La paradoja resuelta: por qué un fraude detectable por Benford no generó denuncias masivas (Respuesta a la objeción central basada en datos empíricos y análisis previos)

 Nota preliminar sobre las fuentes

El presente análisis se basa en una serie de estudios independientes y fuentes documentales. En primer lugar, el análisis de la Ley de Benford aplicado a los resultados oficiales del TSJE para las elecciones de 2023, publicado en "Inconsistencias distribucionales en los votos por mesa de las elecciones paraguayas de 2023" (Oxley, 2026a), demostró que la distribución de primeros dígitos de la Asociación Nacional Republicana (ANR) presenta un exceso masivo del dígito 1 (57% frente al 30,1% esperado), confirmado por seis pruebas estadísticas independientes. En segundo lugar, el estudio "Sobre la auditoría de máquinas de votación electrónica del TSJE" (Oxley, 2026b) documentó las restricciones impuestas a los auditores partidarios durante el proceso de febrero de 2026: sin acceso root, sin posibilidad de copiar el código, sin tiempo suficiente, lo que impidió una verificación independiente del software. En tercer lugar, el análisis "El fraude en dos tiempos: cómo el sistema puede mentir sin dejar rastro" (Oxley, 2026c) describió el escenario técnico mediante el cual un software malicioso podría desviar votos de manera indetectable, mostrando una cosa en pantalla mientras graba otra en el chip y luego mintiendo nuevamente durante el escrutinio. Adicionalmente, "El error del TSJE al aplicar la preclusión al voto electrónico" (Oxley, 2026d) demostró el error categorial de aplicar al escrutinio electoral una regla propia de los juicios (la preclusión) para negar la apertura del Sobre N° 4. A estos análisis se suman los datos empíricos de verificación ciudadana publicados por TEDIC (2024), las fuentes académicas sobre la Ley de Benford (Benford, 1938) y sobre métodos cuantitativos de detección de fraudes electorales (Lacasa & Fernández-Gracia, 2019), así como la Acordada N° 91/2023 del Tribunal Superior de Justicia Electoral (TSJE, 2023). Las referencias completas se presentan al final del documento en formato APA.

I. El hallazgo que incomoda

El 30 de abril de 2023, Paraguay celebró elecciones generales. Los resultados oficiales del Tribunal Superior de Justicia Electoral (TSJE) otorgaron la victoria a la Asociación Nacional Republicana (ANR) con un amplio margen. Sin embargo, un análisis estadístico independiente aplicó la Ley de Benford a los datos de votación por mesa de las 12.252 mesas electorales habilitadas (Oxley, 2026a).

La Ley de Benford, ampliamente utilizada en la literatura de detección de fraudes electorales (election forensics) como herramienta cuantitativa para identificar anomalías en grandes conjuntos de datos (Lacasa & Fernández-Gracia, 2019; Benford, 1938), establece que la probabilidad de que el primer dígito de un número sea d (donde d = 1, ..., 9) sigue una distribución logarítmica:

P(d) = log10(1 + 1/d)

Los resultados del análisis arrojaron un hallazgo contundente. La ANR obtuvo el 57% de sus votos por mesa con el dígito 1 como primer dígito, cuando la Ley de Benford esperaba un 30,1%. La diferencia es de 26,9 puntos porcentuales, lo que representa un "alarmante abuso en la utilización del número 1 como primer dígito" (Oxley, 2026a, p. 3). La prueba de rangos con signo de Wilcoxon arrojó un valor W = 20, muy por encima del valor crítico de 5 para p < 0,05, confirmando que la diferencia no es atribuible al azar (Oxley, 2026a, p. 8).

Para la Concertación Nacional (Lista 3), el patrón fue exactamente el opuesto: déficit del dígito 1 y exceso en los dígitos 5, 6 y 7. En contraste, las candidaturas de Euclides Acevedo y José Luis Chilavert cumplieron cabalmente con la distribución esperada por la Ley de Benford (Oxley, 2026a, p. 5). Esta asimetría sistemática —exceso en el ganador, déficit en los principales perdedores, normalidad en los candidatos con menor votación— constituye, en la literatura especializada, una "firma estadística" que, si bien no prueba intencionalidad, sí justifica una auditoría independiente (Lacasa & Fernández-Gracia, 2019).

Sin embargo, como se documentó en "Sobre la auditoría de máquinas de votación electrónica del TSJE" (Oxley, 2026b), la auditoría técnica del software se realizó en condiciones restrictivas: sin acceso root, sin posibilidad de copiar el código, sin tiempo suficiente, y sin poder probar el escenario de divergencia entre pantalla y suma. Los apoderados técnicos de los partidos opositores calificaron el proceso de "ficción" e identificaron al menos 16 puntos críticos no resueltos (Oxley, 2026b, p. 2).

II. La objeción previsible y sus limitaciones

Ante este hallazgo, surge una objeción que ha sido formulada por defensores de la corrección de los resultados. Si realmente hubo una manipulación, ¿dónde están las denuncias ciudadanas? ¿Dónde están los electores que se quejaron? ¿Por qué las calles no se llenaron de protestas? El TSJE ha utilizado un argumento similar en su Acordada N° 91/2023 para negar el recuento de votos, señalando que "un recuento de votos en un acto privado con algunos participantes, es un procedimiento no previsto en nuestro ordenamiento positivo" (Tribunal Superior de Justicia Electoral, 2023, considerando 4).

El argumento es simple y aparentemente razonable. Sin embargo, descansa sobre una presunción que los datos empíricos no corroboran: que los electores verifican su voto de manera efectiva y que, en caso de fraude, existiría un número masivo de denuncias. Esta presunción debe ser contrastada con los datos disponibles.

Como se analizó en "El error del TSJE al aplicar la preclusión al voto electrónico" (Oxley, 2026d), el Tribunal Superior de Justicia Electoral comete un error categorial al aplicar al escrutinio electoral una regla —la preclusión— que por su propia naturaleza pertenece al ámbito de los juicios contradictorios. Adicionalmente, el TSJE presupone falsamente que el escrutinio ocurrió como debía ocurrir, cuando en realidad las autoridades de mesa solo certificaron un número proporcionado por la máquina sin verificar los votos uno por uno. El artículo demuestra que, si el escrutinio real no ocurrió, la preclusión no puede ser invocada para negar la apertura del Sobre N° 4 (Oxley, 2026d, p. 5).

III. El dato que el TSJE no difunde: la baja verificación ciudadana según TEDIC

En 2023, la organización TEDIC (Tecnología, Educación, Desarrollo e Investigación para la Ciudadanía) realizó un estudio empírico sobre el comportamiento de los electores durante las elecciones generales. Se recolectaron 836 encuestas en 30 colegios electorales de Asunción y Ciudad del Este (TEDIC, 2024).

Los resultados son elocuentes. En Asunción, solo el 23,9% de los electores verificó su voto utilizando el lector RFID siguiendo el procedimiento sugerido por el TSJE. En Ciudad del Este, solo el 14% realizó esta verificación. En el 76% de las mesas de Asunción, y en el 83% de las de Ciudad del Este, los miembros de mesa no alertaron ni recordaron a los electores la importancia de verificar su voto (TEDIC, 2024, p. 12).

TEDIC calificó esta situación como una "gestión ineficaz del control del voto", señalando que "muchos votantes omiten la doble verificación visual y del chip RFID", lo que "plantea interrogantes sobre la efectividad de la comunicación y capacitación previa al voto que las autoridades electorales deben necesariamente abordar" (TEDIC, 2024, p. 15).

IV. El problema del lector RFID como mecanismo de verificación

El procedimiento que el TSJE denomina "verificación" consiste en acercar el boletín impreso a un lector RFID. La máquina lee el chip y muestra un mensaje en pantalla. El elector, confiado, deposita el boletín. Sin embargo, como se documentó en "El fraude en dos tiempos" (Oxley, 2026c), el lector RFID es parte del mismo sistema que se quiere auditar. Si el software es malicioso, nada impide que el lector muestre el mensaje tranquilizador mientras el chip registra otra cosa.

