Une faille dans le secret du vote en Géorgie rencontre l’IA, révélant un risque pour la vie privée avant les élections de mi-mandat

La Géorgie a laissé sans correctif une faiblesse connue concernant la confidentialité des bulletins pendant près de quatre ans, et un agent de codage IA a désormais rendu son exploitation bien plus facile. La faille du secret du vote en Géorgie ne modifie pas les suffrages et ne remet pas en cause les résultats annoncés. Elle menace autre chose : la promesse constitutionnelle selon laquelle personne ne peut déterminer comment un individu a voté.

Le chercheur de Princeton Max Springer a utilisé des archives publiques et un assistant IA accessible au public pour reconstituer l’ordre des bulletins lors de la primaire géorgienne de mai 2026. Son analyse a retrouvé l’ordre de dépôt d’environ 1,52 million de bulletins, soit 98,9 % des bulletins votés en personne dans les comtés qu’il a examinés. L’Associated Press a rapporté de manière indépendante les conclusions de Springer et interrogé des responsables électoraux ainsi que des experts en sécurité sur cette vulnérabilité non résolue.

Le paradoxe est manifeste. La Géorgie publie des données au niveau des bulletins pour permettre au public d’examiner les résultats électoraux, mais les logiciels obsolètes de ses scanners peuvent transformer cette transparence en menace pour la confidentialité des électeurs. L’IA n’a pas découvert la faille. Elle a réduit le niveau d’expertise et le temps nécessaires pour transformer un ancien document technique en analyse fonctionnelle.

Cette distinction est importante à l’approche des élections de mi-mandat de novembre. La démonstration concerne le secret du vote, et non la manipulation des suffrages, et rien n’indique que cette méthode ait été utilisée de manière malveillante. Toutefois, attendre la preuve d’un abus laisserait l’État défendre une promesse de confidentialité alors que la barrière technique sous-jacente s’est déjà effondrée.

La faille du secret du vote en Géorgie était déjà documentée

Le changement immédiat n’est pas la découverte d’un nouveau bug logiciel. C’est la preuve qu’une faiblesse existante est devenue accessible à bien davantage de personnes.

Les électeurs géorgiens effectuent leurs choix sur des appareils de marquage des bulletins à écran tactile. Chaque appareil imprime un bulletin papier comportant des choix lisibles par une personne et un code QR. L’électeur insère ensuite ce bulletin dans un scanner optique, qui enregistre les choix et crée un enregistrement électronique du vote exprimé.

Un enregistrement du vote exprimé, souvent abrégé en CVR, contient les choix enregistrés pour un bulletin sans y associer le nom d’un électeur. Les administrateurs électoraux et les analystes externes peuvent utiliser ces enregistrements pour examiner les résultats au niveau des bulletins.

Les scanners créent également des images numériques des bulletins. Afin de protéger l’anonymat, les enregistrements électroniques correspondants apparaissent dans un ordre mélangé plutôt que dans l’ordre où les électeurs ont déposé leurs bulletins.

Des chercheurs ont révélé un problème dans ce processus en octobre 2022. Les scanners attribuaient des identifiants à l’aide d’un algorithme déterministe, c’est-à-dire qu’une procédure fixe produisait des résultats semblant aléatoires mais pouvant être inversés. Leur divulgation technique expliquait comment un analyste pouvait retrouver la séquence originale de numérisation.

La séquence seule n’identifie pas un électeur. Elle devient sensible lorsqu’une personne la combine avec des archives distinctes indiquant qui a voté, où ces personnes ont voté et approximativement à quel moment elles se sont enregistrées.

Springer a testé cette combinaison lors de la primaire géorgienne de mai 2026. Selon son analyse de la confidentialité des bulletins, il a fourni la recherche originale à un agent de codage et lui a demandé si la faiblesse restait exploitable en Géorgie.

Un agent de codage est un grand modèle de langage capable d’écrire, d’exécuter, d’inspecter et de réviser du code informatique dans le but d’atteindre un objectif donné. Au lieu de seulement suggérer du code, il peut résoudre les erreurs et assembler une chaîne d’analyse fonctionnelle.

Springer a déclaré que l’agent avait inversé le mélange des enregistrements de bulletins et identifié les fichiers publics supplémentaires nécessaires. Ces fichiers comprenaient des listes de vote anticipé, des journaux d’audit des scanners et des archives d’enregistrement propres à chaque lieu de vote.

