Perché la carta è l’ancora di uno scrutinio affidabile
Chiedete a un esperto di sicurezza quale sia l’elemento singolarmente più importante che un’elezione può avere per essere affidabile, e la risposta è di solito una sola parola: carta. Non perché la carta sia antiquata o nostalgica, ma perché è la sola parte del sistema che un hacker o un bug software non possono riscrivere senza lasciare traccia. Tutte le altre garanzie — audit, riconteggi, ricorsi giudiziari — dipendono in ultima analisi dall’esistenza di un registro fisico da verificare.
La logica è semplice. Uno scrutinio computerizzato, da solo, chiede di fidarsi del computer. Un registro cartaceo trasforma la fiducia in verifica: poiché la carta esiste al di fuori delle macchine, le macchine possono essere controllate rispetto ad essa. Togliete la carta e ogni garanzia a valle perde il proprio fondamento, perché non resta nulla di indipendente con cui confrontare il risultato elettronico.
Questo è lo stesso principio che attraversa come vengono conteggiati i voti: la sicurezza deriva da livelli che si possono ispezionare, e la carta è il livello da cui dipende tutto il resto.
Due tipi di carta
"Traccia cartacea" comprende due elementi correlati ma distinti, e la differenza è importante:
| Tipo | Come viene registrato il voto | La domanda di verifica |
|---|---|---|
| Scheda cartacea compilata a mano | L’elettore segna direttamente la carta | Lo scanner ha letto correttamente i segni? |
| Dispositivo di marcatura della scheda (BMD) con stampa | Una macchina stampa su carta le scelte dell’elettore | L’elettore ha verificato che la stampa corrispondesse alla propria intenzione? |
Entrambi possono fornire una solida traccia cartacea — ma solo se la carta è verificata dall’elettore. Questa espressione è il punto centrale. Una stampa che l’elettore guarda distrattamente, o non vede mai, non è davvero verificata: un errore o una manipolazione tra lo schermo e la carta potrebbe passare inosservato. La garanzia funziona solo se un essere umano ha confermato che la carta riflette le proprie scelte.
Indipendenza dal software
Il nome formale del principio è indipendenza dal software: un errore o un guasto non rilevato nel software di voto non dovrebbe poter causare un cambiamento non rilevabile nell’esito elettorale. È la carta a renderlo possibile. Se il software conteggia in modo errato — per un bug o per un attacco — il registro cartaceo può essere contato a mano e la discrepanza resa evidente.
Questo riformula l’intero timore del "e se le macchine fossero state compromesse?". In un sistema senza carta la domanda non ha risposta, ed è esattamente per questo che erode la fiducia. In un sistema basato sulla carta, invece, la risposta è concreta: contare la carta. Il consenso degli esperti, compresa la revisione storica delle National Academies statunitensi, è quindi netto — usare schede cartacee leggibili dall’uomo e dismettere le macchine senza carta.
Ciò che la traccia cartacea consente
La carta non è la garanzia in sé; è ciò che rende possibili le garanzie. Sostiene:
- Riconteggi — ricontare manualmente le schede fisiche quando il margine è ristretto o il risultato è contestato.
- Audit — verificare a mano un campione di schede cartacee rispetto ai totali riportati per confermare l’esito.
- Controlli della catena di custodia — riconciliare il numero di schede cartacee con il numero di elettori registrati.
Nessuno di questi è possibile senza un registro fisico affidabile. La carta è la materia prima di cui è fatto ogni controllo.
Quando non c’è carta
Il valore della traccia cartacea è più evidente quando manca. Due casi mostrano i due modi in cui ciò accade.
- Macchine senza carta. Laddove i voti sono espressi su sistemi puramente elettronici che non conservano alcun registro cartaceo, un risultato contestato non può essere verificato in modo indipendente: semplicemente non c’è nulla da riconteggiare. È per questo che la tendenza nelle democrazie è quella di ritirare tali sistemi.
- Registri non resi disponibili. La carta (o il suo equivalente) può esistere e restare comunque nascosta. In Belarus nel 2020, le autorità non hanno pubblicato i protokol a livello di seggio, per cui il risultato ufficiale non poteva essere verificato rispetto ai registri sottostanti. Una traccia cartacea che nessuno è autorizzato a ispezionare non offre alcuna garanzia.
La traccia cartacea nella pratica
Il caso positivo è altrettanto concreto. Dopo la chiusura del risultato del 2020 in Georgia, le autorità hanno effettuato un conteggio manuale completo di ogni scheda cartacea. Poiché per ogni voto esisteva un registro cartaceo verificato dall’elettore, il conteggio manuale poteva essere confrontato direttamente con il totale delle macchine — e coincideva entro il normale margine di errore umano. La traccia cartacea ha trasformato un’esplosiva affermazione del tipo "le macchine sono state compromesse" in una questione con una risposta verificabile e, in ultima analisi, rassicurante.
Questo è l’intero senso del conservare la carta. Non presuppone che le macchine siano affidabili, né che non lo siano — rende la risposta verificabile in entrambi i casi. E lo strumento che effettua la verifica, in modo efficiente e su larga scala, è l’audit elettorale.