El escenario descrito en dicho análisis es particularmente revelador: el software marca ciertos boletines en el momento de la votación. Durante la verificación del elector, el lector RFID, reconociendo la marca, muestra en pantalla lo que el elector espera ver, no lo que realmente contiene el chip. Durante el escrutinio, el software vuelve a reconocer la marca y muestra en la pantalla del escrutinio lo mismo que mostró al elector, mientras acumula internamente el voto desviado (Oxley, 2026c, p. 4). El fiscal, exhausto después de doce horas de jornada, confía en lo que ve. La máquina le muestra una cosa, pero suma otra. Al final, el acta refleja la suma interna, no lo que los fiscales observaron.

V. La ausencia de incentivos para la lectura del papel

Ante la insuficiencia del lector RFID, surge una pregunta obligada. Si el lector puede ser manipulado, ¿qué debería hacer el elector para verificar realmente su voto?

La respuesta es simple, pero incómoda para el diseño institucional: leer el texto impreso del boletín antes de doblarlo. Esa lectura permite al elector comparar directamente lo impreso con su memoria de lo que seleccionó en la pantalla. Si hay una discrepancia, puede denunciarla antes de depositar.

Sin embargo, el procedimiento oficial del TSJE no incentiva esta lectura. Las instrucciones oficiales se centran en el lector RFID. No hay carteles visibles en los cuartos oscuros. No hay instrucción verbal sistemática por parte de los miembros de mesa. El informe de TEDIC (2024) señala explícitamente esta carencia y recomienda "capacitar a los miembros de mesa para recordar y exhortar a los votantes sobre la necesidad de una verificación visual y del chip RFID de las boletas de votación", así como "lanzar campañas de comunicación efectivas para educar a los votantes sobre las máquinas de votación electrónica" (p. 18). No existe evidencia documentada de que estas campañas se hayan implementado.

El resultado es previsible y fue anticipado en "El fraude en dos tiempos" (Oxley, 2026c): la mayoría de los electores no lee el papel. Confían. Depositan. Y nunca saben si su voto fue a parar al candidato que eligieron o a otro.

VI. Lo que los datos empíricos permiten afirmar

Antes de continuar, es necesario ser preciso sobre lo que los datos disponibles permiten afirmar y lo que no permiten afirmar.

Lo que TEDIC (2024) midió fue la tasa de uso del lector RFID: 14-24% dependiendo de la ciudad. TEDIC no midió cuántos electores leen el texto impreso del boletín antes de doblarlo. Esa información no existe en el informe. Por lo tanto, cualquier afirmación sobre la "tasa de verificación efectiva" debe ser presentada como una inferencia razonable, no como un dato empírico.

Lo que sí podemos afirmar, con respaldo documental, es lo siguiente:

1. La tasa de uso del lector RFID es baja (14-24% según TEDIC, 2024).

2. El lector RFID no es un mecanismo de verificación confiable contra un software malicioso, porque es parte del mismo sistema. El escenario de fraude en dos tiempos (Oxley, 2026c) demuestra técnicamente esta vulnerabilidad.

3. El TSJE no ha implementado campañas visibles y sistemáticas para incentivar la lectura del papel, según lo recomendado por TEDIC (2024).

4. La literatura especializada (Lacasa & Fernández-Gracia, 2019; Benford, 1938) establece que la Ley de Benford es una herramienta válida para detectar anomalías estadísticas que justifican auditorías independientes.

5. El análisis de Benford aplicado a los datos paraguayos de 2023 mostró anomalías significativas y sistemáticas, con un patrón opuesto entre el ganador y los principales perdedores (Oxley, 2026a).

6. La auditoría técnica del software se realizó en condiciones restrictivas que impidieron una verificación independiente (Oxley, 2026b).

7. La Acordada N° 91/2023 del TSJE declaró improcedente el recuento de votos argumentando que "no está previsto en nuestro ordenamiento positivo", pero como se señala en "El error del TSJE al aplicar la preclusión al voto electrónico" (Oxley, 2026d), esta interpretación es un error categorial porque aplica al escrutinio una regla propia de los juicios.

VII. El cálculo de las denuncias esperadas (ilustrativo)

Con base en lo anterior, podemos construir un escenario ilustrativo. No se presenta como una afirmación empírica, sino como un ejercicio lógico para mostrar la consistencia interna del argumento.

Supongamos, a los efectos del razonamiento, que la anomalía de Benford refleja una manipulación real del orden de magnitud sugerido por el exceso de dígito 1 (Oxley, 2026a). Supongamos, además, que la tasa de verificación efectiva —los electores que leen el papel— es baja, aunque no tenemos un porcentaje exacto. El propio diseño del sistema, que no incentiva esta lectura (TEDIC, 2024), sugiere que dicha tasa es reducida.

En ese escenario, el número de electores que detectarían el fraude sería proporcional a esa tasa. Si la tasa de verificación efectiva es baja, el número de denuncias sería bajo, disperso y fácilmente desestimable. El informe de TEDIC (2024) confirma que la única verificación promovida (lector RFID) tiene una tasa de uso del 14-24%, y que la alerta por parte de los miembros de mesa es incluso menor (76-83% no alerta).

Por lo tanto, la ausencia de denuncias masivas no contradice la existencia de un fraude estadísticamente detectable. Es, por el contrario, la consecuencia esperada de un sistema que no incentiva la verificación ciudadana y que ofrece un mecanismo de verificación que puede ser programado para mentir (Oxley, 2026c).

VIII. La coartada perfecta

 El sistema electoral paraguayo ha creado, sin necesidad de postular intencionalidad, una coartada perfecta para un posible fraude. Esta coartada opera en varios niveles, como se ha documentado en la serie de análisis previos.

En "El fraude en dos tiempos" (Oxley, 2026c) se describe el nivel técnico: el software puede mentir en la pantalla de votación, en el lector RFID y en el escrutinio, mientras acumula otra cosa. En "El error del TSJE al aplicar la preclusión al voto electrónico" (Oxley, 2026d) se describe el nivel jurídico: el TSJE argumenta que la ley no prevé el recuento postelectoral basándose en un error categorial, por lo que no abre el sobre N° 4.

En conjunto, estos niveles forman un sistema donde:

- Si el fraude existe, es estadísticamente visible (la anomalía de Benford lo detecta, como se documentó en Oxley, 2026a).

- Pero es socialmente invisible (no hay denuncias masivas).

- ¿Por qué? Porque el mecanismo de verificación ciudadana es ineficaz por diseño institucional: se promueve un método que no es confiable (lector RFID) y se omite el método que sí funcionaría (lectura del papel).

- Además, si los partidos solicitan una auditoría, el TSJE responde con la Acordada N° 91/2023, que aplica indebidamente la preclusión (Oxley, 2026d).

El resultado es un callejón sin salida lógico. En el centro del círculo hay dos hechos objetivos, documentados y no disputados: (a) los datos electorales presentan anomalías estadísticas significativas (Oxley, 2026a); (b) la verificación ciudadana es baja y el mecanismo ofrecido no es confiable (TEDIC, 2024; Oxley, 2026c); y (c) el TSJE ha erigido un obstáculo jurídico mediante una interpretación categorialmente errónea de la preclusión (Oxley, 2026d).

IX. La pregunta que sigue sin respuesta

El Tribunal Superior de Justicia Electoral tiene en sus manos la única herramienta que podría resolver la controversia de una vez por todas: la apertura y el recuento independiente del Sobre N° 4 en una muestra estadísticamente significativa de mesas.

No es necesario abrir todas las urnas. Una muestra del 5% de las mesas —unas 600—, seleccionadas aleatoriamente, sería suficiente para verificar si los totales electrónicos coinciden con el recuento manual de los boletines impresos. La literatura especializada en election forensics respalda este tipo de auditoría como estándar en casos de detección de anomalías (Lacasa & Fernández-Gracia, 2019).