L’expérience n’a nécessité aucun accès à une machine à voter, un réseau privé, un code source propriétaire ou une base de données à accès restreint. Elle a utilisé des archives existant à des fins légitimes d’administration électorale et de contrôle public.

C’est pourquoi cette affaire ne peut être réduite à un avertissement familier sur un hypothétique piratage électoral. L’analyse visait des données publiées après le vote, et non des machines pendant le dépôt des bulletins. Son résultat concernait l’identité des électeurs et leurs choix, non des modifications du décompte.

La vulnérabilité est également antérieure aux systèmes d’IA générative actuels. Les chercheurs d’origine avaient déjà expliqué la méthode de récupération. L’IA a modifié la quantité de travail spécialisé nécessaire pour l’appliquer à des données électorales réelles.

En termes de sécurité, il s’agit d’un changement majeur dans l’exploitabilité. Une faille qui exigeait autrefois un programmeur familier des formats électoraux peut devenir accessible via des instructions en langage naturel et une génération de code itérative.

La Géorgie n’est pas accusée de publier une liste directe reliant chaque électeur à son bulletin. Chaque fichier public semble moins dangereux lorsqu’il est considéré isolément. La défaillance de confidentialité apparaît lorsque des identifiants de scanner prévisibles permettent de relier des ensembles de données distincts.

C’est la tension centrale de cet article. Les preuves électorales publiques sont censées rendre les résultats globaux plus fiables sans révéler les choix politiques individuels. La configuration actuelle de la Géorgie peine à garantir ces deux protections simultanément.

L’appariement des bulletins par IA transforme des archives publiques en identifiants

L’IA a abaissé la barrière pratique entre la lecture d’informations sur cette vulnérabilité et son application à plus d’un million de bulletins réels.

Springer a analysé des données provenant de 139 comtés de Géorgie. Il a indiqué avoir retrouvé l’ordre de dépôt des votes en personne dans 114 d’entre eux, couvrant environ 1,52 million de bulletins.

La première étape consistait à placer les bulletins et les électeurs dans des groupes correspondants. Supposons que trois électeurs du même parti et de la même circonscription se soient enregistrés durant la même période de vote anticipé. Les archives pourraient réduire leurs choix à trois bulletins correspondants, sans prouver quelle personne a déposé chacun d’eux.

Les groupes plus petits créent une plus grande certitude. Si un seul électeur d’un parti, d’une circonscription, d’un type de bulletin et d’une date donnés correspond à un enregistrement retrouvé, les données publiques peuvent produire une correspondance forcée.

Springer a estimé qu’environ 1 % des électeurs ayant voté tôt et en personne qu’il a analysés pouvaient être identifiés de manière unique à partir de la seule liste des électeurs anticipés et des enregistrements de vote exprimé. Ce pourcentage est plus limité que le taux de récupération de l’ordre de dépôt de 98,9 %, et ces deux chiffres ne doivent pas être confondus.

Retrouver l’ordre signifie déterminer la séquence des enregistrements électroniques de bulletins. Identifier un bulletin signifie relier l’un de ces enregistrements à une personne nommée. La seconde tâche exige des éléments supplémentaires relatifs au moment, au lieu ou à l’ordre.

Springer a ensuite obtenu des journaux d’audit de scanners et des archives d’enregistrement pour des lieux de vote individuels. Ces archives fournissaient des informations plus précises sur les horaires et l’ordre, lui permettant de distinguer les électeurs qui semblaient initialement appartenir au même groupe.

Dans le comté de Heard, il a indiqué avoir associé la plupart des 650 électeurs ayant voté tôt et en personne à un bulletin précis. Les électeurs restants pouvaient généralement être réduits à une unique permutation entre deux bulletins possibles.

Il a rapporté un résultat comparable parmi 1 860 électeurs anticipés au centre de vote de Ball Ground, dans le comté de Cherokee. Ce lieu très fréquenté est important, car il remet en question l’hypothèse selon laquelle l’appariement ne fonctionne que dans une circonscription rurale particulièrement calme.

La méthode comporte encore des incertitudes. Un électeur qui s’enregistre en premier ne scanne pas nécessairement son bulletin en premier. Les personnes prennent des durées différentes pour voter, vérifier leurs impressions ou demander de l’aide. L’ordre d’enregistrement ne peut donc pas être automatiquement assimilé à l’ordre des bulletins.

