentes

Ver todos los artículosExplora las brechas