El TSJE no ha dado este paso. Mediante la Acordada N° 91/2023, el Tribunal resolvió que "un recuento de votos en un acto privado con algunos participantes, es un procedimiento no previsto en nuestro ordenamiento positivo" (Tribunal Superior de Justicia Electoral, 2023, considerando 4). Sin embargo, como se señaló en "El error del TSJE al aplicar la preclusión al voto electrónico" (Oxley, 2026d), esta interpretación es un error categorial. La ley no prohíbe el recuento. Y la Constitución Nacional, en su Artículo 118, exige escrutinio público y fiscalizado. No hay mayor fiscalización que abrir las urnas y contar de nuevo.

Mientras el TSJE no tome esa decisión, las anomalías estadísticas seguirán siendo anomalías estadísticas. Y la pregunta del objetor —"¿dónde están las denuncias?"— seguirá funcionando como una cortina de humo que oculta la pregunta relevante: ¿por qué el TSJE no abre el Sobre N° 4?

X. Conclusión

La ausencia de denuncias masivas no es evidencia de ausencia de fraude. Es, según los datos disponibles y los análisis previos, la consecuencia previsible de un sistema de votación que no incentiva la verificación ciudadana efectiva.

TEDIC (2024) documentó que solo una minoría de electores utiliza el lector RFID, que los miembros de mesa no alertan sistemáticamente, y que el mecanismo ofrecido no es confiable. El análisis de Benford (Oxley, 2026a) documentó que los datos oficiales presentan anomalías estadísticas significativas, con un patrón opuesto entre el ganador y los perdedores. El escenario de fraude en dos tiempos (Oxley, 2026c) demostró técnicamente cómo un software malicioso podría explotar estas vulnerabilidades. La Acordada N° 91/2023 y su análisis (Oxley, 2026d) mostró el obstáculo jurídico basado en un error categorial que el TSJE ha interpuesto para evitar el recuento.

Una línea de evidencia sin las otras sería insuficiente. Juntas, forman un caso sólido que justifica una auditoría independiente. La paradoja se resuelve cuando se comprende que la falta de denuncias masivas no es un argumento en contra de la existencia de anomalías. Es, por el contrario, la consecuencia del diseño del sistema electoral y de la conducta documentada de los electores y los miembros de mesa.

El silencio ciudadano no es prueba de corrección. Es, en este contexto, el resultado de un sistema que no le da al ciudadano las herramientas para romper ese silencio. Y mientras el TSJE se niegue a abrir el Sobre N° 4, ese silencio seguirá siendo la única respuesta posible.

Referencias

Benford, F. (1938). The law of anomalous numbers. Proceedings of the American Philosophical Society, 78(4), 551-572.

Lacasa, L., & Fernández-Gracia, J. (2019). Election forensics: Quantitative methods for electoral fraud detection. arXiv, 1811.08502.

Oxley, V. M. (2026a). Inconsistencias distribucionales en los votos por mesa de las elecciones paraguayas de 2023. Liberalismo Radical Paraguay. https://liberalismoradicalparaguayo.blogspot.com/2026/05/inconsistencias-distribucionales-en-los.html

Oxley, V. M. (2026b). Sobre la auditoría de máquinas de votación electrónica del TSJE. Liberalismo Radical Paraguay. https://liberalismoradicalparaguayo.blogspot.com/2026/04/sobre-la-auditoria-de-maquinas-de.html

Oxley, V. M. (2026c). El fraude en dos tiempos: cómo el sistema puede mentir sin dejar rastro. Liberalismo Radical Paraguay. https://liberalismoradicalparaguayo.blogspot.com/2026/05/el-fraude-en-dos-tiempos-como-el.html

Oxley, V. M. (2026d). El error del TSJE al aplicar la preclusión al voto electrónico. Liberalismo Radical Paraguay. https://liberalismoradicalparaguayo.blogspot.com/2026/05/el-error-del-tsje-al-aplicar-la.html

TEDIC. (2024, febrero 21). Decoding electronic voting in Paraguay: Report on the use of electronic voting machines in the 2023 elections.

Tribunal Superior de Justicia Electoral. (2023, mayo 9). Acordada N° 91/2023.

 

El fraude en dos tiempos: cómo el sistema puede mentir sin dejar rastro

 I. La pregunta que nadie puede responder

¿Qué garantía tiene un ciudadano de que su voto fue contado como él lo emitió? ¿Qué certeza tiene un fiscal de que los resultados que firma son los que realmente ocurrieron? ¿Qué prueba tiene un partido político para impugnar una elección si sospecha que algo anduvo mal?

La respuesta, en el diseño actual del sistema de votación electrónica paraguayo, es inquietante: ninguna. No porque el sistema sea necesariamente fraudulento, sino porque las condiciones para verificar su honestidad nunca fueron concedidas.

Los auditores de todos los partidos políticos documentaron, en febrero de 2026, que no se les permitió auditar en condiciones auténticas. Sin acceso root, sin poder copiar el código, sin tiempo suficiente, sin poder probar el escenario más elemental de fraude. El TSJE y la empresa MSA controlaron todo: el código, la compilación, la firma, la custodia de las claves, el laboratorio, el protocolo. Los partidos fueron meros espectadores de una auditoría que nunca lo fue.

Y sin esa auditoría, no hay manera de descartar que exista posibilidad de fraude, hipotéticamente por lo menos en dos tiempos, perfectamente sincronizado, perfectamente indetectable.

II. El primer engaño: el elector vota A, la máquina registra B

El elector entra al cuarto oscuro. Toca la pantalla por el Candidato A. La pantalla, fiel a lo que el elector espera, le muestra "Candidato A". El elector confía. Confirma su decisión.

Pero el software, en ese instante, hace algo que el elector no puede ver. En lugar de grabar "A" en el chip del boletín, graba "B". Y no solo eso: marca ese boletín —inserta un flag invisible, un identificador único en el chip o en algún registro interno del sistema— para seguir con el plan. Este boletín queda señalado. El software sabe, de ahora en adelante, que este es uno de los votos que debe ser desviado.

Luego imprime el papel. El papel, para mantener la coherencia con lo que el elector espera, imprime "A". No "B". "A".

El elector toma el papel. Lee "A". Todo está en orden. Sigue las instrucciones del TSJE: acerca el boletín al lector RFID. El lector, que es parte del mismo sistema, lee el chip. El chip dice "B". Pero el software, reconociendo la marca que él mismo puso en ese boletín, decide mentir nuevamente. En la pantalla del lector, en lugar de mostrar "B", muestra "A". El mensaje aparece: "Su voto es correcto. Usted votó por A".

El elector está doblemente tranquilo. La pantalla original le dijo A. El papel dice A. El lector le confirma A. Deposita su boletín en la urna con la plena certeza de que ha votado por su candidato.

Pero el chip —ese pequeño dispositivo que nadie ve, que nadie puede leer sin la máquina— dice "B". Y el software sabe que es un voto marcado. El voto del elector ya fue desviado. Y él no lo sabe. Nadie lo sabe.

III. El segundo engaño: la fatiga del fiscal y la falsa confianza en la máquina

Son las últimas horas de la jornada electoral. La mesa ha recibido a cientos de electores. Los miembros de mesa, los veedores, los apoderados, todos están extenuados. Han pasado más de doce horas de pie, resolviendo incidencias, atendiendo a votantes, vigilando que todo salga bien. El cansancio no es un detalle menor. Es un factor estructural del proceso electoral.

Y en ese estado de fatiga, comienza el escrutinio. La tentación es hacerlo de la manera más rápida y automática: pasar los boletines por el lector RFID, mirar la pantalla, confiar. La mayoría hace eso. Algunos, los más diligentes, intentan llevar una cuenta manual, aunque sea de la manera más ágil posible, anotando rápido, sumando rápido, para no demorar el cierre.