Les correspondances les plus solides de Springer reposaient sur davantage qu’une simple comparaison ligne à ligne. Elles combinaient la séquence de scanner réversible avec les types de bulletins, la participation partisane, les dates, les lieux de vote et des archives d’audit plus détaillées.

Même dans ce cas, le travail publié constitue une démonstration de chercheur plutôt qu’une validation à l’échelle de l’État de chaque correspondance. Une reproduction indépendante aiderait à mesurer les fausses correspondances dans les lieux très fréquentés et lors de schémas de vote inhabituels.

Le responsable électoral géorgien Gabriel Sterling a insisté sur cette incertitude. Il a soutenu que relier un électeur à un bulletin peut encore impliquer une part significative de conjecture, en particulier lorsque plusieurs personnes correspondent à la même fenêtre temporelle.

Cette critique restreint l’affirmation, mais n’efface pas la faiblesse. Un système de confidentialité ne devrait pas dépendre du fait qu’un nombre suffisant d’électeurs circule dans un lieu selon un ordre suffisamment confus. Il devrait empêcher toute liaison fiable dès sa conception.

La faille du secret du vote en Géorgie devient particulièrement grave lorsque des observations extérieures complètent les archives officielles. Un observateur électoral, une caméra, un employeur, un militant de campagne ou une connaissance pourrait savoir à quel moment une personne donnée est entrée ou a déposé un bulletin.

Les petites communautés peuvent créer une autre source d’information. Lorsque les habitants se connaissent et que seules quelques personnes demandent un bulletin d’un parti particulier, un enregistrement apparemment anonyme peut devenir personnellement révélateur.

L’appariement des bulletins par IA change également d’échelle par rapport à une enquête manuelle. Un analyste peut demander à un agent d’harmoniser des fichiers de comtés incohérents, d’écrire des analyseurs, de tester des hypothèses et de répéter le processus dans de nombreuses juridictions.

Le modèle n’exerce aucun jugement politique. Il automatise un travail sur les données qui exigeait autrefois un temps de programmation considérable. Cela rend une méthode d’attaque déjà publiée plus facile à reproduire, modifier et diffuser.

C’est l’enseignement plus large de l’IA pour la sécurité. Les défenseurs ne peuvent pas supposer qu’un document technique reste impraticable à exploiter parce que cela exige des formats peu familiers ou du codage fastidieux. Les agents peuvent de plus en plus transformer une documentation publique en logiciel fonctionnel.

La transparence et le secret du vote sont désormais en conflit direct

La Géorgie doit préserver les éléments permettant une vérification publique sans publier des archives pouvant être recombinées pour révéler l’identité politique d’un électeur.

Les enregistrements au niveau des bulletins servent un objectif démocratique légitime. Chercheurs, campagnes, journalistes et citoyens peuvent les utiliser pour vérifier la tabulation, étudier les anomalies et comparer les résultats électroniques aux bulletins papier.

La Géorgie a activement promu cette transparence. Après la primaire du 19 mai, le bureau du secrétaire d’État a analysé 2 081 900 cartes de bulletin lors d’un audit exhaustif des images.

L’État a signalé 159 divergences, et 99,9924 % des cartes ne présentaient aucune divergence. Il a déclaré que l’audit avait confirmé les résultats des 1 785 scrutins examinés, selon les résultats de l’audit de la primaire.

Ces chiffres concernent l’exactitude du décompte. Ils ne répondent pas à la question de savoir si quelqu’un peut associer un enregistrement de bulletin exact à un électeur individuel.

La différence est essentielle. L’intégrité électorale implique d’enregistrer correctement chaque choix, de préserver des preuves fiables, de compter ces preuves avec exactitude et de protéger l’identité de l’électeur.

Un système peut être performant sur les trois premières mesures tout en échouant sur la quatrième. La preuve d’une tabulation exacte ne réfute donc pas une faiblesse démontrée en matière de confidentialité.

De même, une faille de confidentialité des bulletins ne prouve pas que des machines ont modifié des votes, supprimé des bulletins ou produit le mauvais vainqueur. Les résultats de la Géorgie en 2020 ont résisté aux recomptages et aux enquêtes, tandis que les fausses affirmations de fraude massive liée aux machines n’ont à plusieurs reprises pas produit d’éléments probants.