Pero el software, que ya marcó ciertos boletines durante la votación, entra ahora en acción por segunda vez. Reconoce cada boletín marcado. Sabe cuáles deben ser desviados en el conteo. Entonces, cuando esos boletines pasan por el lector RFID durante el escrutinio, el software lee el chip (que dice "B") pero, al ver la marca que él mismo puso, decide mentir en la pantalla. Muestra "A" en lugar de "B". Los fiscales observan, anotan mentalmente, confían. Ven pasar boletín tras boletín. La mayoría parece votar por A. Están tranquilos. No saben que la pantalla les está mintiendo.

Entretanto, el software acumula internamente lo que el chip realmente dice: "B". Para los boletines no marcados, muestra y suma lo mismo. Para los marcados, muestra una cosa y suma otra.

Al final del escrutinio, la máquina imprime el acta. El fiscal que llevaba su propia cuenta, con todo el cuidado que la fatiga le permite, termina su cómputo. Mira su planilla. Mira el acta. No coinciden. Su planilla dice una cosa. El acta de la máquina dice otra. La diferencia no es pequeña. Es sustancial.

El fiscal protesta: "¡Pero nosotros vimos que la mayoría votó por A!". El presidente de mesa, también extenuado, también confiado en la infalibilidad de la máquina, responde: "La máquina muestra los resultados. Ustedes habrán visto mal. El acta es la que es."

El fiscal queda en silencio. No porque esté convencido. Sino porque la duda lo cavila. ¿Habrá contado mal? ¿Habrá anotado mal? ¿Habrá sumado mal? El cansancio le juega en contra. La máquina, en cambio, es fría, precisa, implacable. Su palabra contra el acta impresa. Su planilla manuscrita contra los chips grabados. No hay prueba concluyente. Solo su palabra. Y la palabra de un hombre exhausto, ante la contundencia de una máquina que nunca se cansa.

Al final, el fiscal firma el acta. No porque esté seguro. Sino porque no puede probar lo contrario. La duda cavilante se instala en su mente. Pero el acta está firmada. Los resultados están cargados. La elección sigue su curso.

IV. La coherencia del engaño con marca incluida

Lo que hace este escenario particularmente peligroso es su coherencia interna y su aprovechamiento de las condiciones humanas del proceso electoral, potenciado por el sistema de marcas invisibles:

- El software marca ciertos boletines en el momento de la votación. Esa marca puede ser un flag en el chip, un identificador en una base de datos interna, o cualquier otro mecanismo invisible.

- El papel que el elector lee dice A. No hay razón para que el elector desconfíe.

- El lector RFID, al reconocer la marca, muestra A en pantalla. El elector confía.

- Durante el escrutinio, el software vuelve a reconocer la marca. La pantalla del escrutinio muestra A. Los fiscales, cansados, confían en lo que ven.

- Si algún fiscal lleva una cuenta manual, la fatiga puede inducir errores. Y si su cuenta —basada en lo que vio en la pantalla— no coincide con la máquina, la duda recae sobre él, no sobre la máquina.

- El acta que se firma, sin embargo, refleja lo que el chip dice realmente: B. Y esa acta es la que cuenta.

El sistema es internamente consistente en cada paso. La mentira no se revela porque cada interfaz de usuario —pantalla de votación, lector RFID, pantalla de escrutinio— muestra A para los boletines marcados, mientras el chip guarda B. Solo una verificación independiente que compare el papel impreso (que dice A) con la lectura electrónica (que el software muestra como A pero acumula como B) podría detectar la discrepancia.

La fatiga del fiscal es el mejor aliado del software malicioso. Porque incluso el fiscal más diligente, en medio del agotamiento, puede dudar de sí mismo. Y esa duda, cultivada por la aparente infalibilidad de la máquina, es suficiente para que firme un acta que no refleja lo que sus ojos vieron.

V. El diseño estructural

El sistema, tal como está diseñado y bajo las condiciones de auditoría que se concedieron, permite este escenario. No se ha probado que el software sea honesto. No se ha probado que el software no contenga instrucciones para marcar boletines y desviar votos en dos tiempos. No se ha probado que la pantalla del escrutinio muestre lo mismo que el chip registra. No se ha probado que el acta refleje lo que los fiscales vieron.

Todo esto pudo haberse probado durante la auditoría. Los auditores de los partidos solicitaron las condiciones para hacerlo: copia del código, acceso root, tiempo suficiente, posibilidad de probar escenarios de fraude. Todo fue denegado.

Por lo tanto, el escenario descrito —el fraude en dos tiempos, con marcado de boletines, perfectamente sincronizado, perfectamente adaptado a la fatiga humana— es técnicamente posible. Y mientras no se realice una auditoría independiente en condiciones auténticas, nadie puede afirmar con certeza que no está ocurriendo.

VI. La responsabilidad de la prueba

El TSJE afirma que el sistema es seguro. Pero la carga de la prueba recae sobre quien afirma la seguridad. No es el ciudadano quien debe demostrar que hay fraude. Es el TSJE quien debe demostrar que no puede haberlo.

Esa demostración no se hizo. Los auditores no encontraron evidencia de fraude, pero esa ausencia de hallazgos no es equivalente a la evidencia de ausencia de fraude. Especialmente cuando la búsqueda se hizo con las manos atadas, en un laboratorio controlado por el auditado, sin las herramientas necesarias, sin el tiempo suficiente.

El escenario que hemos descrito —con marcado de boletines, doble mentira en la votación y en el escrutinio, aprovechamiento de la fatiga humana— es una posibilidad lógica. No se ha probado que exista. Pero tampoco se ha probado que no pueda existir. Y en una democracia, esa incertidumbre debería ser suficiente para exigir una auditoría independiente en condiciones auténticas.

VII. La pregunta final

Después de recorrer este escenario —elector que vota A, software que marca el boletín y graba B, papel que imprime A, lector que muestra A (mintiendo), escrutinio que muestra A (mintiendo de nuevo gracias a la marca), fiscal exhausto que duda de sí mismo, acta que suma B—, la pregunta no es si esto está ocurriendo.

La pregunta es ¿cómo podemos saber que no está ocurriendo, si nunca nos permitieron verificar?

El TSJE dice que confiemos. Los partidos dicen que están satisfechos. Los auditores dicen que no encontraron nada.

Pero la confianza no es una certeza. La satisfacción no es una prueba. Y la ausencia de hallazgos, cuando la búsqueda fue limitada, no es tranquilizadora.

El fiscal que firma un acta con la duda cavilante de no estar seguro de lo que vio no es un fiscal negligente. Es una víctima del diseño. Un diseño que aprovecha la fatiga humana, que se escuda en la aparente infalibilidad de la máquina, que utiliza marcas invisibles para coordinar la mentira en dos tiempos, y que impide cualquier verificación independiente en condiciones auténticas.

Esa es la verdad incómoda. El resto, como siempre, es silencio.

La paradoja de la verdad y la buena fe (El elector dice la verdad, la máquina dice la verdad, pero uno de los dos miente)

 

Lo que ya se sabe y lo que aún no se podrá saber (Sobre la nueva verificación técnica de la ANR y el PLRA, a la luz de los informes de auditoría)

 

I. Una verificación que llega tarde y con las mismas reglas

Los partidos políticos —la ANR, el PLRA, y el resto de las organizaciones con representación parlamentaria— ya realizaron, entre el 2 y el 27 de febrero de 2026, una auditoría técnica de las máquinas de votación electrónica convocada por el Tribunal Superior de Justicia Electoral. Esa auditoría concluyó. Los equipos técnicos de cada partido elaboraron informes. Esos informes existen. Están documentados. Y en ellos, todos los auditores coincidieron en algo fundamental, no se les permitió auditar con la profundidad necesaria para garantizar una verificación independiente.

Ahora, a fines de mayo de 2026, la ANR y el PLRA realizan una nueva "verificación técnica". Los titulares hablan de "desarme de máquinas", de "explicación componente por componente", de "preguntas respondidas al cien por ciento". Se respira un aire de satisfacción. Los presidentes de los tribunales electorales partidarios declaran su confianza en el sistema.

Pero conviene recordar lo que ya se sabe. Y conviene preguntarse qué es lo que esta nueva verificación —con los mismos actores, bajo el mismo control del TSJE y la misma empresa MSA— podrá realmente esclarecer.

II. Lo que los auditores de los partidos ya informaron

Los informes técnicos de los auditores de los partidos políticos —no solo del PLRA, sino de todas las fuerzas que participaron en el proceso de febrero— documentaron, sin ambages, un conjunto de restricciones que cualquier persona de buena fe debería considerar graves:

Sobre el acceso al código fuente: se permitió revisar el código, pero únicamente en las computadoras del laboratorio del TSJE, sin conexión a internet, sin posibilidad de imprimir, sin capacidad de copiar fragmentos o tomar el código para analizarlo fuera de ese entorno controlado. El tiempo resultó manifiestamente insuficiente: cualquier período medido en días, dijeron los auditores, resulta insuficiente frente a la enormidad del código por investigar.

Sobre la contraseña root: los auditores la solicitaron, siguiendo las normas básicas de ciberseguridad. La respuesta de MSA fue que el sistema es un "appliance cerrado", que no ofrece interfaces de autenticación interactivas y que, en consecuencia, no existe contraseña que entregar. Técnicamente, esa respuesta puede ser coherente con el diseño de un sistema embebido. Pero también implica, por definición, que ningún auditor independiente podrá nunca acceder al sistema a nivel de kernel, y por lo tanto no podrá verificar lo que realmente ocurre en su interior.

Sobre las pruebas de escenarios de fraude: se probaron múltiples escenarios con USBs, credenciales y chips RFID. Pero no se probó —porque no se permitió o no se pudo— el escenario más elemental y más temido: aquel en el que la pantalla muestra una opción y el software suma otra distinta. Ese escenario, documentado en los informes, es el corazón de cualquier posible fraude electrónico. Y no fue probado.

Sobre la cadena de custodia del código: los informes consignan que no existe ningún mecanismo documentado que garantice que el código auditado en el laboratorio sea el mismo que se cargará en los USB que llegarán a las mesas el día de la elección. La escritura del código, la compilación, la firma digital, la custodia de las claves privadas, la definición del protocolo de auditoría, el control del laboratorio —todo, absolutamente todo— está en manos del TSJE y de MSA. Los partidos auditores no tienen control compartido sobre ninguna función crítica.

Sobre la auditoría postelectoral: los informes documentan que la máquina, una vez apagada, no retiene ningún estado. No existe memoria permanente. Por lo tanto, cualquier intento de auditoría después del cierre de la mesa es lógicamente imposible por diseño. No hay registro independiente que pueda ser auditado.

Sobre los boletines electrónicos: los chips RFID que contienen la información del voto —la única prueba independiente que permitiría verificar el resultado— son legalmente inaccesibles. El TSJE argumenta que no está estipulado su recuento. Así, la única evidencia que podría confrontarse con el acta firmada por los veedores duerme para siempre en un sobre que nadie abrirá.

Eso es lo que los auditores de los partidos ya informaron. No son especulaciones. Son hechos documentados, firmados, presentados.

III. La ironía técnica de la máquina "auditable pero inaccesible" (O cómo explicar Python y JavaScript no es lo mismo que permitir auditarlos)

La documentación técnica de las máquinas de votación Vot.Ar revela una arquitectura que, en apariencia, fue diseñada para ser transparente. El sistema operativo es un kernel Linux minimalista. El código de la lógica de votación está escrito en Python —para el control del hardware, la gestión del RFID, la impresión térmica y la criptografía— y en JavaScript —para la interfaz táctil, el renderizado de candidaturas y la navegación del elector. Son lenguajes de alto nivel, legibles, no ofuscados. En teoría, esta arquitectura debería facilitar la auditoría.

Pero la teoría se estrella contra una realidad tozuda, explicar cómo funcionan Python y JavaScript no es lo mismo que permitir auditarlos. Y lo que los auditores de los partidos documentaron es que, en la práctica, el acceso a ese código fue tan restringido que la ventaja teórica de la legibilidad se convirtió en una ironía amarga.

El rol de Python: el motor interno que nadie pudo inspeccionar

Python, en esta arquitectura, controla la lógica de bajo nivel, se comunica con los puertos de la placa madre, lee el chip RFID cuando se introduce el boletín, da la orden de grabación, traduce la selección del elector en comandos para la impresora térmica y ejecuta los algoritmos de firma digital de las actas de escrutinio. Es, literalmente, el núcleo de la decisión electoral. Lo que Python haga con el voto es lo que realmente cuenta.

Ahora bien, para auditar ese código Python, no basta con mirarlo en una pantalla. Hace falta poder ejecutarlo en un entorno controlado, introducir casos de prueba, modificar variables, verificar que las funciones de suma no contienen instrucciones condicionales ocultas. Hace falta, sobre todo, poder comparar el código Python que se mostró en el laboratorio con el código Python que efectivamente se carga en el USB maestro y se ejecuta el día de la elección.

Nada de eso fue posible. El código se revisó en computadoras del TSJE, sin posibilidad de copiarlo. No se pudo tomar ningún fragmento para analizarlo fuera del laboratorio. No se pudo ejecutar una prueba propia que verificara, por ejemplo, si la función `sumar_voto(candidato)` realmente suma al candidato que la pantalla mostró. El motor Python quedó, así, como un libro cerrado dentro de una vitrina: visible, pero intocable.

El rol de JavaScript: la interfaz que muestra pero no garantiza

JavaScript, por su parte, es el encargado de la experiencia del elector. Corre en un navegador ligero en modo kiosco —probablemente Chromium Embedded Framework— y se comunica con el backend de Python mediante llamadas internas. El elector toca la pantalla; JavaScript captura la coordenada, la traduce a una opción de candidato y envía esa opción a Python.

La pregunta que ningún auditor pudo responder —porque no se le permitió probar— es la siguiente ¿qué impide que JavaScript muestre en pantalla "Candidato A" pero envíe a Python "Candidato B"? La respuesta es: nada. Absolutamente nada, si el auditor no puede inspeccionar el código JavaScript real que se ejecuta y no puede inyectar su propio código de prueba para verificar la correspondencia entre lo que se muestra y lo que se envía.

Esta es la vulnerabilidad fundamental de cualquier sistema que separa la interfaz de usuario de la lógica de negocio. En una aplicación bancaria, eso se controla con auditorías continuas y trazabilidad. En una máquina de votación, donde el voto es secreto y no hay registro independiente accesible, esa separación es una puerta abierta a un fraude perfectamente indetectable para cualquier testigo humano.

La paradoja de la legibilidad sin acceso

La arquitectura basada en Python y JavaScript se presenta como una ventaja para la auditoría: al ser lenguajes de alto nivel, el código es más legible que un binario compilado en C o C++. Eso es cierto en abstracto. Pero en concreto, la legibilidad no sirve de nada si el auditor no puede copiar el código que se le muestra; ejecutarlo en su propio entorno; compararlo con el código que realmente se cargará en las máquinas; modificarlo para probar escenarios de fraude y verificar en tiempo de ejecución que el código que corre es el mismo que se auditó.

La ironía, entonces, es doble. Por un lado se usan tecnologías abiertas y transparentes para construir un sistema que se administra como si fuera un secreto de estado. Y por otro lado se celebra la legibilidad del código como garantía de transparencia, pero se impiden todas las acciones que harían efectiva esa legibilidad.

Es como si un bibliotecario le mostrara un libro a través de un vidrio blindado y le dijera, "Mire, está escrito en un idioma que usted entiende, puede leer el lomo. ¿No es maravilloso? Ahora confíe en que el contenido es el que dice ser, porque no le voy a dar el libro para que lo abra."