Confondre ces deux questions affaiblirait l’argument en faveur d’une correction. Les responsables électoraux peuvent reconnaître un véritable problème de confidentialité sans valider des affirmations sans rapport sur des résultats manipulés.

Comme l’a relevé l’Associated Press dans son examen de la législation pertinente, la Constitution de Géorgie exige des élections au scrutin secret, tandis que la loi de l’État impose que les équipements de vote permettent de voter dans un « secret absolu » afin que personne ne puisse connaître les choix d’un autre électeur.

Le vote secret protège bien plus que le confort personnel. Il limite l’achat de votes, car un acheteur ne peut pas facilement vérifier le respect de l’accord. Il protège également les personnes contre les pressions exercées par des employeurs, des proches, des groupes politiques, des représentants de l’État et des partenaires violents.

Un bulletin techniquement récupérable crée un risque comparable à celui d’un reçu. Même si peu de personnes tentent cette reconstitution, cette possibilité peut affecter les électeurs qui craignent raisonnablement des représailles ou des contraintes.

Les campagnes politiques pourraient aussi accorder de la valeur aux choix individuels. Les bases de données modernes de campagne prédisent déjà les préférences à partir de données démographiques, de l’historique électoral, d’informations de consommation et de registres de contact. Des bulletins reconstitués fourniraient des preuves directes plutôt qu’une probabilité déduite.

Sterling a soutenu que les campagnes trouveraient probablement le profilage et la mobilisation ordinaires des électeurs moins coûteux que l’exploitation de cette vulnérabilité. Il a également noté que toute personne cherchant à exercer une contrainte pourrait trouver le vote par correspondance plus facile à cibler.

Cette réponse traite des incitations des attaquants, et non de l’obligation de l’État en matière de vie privée. La garantie du scrutin secret ne dépend pas du fait que sa violation soit ou non la stratégie de campagne la plus économique.

L’opposition centrale dans cette histoire n’est donc pas l’IA contre les agents électoraux. Elle oppose la transparence permise par des données publiques détaillées au secret affaibli par des identifiants déterministes et des journaux corrélés.

Éliminer toutes les données publiques sur les bulletins résoudrait ce conflit dans la mauvaise direction. La vérification indépendante dépend de l’accès à des dossiers pertinents. La meilleure solution consiste à rompre les liens techniques qui révèlent l’ordre de dépôt tout en préservant l’auditabilité.

D’autres juridictions utiliseraient les scanners concernés, mais leur exposition diffère. Certaines ont installé la mise à jour du fabricant. D’autres restreignent l’accès aux documents dont un attaquant aurait besoin pour établir une correspondance avec les électeurs.

La Géorgie présente une combinaison particulièrement sensible. L’équipement fonctionne dans tout l’État, les dossiers pertinents peuvent être demandés publiquement, et l’État n’avait pas déployé la mise à jour avant le cycle électoral de 2026.

Cette combinaison a conduit Mark Lindeman, directeur des politiques et de la stratégie de l’organisation non partisane de technologie électorale Verified Voting, à qualifier la situation de la Géorgie de « tempête parfaite » auprès de l’Associated Press. Sa critique selon laquelle la persistance de cette possibilité était embarrassante illustre plus directement la défaillance institutionnelle qu’un nouvel avertissement abstrait sur l’IA.

La correction des équipements de vote de Géorgie est arrivée trop tard pour un déploiement simple

La réponse logicielle évidente s’est heurtée à la certification, au financement, à l’autorité et au risque opérationnel lié à la modification de systèmes électoraux à l’échelle de l’État peu avant novembre.

Dominion Voting Systems, dont l’activité électorale a ensuite été vendue et rebaptisée Liberty Vote, a développé une mise à jour corrigeant l’ordre réversible des enregistrements. Les documents officiels de l’entreprise confirment que l’entreprise a été créée par l’acquisition de Dominion. De nombreux autres utilisateurs des scanners concernés auraient installé la mise à jour.

La Géorgie n’a pas déployé les mises à jour concernées à l’échelle de l’État après l’achat de son système en 2019. En 2026, l’État approchait d’une nouvelle élection très médiatisée avec la même faiblesse de confidentialité documentée en 2022.