 IV. Lo que la nueva verificación técnica puede y no puede aportar

Ahora, en mayo de 2026, la ANR y el PLRA realizan una nueva verificación técnica. La noticia informa que se desarmó la máquina, que se explicaron las antenas, los sistemas físicos de seguridad, los componentes uno por uno. Que todos quedaron satisfechos. Que no hubo observaciones asentadas en actas.

Todo eso es, sin duda, útil. Verificar la integridad física del hardware —que no hay dispositivos ocultos de transmisión, que las soldaduras son las correctas, que los puertos USB están limitados como se declaró— es una condición necesaria. Nadie sensato podría objetarlo.

Pero una condición necesaria no es una condición suficiente. Y aquí reside el límite infranqueable de esta nueva verificación, especialmente a la luz de la arquitectura Python/JavaScript que acabamos de describir.

Lo que esta verificación puede hacer es mostrar que la placa madre no tiene componentes extraños. Demostrar que las antenas RFID están correctamente instaladas. Explicar cómo la pantalla táctil traduce el toque en coordenadas —algo que, dicho sea de paso, no dice nada sobre lo que JavaScript hace con esas coordenadas. Verificar que los puertos USB no aceptan dispositivos no autorizados. Comprobar que el sistema arranca desde un USB firmado.

Lo que esta verificación no puede hacer, bajo las mismas reglas de febrero, y especialmente considerando la arquitectura Python/JavaScript, no puede garantizar que el código Python que se ejecutará el día de la elección sea el mismo que se auditó en febrero, porque no se permitió copiar ese código para una comparación posterior. No puede garantizar que el código JavaScript que muestra la interfaz no contiene instrucciones que desvíen el voto antes de enviarlo a Python, porque ese código sigue siendo inaccesible para una auditoría independiente. No puede probar el escenario de divergencia entre pantalla (JavaScript) y suma (Python), porque para probarlo se necesita ejecutar código propio en la máquina, y eso sigue sin estar permitido. No puede acceder al kernel del sistema operativo, porque la contraseña root sigue sin entregarse bajo el mismo argumento del "appliance cerrado". No puede verificar la cadena de custodia desde la compilación del código Python/JS hasta el USB de mesa, porque esa cadena sigue siendo controlada exclusivamente por el TSJE y MSA. No puede garantizar que el software no contiene instrucciones internas de desviación escritas en Python o JavaScript, porque sin acceso al código final y sin capacidad de ejecutar pruebas independientes, esa garantía es lógicamente imposible. No puede convertir los boletines electrónicos en evidencia accesible, porque la ley y el reglamento siguen sin estipular su recuento.

En otras palabras, esta nueva verificación opera exactamente bajo el mismo protocolo que los auditores de los partidos ya denunciaron como insuficiente. El hardware se desarma y se explica. El software —ese software escrito en Python y JavaScript que, por su propia naturaleza, debería ser el más fácil de auditar— sigue siendo una caja negra a la que nadie puede entrar.

Y esa es la ironía más fina de todas, se eligieron lenguajes transparentes para un sistema opaco, y ahora se celebra la transparencia de los lenguajes mientras se mantiene la opacidad del acceso.

V. La falacia de la "satisfacción" sin acceso completo

Que los representantes técnicos de la ANR y el PLRA declaren estar "sumamente satisfechos" es, por supuesto, su derecho. Pero conviene recordar que la satisfacción declarada no es lo mismo que la verificación independiente.

Un auditor puede estar satisfecho porque, dentro de las reglas que le impusieron, no encontró irregularidades evidentes. Eso es técnicamente cierto. Pero también es técnicamente cierto que esas reglas le impidieron buscar donde un fraude sofisticado podría esconderse —por ejemplo, en una función Python que suma correctamente 999 de cada 1000 votos, y desvía uno, o en una llamada de JavaScript que envía a Python una opción distinta a la que el elector vio en la pantalla.

La diferencia es crucial. Y puede formularse del siguiente modo:

- Afirmación A (verdadera): "En lo poco que nos dejaron ver, no vimos nada raro."

- Afirmación B (no demostrada): "No existe fraude posible."

La primera es una declaración de ausencia de hallazgos. La segunda es una declaración de ausencia de problemas. Son dos cosas lógicamente distintas. Y la primera no implica la segunda, como los propios auditores de los partidos se encargaron de señalar en sus informes.

Cuando un presidente de tribunal partidario declara que "desde las máquinas de votación es prácticamente nula la posibilidad de fraude", está haciendo la afirmación B. Pero la evidencia disponible —los informes de los auditores, con todas sus restricciones documentadas, y la imposibilidad de auditar el código Python/JavaScript en ejecución— solo respalda la afirmación A.

La diferencia entre una y otra es la diferencia entre una auditoría real y una auditoría teatral.

VI. Lo que aún falta para que una verificación sea creíble

Si el TSJE, MSA y los partidos políticos quisieran realmente generar confianza ciudadana, no bastaría con desarmar la máquina y explicar sus componentes. Haría falta, como mínimo, y atendiendo específicamente a la arquitectura Python/JavaScript:

Primero: permitir que los auditores copien el código fuente auditado —tanto el Python del backend como el JavaScript del frontend— y lo guarden bajo su propia custodia, para poder compararlo después con el código que se cargue en los USB.

Segundo: entregar la contraseña root o, en su defecto, proporcionar un método alternativo de acceso de bajo nivel que permita a los auditores verificar el estado interno del sistema operativo y, crucialmente, que el intérprete de Python y el motor de JavaScript que se ejecutan son los mismos que se declararon.

Tercero: diseñar y ejecutar pruebas específicas para el escenario de divergencia entre pantalla (JavaScript) y suma (Python), permitiendo a los auditores ejecutar su propio código de prueba en la máquina, inyectar eventos táctiles simulados y verificar qué llega realmente al backend.

Cuarto: documentar públicamente la cadena de custodia completa —desde la compilación del código Python/JS hasta la carga en los USB de mesa— con participación de los partidos en cada paso.

Quinto: modificar la normativa para que los boletines electrónicos (chips RFID) sean accesibles para una verificación posterior independiente, como única prueba que permitiría confrontar el acta firmada con el registro electrónico.

Nada de esto se ha hecho. Nada de esto se anuncia en la noticia. Y mientras no se haga, cualquier declaración de "satisfacción absoluta" será, cuanto menos, prematura.

VII. Conclusión: la verificación que no verifica lo que importa

La nueva verificación técnica de la ANR y el PLRA es, sin duda, un gesto político. Muestra que los partidos están presentes, que hacen preguntas, que desarman máquinas. Eso tiene valor en términos de imagen. Pero no tiene el valor que se le atribuye en términos de garantía técnica.

Porque la pregunta central —la que los ciudadanos harían si alguien se tomara el trabajo de explicársela con claridad— no es si la máquina tiene antenas bien soldadas o si la pantalla responde al tacto. La pregunta central es "¿Alguien que no sea el TSJE y MSA puede garantizar, con pruebas, que el software escrito en Python y JavaScript —ese software que controla el RFID, la impresora, la criptografía y la interfaz que el elector toca— es honesto, que suma lo que muestra, que no contiene instrucciones ocultas para desviar votos, y que el código que se ejecutará el día de la elección es exactamente el mismo que se mostró en la auditoría?"

La respuesta, a la luz de los informes de los auditores de los partidos y de la arquitectura técnica ahora conocida, es no.

Y esta nueva verificación —con las mismas reglas, las mismas limitaciones, el mismo control exclusivo del auditado, la misma imposibilidad de tocar el código Python/JavaScript en ejecución— no cambia esa respuesta.

El hardware se desarma. El software —ese software que, por estar escrito en Python y JavaScript, debería ser el más fácil de auditar— permanece cerrado. Las preguntas se responden. Las pruebas decisivas no se hacen. Los auditores declaran su satisfacción. Los informes previos documentan lo contrario.

El ciudadano, mientras tanto, solo puede esperar que esta vez —a diferencia de todas las veces en que la confianza ciega ha resultado traicionada— el lobo realmente esté cuidando el rebaño. O que alguien, algún día, le permita a los auditores abrir la caja negra de verdad. Porque mientras el código Python y JavaScript siga siendo un espectáculo que se mira sin tocar, la transparencia será solo eso: un espectáculo.

De la verificabilidad a la corroboración: una lección epistemológica para la controversia sobre las auditorías electorales en Paraguay

                                                                                 Dr. Victor Oxley

Análisis Filosófico y Metodológico

 

Resumen

Este artículo examina, desde la filosofía de la ciencia, la controversia surgida en Paraguay en torno a la exigencia de una auditoría a las máquinas de votación y la respuesta del Tribunal Superior de Justicia Electoral (TSJE), que ofrece una "verificación técnica" en lugar de reabrir el proceso de auditoría. Se contrastan tres concepciones epistemológicas: el verificacionismo del Círculo de Viena, el falsacionismo popperiano y el confirmacionismo carnapiano. Mediante formalizaciones lógicas y un análisis de los criterios de severidad y confirmación probabilística, se demuestra que la "verificación técnica" resulta insuficiente según los estándares científicos contemporáneos. Se concluye que la democracia no exige certeza absoluta, sino transparencia y la posibilidad de someter las hipótesis a intentos severos de falseamiento.

Palabras clave: verificabilidad, falsacionismo, corroboración, auditoría electoral, filosofía de la ciencia, Karl Popper, Rudolf Carnap.

1. Introducción: la pregunta por la verdad de las máquinas

Cuando los partidos políticos paraguayos exigen una auditoría a las máquinas de votación, y el Tribunal Superior de Justicia Electoral (TSJE) responde ofreciendo una "verificación técnica", no están disputando meros plazos administrativos. Están, sin saberlo quizás, enfrentando dos concepciones profundamente distintas sobre qué significa validar una hipótesis. En el fondo, la pregunta es una sola: ¿bajo qué condiciones podemos afirmar que el sistema de votación computarizado es íntegro?

Para responderla, la filosofía de la ciencia ha desarrollado durante el siglo pasado un conjunto de criterios sutiles, a menudo incompatibles entre sí, que delimitan el territorio de lo que cuenta como evidencia suficiente. Recorrerlos no es un ejercicio académico ocioso: cada criterio lleva implícita una respuesta diferente a la controversia que hoy divide al Paraguay electoral.

2. El verificacionismo y su imposibilidad práctica

La escuela más antigua y, paradójicamente, la más exigente, es el verificacionismo del Círculo de Viena. Este movimiento científico y filosófico, fundado en 1921 por Moritz Schlick en Viena, se centró en la lógica de la ciencia y consideraba a la filosofía como una disciplina encargada de distinguir entre lo que es ciencia y lo que no. Sus miembros —Rudolf Carnap, Moritz Schlick, Otto Neurath— sostenían que una proposición solo es significativa si puede ser verificada empíricamente de manera completa y definitiva. Publicaron en 1929 su manifiesto programático, La visión científica del mundo, donde propusieron utilizar un lenguaje común basado en el lenguaje de la física, defendiendo el empirismo de David Hume, John Locke y Ernst Mach, el método de la inducción, la búsqueda de la unificación del lenguaje de la ciencia y la abolición de la metafísica en el ámbito científico (Círculo de Viena, 2024).

Aplicado a nuestro caso, esto equivaldría a exigir:

"Verifíquese que ninguna de las diez mil máquinas de votación contiene mecanismos ocultos capaces de alterar el resultado."

El problema es que dicha verificación es físicamente imposible. Para verificar completamente la integridad del sistema habría que examinar cada transistor de cada máquina, probar todas las combinaciones posibles de entradas —una tarea que requeriría tiempos mayores que la edad del universo— y descartar la existencia de cualquier comando oculto, backdoor o temporizador malicioso. Las hipótesis universales del tipo "ninguna máquina tiene fraude" no son verificables; solo son falsables.

El Círculo de Viena se disolvió en 1936 debido a la presión política y el ascenso del nazismo en Austria (Círculo de Viena, 2024). Pero su fantasma persiste en el debate público: cuando alguien exige una "verificación total", pide lo imposible. El TSJE podría escudarse en esta imposibilidad para negar cualquier control. Sin embargo, nadie serio —ni siquiera los partidos más críticos— demanda una verificación en este sentido absoluto. Lo que piden es otra cosa: algo más cercano a lo que Karl Popper denominó corroboración.

3. El falsacionismo popperiano: la severidad como virtud epistémica

Karl Popper, filósofo austriaco de la ciencia, nació en Viena en 1902 y se doctoró en filosofía por la universidad de su ciudad natal en 1928 (Herrera de Reyes, 2025). Aunque no fue miembro de la llamada Escuela de Viena, simpatizó con su actitud científica, pero criticó algunos de sus postulados. Su contribución más significativa a la filosofía de la ciencia fue su caracterización del método científico, publicada en su obra fundamental La lógica de la investigación científica (1934) (Popper, 1934/1980).

Popper dio la vuelta al problema. Para él, la ciencia no verifica hipótesis —no puede hacerlo— sino que intenta falsearlas. Propuso un criterio de comprobación que denominó falsabilidad (o falsacionismo), para determinar la validez científica, y subrayó el carácter hipotético-deductivo de la ciencia (Herrera de Reyes, 2025). Una hipótesis es científica si especifica las condiciones bajo las cuales sería refutada. Y una hipótesis es confiable —o, en su vocabulario, está corroborada— si ha sobrevivido a intentos rigurosos y severos de falseamiento.

Formalicemos esto lógicamente. Sean:

- H₁: "El sistema de votación computarizado es íntegro (no contiene mecanismos ocultos que puedan alterar el resultado)".

- ¬H₁: "El sistema contiene mecanismos ocultos que pueden alterar el resultado (hipótesis nula)".

Popper observó una asimetría fundamental:

Si existe al menos un contraejemplo (una máquina que modifica un voto en una prueba controlada), entonces H₁ es falsa. 

Si no existe ningún contraejemplo, esto no prueba que H₁ sea verdadera; solo la corrobora provisionalmente.

Es decir: basta una sola máquina que modifique un voto en una prueba controlada para falsear H₁. Pero ninguna cantidad de pruebas exitosas puede verificar H₁; solo puede corroborarla, y el grado de corroboración depende de cuán severas hayan sido esas pruebas. Si una hipótesis supera los esfuerzos por demostrar su falsedad, puede ser aceptada, al menos con carácter provisional.

La noción de severidad es aquí central. Una prueba es severa si pone en riesgo real la hipótesis nula. Por el contrario, una prueba es trivial si cualquier sistema —incluso uno fraudulento— la supera sin dificultad. El racionalismo crítico de Popper consiste precisamente en hacer una crítica a las teorías establecidas por la ciencia, y se opone expresamente al positivismo lógico (Popper, 1997).

Definición de severidad de una prueba:

Dada una evidencia E obtenida al someter el sistema a una prueba, definimos la severidad de la prueba como:

Severidad(E) = 1 - P(E | ¬H₁)

donde P(E | ¬H₁) es la probabilidad de que la evidencia E se observe si la hipótesis nula ¬H₁ (el sistema es fraudulento) fuera verdadera.

Si P(E | ¬H₁) es alta —esto es, si incluso un sistema fraudulento probablemente pasaría la prueba— entonces la severidad es baja. Y si la severidad es baja, la corroboración obtenida es epistemológicamente insignificante.

La ciencia, para Popper, comienza con teorías, prejuicios, supersticiones y mitos; comienza realmente cuando el mito es objeto de desafío (Herrera de Reyes, 2025). Un científico no parte de la observación directa del problema, sino del problema inicialmente dado por una teoría, y los problemas surgidos son producto de dificultades descubiertas por la refutación de dichas teorías (Herrera de Reyes, 2025).