Salleigh Grubbs, membre du State Election Board, a proposé d’exiger que le bureau du secrétaire d’État applique la mise à jour du fabricant avant les élections de mi-mandat. Elle a soutenu que la confidentialité du vote protège à la fois les électeurs individuels et l’intégrité de l’élection.

Un avocat de l’agence a répondu que la Géorgie n’avait pas certifié la mise à jour, que sa mise en œuvre nécessiterait des mois et que les législateurs n’avaient pas fourni le financement nécessaire. Le conseil a rejeté la proposition de Grubbs.

Certains membres ont également mis en doute la capacité du conseil à ordonner au secrétaire d’État d’effectuer la mise à niveau. Cette préoccupation faisait suite à des différends antérieurs sur les limites légales du pouvoir réglementaire du conseil.

Sara Tindall Ghazal, membre du conseil, a voté contre la proposition tout en décrivant l’absence de mise à jour comme extrêmement frustrante. Elle a souligné que les sanctions pénales prévues en Géorgie pour la divulgation du vote d’une autre personne constituaient un moyen de dissuasion.

Les sanctions pénales comptent après une faute. Elles ne peuvent pas rendre anonyme un bulletin techniquement relié à une identité, empêcher un profilage discret ou garantir que des résultats divulgués puissent être récupérés.

Une mise à jour précipitée comporte également des risques réels. Les logiciels électoraux nécessitent une certification, une installation, des tests des équipements, la préparation des agents de scrutin, une planification d’urgence et un déploiement cohérent dans tous les comtés.

Modifier un environnement de vote à l’échelle de l’État peu avant une élection majeure peut introduire des erreurs de configuration ou des procédures inégales. Des défenseurs du droit de vote ont déjà averti que des changements tardifs peuvent désorienter les agents et les électeurs.

C’est le compromis opérationnel, pas une excuse pour des années de retard. Les responsables font face à un calendrier risqué en 2026 parce que la vulnérabilité connue est restée non résolue durant des périodes de mise en œuvre antérieures et plus sûres.

L’État a tenté une réponse administrative. Selon la réponse de l’État rapportée, le bureau du secrétaire d’État a demandé aux responsables locaux de supprimer certaines des données accessibles au public utilisées dans le processus d’appariement de Springer.

Restreindre les données sensibles de chronologie ou d’ordre peut réduire l’exposition immédiate. Cela peut également être plus rapide que l’installation de nouveaux logiciels de scanner dans tout l’État.

Toutefois, la suppression de dossiers exige une conception rigoureuse. Retirer trop d’informations peut compliquer la surveillance des élections, tandis qu’une conformité inégale des comtés peut laisser des données exploitables disponibles dans certains endroits.

L’approche doit également tenir compte des documents obtenus au moyen de demandes publiques formelles, et pas seulement des fichiers publiés en ligne. Supprimer un téléchargement web ne modifie pas nécessairement ce que la loi de l’État exige qu’une agence divulgue.

Une solution durable doit déterminer le minimum de données nécessaire à des audits publics significatifs. Elle doit ensuite supprimer ou transformer les champs permettant de relier des dossiers à une activité électorale nominative.

Les garanties possibles comprennent des identifiants aléatoires cryptographiquement sûrs, une divulgation différée, l’agrégation des horodatages sensibles et une séparation stricte entre les registres d’émargement et les dossiers des scanners. Toute option exige des tests indépendants contre des attaques de liaison réalistes.

La Géorgie devrait également supposer que les futurs outils d’IA seront plus capables que l’agent utilisé par Springer. Une politique qui ne reste sûre que parce que le processus d’appariement actuel est peu pratique vieillira mal.

La faille des équipements de vote illustre un problème de maintenance plus vaste. Les institutions publiques évaluent souvent les correctifs selon qu’une vulnérabilité a déjà causé un préjudice documenté. L’IA modifie ce calcul en rendant d’anciennes faiblesses moins coûteuses à exploiter.

La priorité des correctifs devrait refléter la facilité actuelle d’exploitation, et pas seulement la date de divulgation. Une faiblesse vieille de quatre ans peut devenir plus urgente lorsque l’automatisation élimine l’expertise qui limitait auparavant son exploitation.