¿Qué tipo de prueba ha ofrecido el TSJE? La denominada "verificación técnica" consiste en exhibir algunas máquinas, probar su funcionamiento en mesa, mostrar que los botones responden y que los votos se registran aparentemente bien. Desde la perspectiva popperiana, este es un intento de falseamiento débil, de baja severidad. Un intento severo de falseamiento incluiría, al menos: comparación hash por hash del código fuente auditado con el binario instalado en cada máquina; pruebas de caja blanca con acceso completo al código; inyección de comandos maliciosos conocidos para verificar que el sistema los rechaza; y muestreo aleatorio de máquinas, no solo aquellas que el tribunal elige exhibir.

La "verificación técnica" del TSJE no contiene ninguno de estos elementos. Por eso, desde el falsacionismo, es insuficiente.

4. El confirmacionismo carnapiano: la probabilidad como guía

Rudolf Carnap, uno de los miembros más destacados del Círculo de Viena, abandonó el verificacionismo absoluto en su etapa tardía y adoptó un enfoque probabilístico. Para él, la evidencia no verifica ni falsea, sino que confirma hipótesis en diversos grados. Carnap desarrolló esta posición en obras fundamentales como Testability and Meaning (1936-1937), publicada en Philosophy of Science, y Logical Foundations of Probability (1950) (Carnap, 1936-1937; Carnap, 1950).

Utilizando el teorema de Bayes:

P(H₁ | E) = [P(E | H₁) × P(H₁)] / P(E)

donde:

- P(H₁) es la probabilidad inicial (a priori) de que el sistema sea íntegro.

- P(E | H₁) es la probabilidad de obtener la evidencia E si el sistema es íntegro.

- P(E) es la probabilidad general de obtener la evidencia E.

- P(H₁ | E) es la probabilidad final (a posteriori) actualizada tras la evidencia.

El problema de la "verificación técnica" se vuelve aquí transparente. Si las pruebas E son triviales —como lo son las pruebas de funcionamiento superficial— entonces P(E) es alta, porque cualquier sistema, incluso uno fraudulento, las pasaría. Por lo tanto, el factor de actualización P(E | H₁) / P(E) es cercano a 1, y la probabilidad final P(H₁ | E) apenas difiere de la probabilidad inicial P(H₁).

Carnap habría dicho: "La verificación técnica no cambia casi nada nuestra confianza. Para aumentar significativamente la probabilidad de que el sistema sea íntegro, se necesitan pruebas con baja P(E) —es decir, pruebas que un sistema fraudulento difícilmente podría pasar". El requisito es idéntico al de Popper, aunque expresado en lenguaje probabilístico: la evidencia debe ser *sorpresiva* a la luz de la hipótesis nula.

5. Sobre el concepto de verificabilidad en la ciencia contemporánea

Más allá de estas escuelas clásicas, la filosofía de la ciencia actual ha refinado aún más la discusión. Un concepto clave es la verificabilidad en principio frente a la verificabilidad en la práctica. Una hipótesis puede ser teóricamente verificable —porque existe un procedimiento finito que, de ejecutarse, la confirmaría— pero prácticamente inverificable por limitaciones de tiempo, costo o tecnología. En nuestro caso, la hipótesis de integridad total es verificable en principio (podríamos, en un tiempo infinito y con recursos infinitos, examinar cada máquina) pero no en la práctica.

Es importante señalar que incluso dentro del propio Círculo de Viena existían tensiones respecto al principio de verificación. Autores como Sabine Knabenschuh de Porta han mostrado la incompatibilidad entre el principio de verificación neopositivista y las ideas de Wittgenstein acerca del método de verificación como criterio de significatividad (Knabenschuh de Porta, 2004). Para Wittgenstein, entender el sentido de una proposición significa saber cómo ha de encaminarse la decisión de si es verdadera o falsa. Sin embargo, su concepto de verificación apuntaba a un "saber moverse en un espacio lógico" que, en virtud de su multiplicidad, resulta pertinente para una proposición dentro de un contexto determinado, no a una estrategia deductiva que garantice un contacto decisivo con la realidad (Knabenschuh de Porta, 2004).

Otro concepto relevante es el de falsabilidad empírica. Una hipótesis es empíricamente falsable si existe al menos un enunciado de observación que la contradiga. La hipótesis "las máquinas son íntegras" es claramente falsable: el enunciado "en la máquina X, al votar por el candidato A, el registro interno mostró el candidato B" la contradiría. El problema no es la falsabilidad en abstracto, sino la accesibilidad de los potenciales falsadores. Si el diseño del sistema impide que los partidos accedan a los registros internos, entonces la hipótesis es falsable en teoría pero no en la práctica —un estado de cosas que Popper habría considerado profundamente antisientífico.

 6. Conclusión: ¿qué estándar es el adecuado para una democracia?

Recorrido este camino, podemos responder la pregunta inicial. El TSJE ofrece una "verificación técnica" que, a la luz de cualquier estándar epistemológico serio —excepto el verificacionismo imposible—, resulta insuficiente:

- Desde el falsacionismo popperiano: los intentos de falseamiento no son severos, por lo que la corroboración obtenida es insignificante. Popper propuso que las teorías científicas son hipótesis a partir de las cuales se pueden deducir enunciados comprobables mediante la observación; si las observaciones experimentales adecuadas revelan como falsos esos enunciados, la hipótesis es refutada (Herrera de Reyes, 2025). El TSJE no ha sometido su sistema a tales pruebas severas.

- Desde el confirmacionismo carnapiano: la evidencia es trivial (alta P(E)), por lo que la actualización probabilística es marginal. Carnap dedicó esfuerzos sustanciales a desarrollar una teoría de la probabilidad lógica que permitiera medir grados de confirmación (Carnap, 1950); su marco muestra por qué la "verificación técnica" no alcanza para aumentar significativamente la confianza racional.

Lo que los partidos políticos están pidiendo —aunque no lo expresen en este lenguaje— es un intento de falseamiento severo: acceso al código fuente, comparación hash con los binarios instalados, pruebas de caja blanca, muestreo aleatorio independiente. No piden la imposible verificación completa. Piden exactamente lo que la filosofía de la ciencia post-popperiana ha identificado como el único camino hacia la confianza racional: no la certeza, que es inalcanzable, sino la corroboración mediante pruebas arriesgadas.

El TSJE podría responder, legítimamente, que ninguna auditoría puede ofrecer certeza absoluta. Y tendría razón. Pero la democracia no exige certeza; exige transparencia y la posibilidad de que los desconfiados intenten refutar las hipótesis oficiales. Al cerrar la puerta a una auditoría completa y ofrecer en su lugar una mera "verificación técnica", el tribunal no está cometiendo un error técnico. Está, acaso sin saberlo, tomando partido en una de las disputas más profundas de la filosofía de la ciencia: la disputa entre quienes creen que la verdad se demuestra y quienes saben que solo se resiste a ser falseada.

Referencias

Carnap, R. (1936-1937). Testability and Meaning. Philosophy of Science, vol. 3 y 4.

Carnap, R. (1950). Logical Foundations of Probability. University of Chicago Press.

Círculo de Viena. (2024). Esto es Historia (publicación de Facebook). Recuperado de https://www.facebook.com/TodoEstoEsHistoria/posts/el-circulo-de-vienaesto-es-historiael-c%C3%ADrculo-de-viena-fue-un-importante-movimie/274218315405440/

Herrera de Reyes, E. (2025). El pensamiento de Karl Popper en la Lógica de la investigación científica. Reflexio Et Ratio, 2(2), 20-35. https://doi.org/10.69821/rer.v2i2.20

Knabenschuh de Porta, S. (2004). El mito de la "fase verificacionista" de Wittgenstein. Revista de Filosofía, 22(48). Recuperado de http://ve.scielo.org/scielo.php?script=sci_arttext&pid=S0798-11712004000300001

Popper, K. (1934/1980). La lógica de la investigación científica. Madrid: Editorial Tecnos.

Popper, K. (1997). El racionalismo crítico. (Citado en Universidad Autónoma del Estado de Hidalgo).