Le risque pour la vie privée est sérieux, mais les affirmations les plus fortes doivent être vérifiées

Les éléments disponibles justifient une réponse urgente en matière de confidentialité, sans étayer les affirmations selon lesquelles les totaux de vote de Géorgie auraient été compromis ou que chaque électeur aurait été identifié avec certitude.

L’expérience de Springer établit plusieurs faits importants. Le mélange publié par les scanners peut être inversé. L’IA peut aider à mettre en œuvre cette inversion. Les données publiques de Géorgie permettent de récupérer largement l’ordre de dépôt, et des dossiers supplémentaires peuvent produire des correspondances très précises entre électeurs et bulletins.

L’expérience n’établit pas qu’une partie malveillante a déjà créé une base de données à l’échelle de l’État sur les choix des électeurs. Springer a déclaré qu’il n’existe aucune preuve que quelqu’un ait utilisé cette faiblesse à des fins malveillantes.

Elle ne montre pas non plus que l’IA a accédé aux systèmes de vote. Le modèle a travaillé sur des dossiers électoraux après leur production. Qualifier cette démonstration d’attaque par IA contre les machines à voter décrirait mal le mécanisme.

Le chiffre de 98,9 % exige un traitement tout aussi prudent. Il décrit les bulletins dont Springer a récupéré l’ordre de dépôt dans les comtés analysés. Cela ne signifie pas qu’il a identifié de manière concluante l’électeur à l’origine de 98,9 % des bulletins.

Ses exemples plus détaillés au niveau des comtés ont produit des liens beaucoup plus solides. Pourtant, vérifier l’exactitude de chaque correspondance reste difficile, car le véritable lien entre électeurs et bulletins est volontairement indisponible.

Cette lacune de vérification est inhérente à la recherche sur la confidentialité. Un système secret ne peut pas fournir commodément une vérité de référence sans violer le secret qu’il est censé protéger.

Les chercheurs peuvent néanmoins évaluer la méthode au moyen d’élections contrôlées, de données synthétiques, d’électeurs tests connus, de bornes d’erreur statistiques et de réplications indépendantes. Ces tests devraient examiner les délais entre l’émargement et le scan, l’abandon de bulletins, l’assistance, les changements de machines et les électeurs qui ne suivent pas l’ordre attendu.

Les responsables devraient également publier suffisamment de méthodologie pour que des experts extérieurs puissent évaluer leurs mesures d’atténuation. Dire que l’appariement implique des « suppositions » n’est pas une norme de sécurité mesurable.

La question appropriée est de savoir quel degré d’incertitude reste pour un attaquant qui cible un électeur particulier. Une technique n’a pas besoin d’identifier tout le monde pour menacer des responsables politiques, des juges, des agents publics, des militants ou des habitants de petites communautés.

Un attaquant ciblé peut déjà disposer d’observations indisponibles dans l’ensemble de données public. Les horaires de travail, les images de localisation, les bénévoles de campagne, les publications sociales ou la surveillance directe peuvent affiner une correspondance.

L’effet dissuasif légal mérite également d’être testé face à des adversaires réalistes. Des acteurs étrangers, des courtiers en données anonymes et des personnes prêtes à divulguer un ensemble de données pourraient ne pas réagir aux sanctions pénales de l’État comme les responsables locaux l’attendent.

Dans le même temps, le débat public doit éviter d’alimenter les récits conspirationnistes sur les élections. La vulnérabilité touche à la confidentialité, tandis que les audits de Géorgie concernent la concordance entre les preuves papier et les totaux rapportés.

L’État a déclaré que son audit de mai n’avait relevé que 16 divergences parmi 2 038 067 bulletins créés par des dispositifs de marquage de bulletins. Quelles que soient les limites de cet audit, ces chiffres concernent l’exactitude du dépouillement plutôt que la protection de l’identité.

Traiter chaque problème de sécurité électorale comme la preuve d’une élection volée rend les corrections concrètes plus difficiles. Cela invite les responsables à écarter des recherches légitimes comme une nouvelle attaque politique et encourage les partisans à exagérer une faille circonscrite.

La conclusion responsable est plus restreinte et plus solide. La Géorgie dispose d’un mécanisme documenté capable d’exposer les choix individuels sur les bulletins dans certaines conditions de données. L’IA a réduit l’effort nécessaire pour l’utiliser à grande échelle.

Cette constatation suffit à exiger des mesures d’atténuation. Elle ne nécessite pas d’affirmations sur des votes modifiés, des tabulateurs piratés ou un résultat électoral incorrect.

Ce que la Géorgie doit démontrer avant novembre

Le prochain test consiste à déterminer si la Géorgie peut désactiver la chaîne d’appariement tout en préservant suffisamment de preuves publiques pour vérifier les résultats électoraux.

Le premier indicateur est le traitement des journaux d’audit des scanners, des registres d’émargement et des fichiers de votes exprimés. Les comtés ont besoin d’instructions cohérentes définissant quels champs restent publics, lesquels deviennent agrégés et lesquels bénéficient d’une protection renforcée de la confidentialité.

Si des chercheurs indépendants ne peuvent pas recréer un ordre précis des électeurs après ces changements, l’évaluation immédiate du risque pour la confidentialité devient moins sévère. Si les dossiers des comtés restent incohérents ou faciles à corréler, la réponse administrative de l’État paraîtra incomplète.

Le deuxième signal est une validation technique indépendante. La Géorgie devrait inviter des chercheurs qualifiés en sécurité électorale à tester le processus de divulgation mis à jour en utilisant des procédures réalistes prévues pour novembre.

Cette validation doit mesurer la précision des rapprochements, et pas seulement confirmer qu’un fichier a disparu d’un site web. Elle devrait également expliquer comment l’État préserve les éléments de preuve nécessaires aux audits et aux contestations publiques.

Un test transparent et reproductible renforcerait la confiance dans le fait que la mesure d’atténuation s’attaque bien au mécanisme en cause. Refuser d’autoriser des tests significatifs reviendrait à demander aux électeurs d’accepter une assurance non étayée.

Le troisième signal est un plan financé et certifié concernant la mise à jour logicielle du fabricant ou son remplacement. Le registre officiel de certification de la U.S. Election Assistance Commission indique que Democracy Suite 5.17 a reçu une certification fédérale le 16 mars 2023, même si cette certification fédérale ne remplace pas le processus d’approbation et de déploiement propre à la Géorgie.

Un plan à long terme doit prévoir des dates, des jalons de certification de l’État, des procédures de déploiement dans les comtés et des tests après installation. Si ces jalons prennent encore du retard, l’État restera dépendant du contrôle de chaque document auxiliaire susceptible de révéler l’ordre des électeurs.

La Géorgie est également confrontée à une transition plus large de ses équipements. Les législateurs ont reporté à 2028 la date limite de suppression de la totalisation par QR code, après n’avoir pas réussi à choisir un remplacement avant les élections de mi-mandat de 2026. Ce report concernant les QR codes reflète la même tension entre réforme technique et préparation opérationnelle.

La totalisation par QR code et l’ordre réversible des CVR sont des problèmes distincts. Remplacer un composant ne résout pas automatiquement l’autre. Tout futur système doit être évalué à la fois pour l’exactitude du décompte et sa résistance au rapprochement des données.

La mise en correspondance de bulletins par IA devrait modifier la manière dont les administrateurs électoraux modélisent les risques. Des fichiers publics autrefois jugés inoffensifs peuvent devenir sensibles lorsque des agents découvrent des relations entre formats, juridictions et horodatages.

Ce principe va au-delà des élections. Les hôpitaux, tribunaux, écoles et employeurs publient souvent des dossiers prétendument anonymes tout en conservant des dates, des lieux, des catégories ou des identifiants déterministes. L’IA peut rendre ces combinaisons plus faciles à exploiter.

Pour les électeurs géorgiens, toutefois, la question immédiate est concrète. L’État peut-il démontrer que le nom d’une personne, son activité de pointage et l’ordre reconstitué de son bulletin ne convergent plus vers un même choix politique ?

Il faut surveiller d’abord les règles de divulgation des comtés, ensuite les tests indépendants de protection de la vie privée, et enfin le calendrier certifié du logiciel. Ces signaux révéleront si la Géorgie a rompu la chaîne de mise en correspondance ou l’a simplement rendue un peu moins pratique.

La faille affectant le secret du vote en Géorgie ne prouve pas que le décompte de novembre sera erroné. Elle montre que l’exactitude des registres électoraux et l’anonymat des électeurs exigent des protections distinctes. Avant que les prochains bulletins ne soient déposés, la Géorgie devrait démontrer les deux.