La falla nella segretezza del voto in Georgia incontra l'IA, esponendo un rischio per la privacy prima delle elezioni di medio termine

La Georgia ha lasciato senza correzione una nota debolezza nella privacy delle schede elettorali per quasi quattro anni, e un agente di programmazione basato sull'IA ha ora reso molto più semplice sfruttarla. La falla nella segretezza del voto in Georgia non altera i voti né compromette i risultati dichiarati. Minaccia qualcosa di diverso: la promessa costituzionale che nessuno possa determinare come ha votato un singolo individuo.

Il ricercatore di Princeton Max Springer ha utilizzato registri pubblici e un assistente IA disponibile al pubblico per ricostruire l'ordine delle schede delle primarie della Georgia del maggio 2026. La sua analisi ha recuperato l'ordine di deposito di circa 1,52 milioni di schede, pari al 98,9% delle schede votate di persona nelle contee esaminate. L'Associated Press ha riportato indipendentemente le conclusioni di Springer e ha intervistato funzionari elettorali ed esperti di sicurezza sulla vulnerabilità ancora irrisolta.

L'inversione scomoda è evidente. La Georgia pubblica dati a livello di singola scheda affinché il pubblico possa esaminare i risultati elettorali, ma il suo software obsoleto per gli scanner può far sì che questa trasparenza agisca contro la privacy degli elettori. L'IA non ha scoperto la falla. Ha ridotto le competenze e il tempo necessari per trasformare un vecchio documento tecnico in un'analisi funzionante.

Questa distinzione è importante prima delle elezioni di medio termine di novembre. La dimostrazione riguarda la segretezza del voto, non la manipolazione dei voti, e non ci sono prove che qualcuno abbia usato il metodo in modo malevolo. Tuttavia, attendere un abuso dimostrato lascerebbe lo Stato a difendere una promessa di privacy dopo che la barriera tecnica sottostante è già crollata.

La falla nella segretezza del voto in Georgia era già documentata

Il cambiamento immediato non è un bug software appena scoperto. È la prova che una debolezza esistente è diventata accessibile a molte più persone.

Gli elettori della Georgia esprimono le proprie scelte su dispositivi touchscreen per la marcatura delle schede. Ogni dispositivo stampa una scheda cartacea contenente le selezioni leggibili dall'uomo e un codice QR. L'elettore inserisce poi la scheda in uno scanner ottico, che registra le selezioni e crea un record elettronico del voto espresso.

Un record del voto espresso, comunemente abbreviato in CVR, contiene le selezioni registrate da una singola scheda senza associarvi il nome dell'elettore. Gli amministratori elettorali e gli analisti esterni possono usare questi record per esaminare i risultati a livello di singola scheda.

Gli scanner creano anche immagini digitali delle schede. Per proteggere l'anonimato, i corrispondenti record elettronici appaiono in un ordine mescolato anziché nell'ordine in cui gli elettori hanno depositato le loro schede.

I ricercatori hanno reso pubblico un problema in quel processo nell'ottobre 2022. Gli scanner assegnavano identificatori usando un algoritmo deterministico, ovvero una procedura fissa che produceva risultati apparentemente casuali ma reversibili. La loro divulgazione tecnica spiegava come un analista potesse recuperare la sequenza di scansione originaria.

La sola sequenza non identifica un elettore. Diventa sensibile quando qualcuno la combina con registri separati che mostrano chi ha votato, dove ha votato e approssimativamente quando ha effettuato il check-in.

Springer ha testato questa combinazione sulle primarie della Georgia del maggio 2026. Secondo la sua analisi della privacy delle schede, ha fornito a un agente di programmazione la ricerca originale e gli ha chiesto se la debolezza fosse ancora utilizzabile in Georgia.

Un agente di programmazione è un modello linguistico di grandi dimensioni in grado di scrivere, eseguire, ispezionare e revisionare codice informatico per perseguire un obiettivo dichiarato. Anziché limitarsi a suggerire codice, può affrontare gli errori e assemblare una pipeline di analisi funzionante.

Springer ha affermato che l'agente ha invertito il mescolamento dei record delle schede e identificato quali ulteriori file pubblici fossero necessari. Tali file includevano elenchi del voto anticipato, registri di audit degli scanner e record di check-in specifici per località.

L'esperimento non ha richiesto accesso a una macchina per il voto, a una rete privata, a codice sorgente proprietario o a un database riservato. Ha utilizzato registri esistenti per la legittima amministrazione elettorale e la supervisione pubblica.

Questa combinazione è il motivo per cui la storia non può essere ridotta a un consueto avvertimento sull'ipotetico hacking elettorale. L'analisi ha preso di mira dati diffusi dopo il voto, non macchine durante la votazione. Il suo risultato riguardava l'identità degli elettori e le scelte sulle schede, non modifiche al conteggio.

La vulnerabilità precede anche gli attuali sistemi di IA generativa. I ricercatori originari avevano già spiegato il metodo di recupero. L'IA ha cambiato la quantità di lavoro specialistico necessaria per applicarlo a dati elettorali reali.

In termini di sicurezza, si tratta di un cambiamento importante nella sfruttabilità. Una falla che un tempo richiedeva un programmatore esperto di formati elettorali può diventare accessibile tramite istruzioni in linguaggio naturale e generazione iterativa di codice.

La Georgia non è stata accusata di pubblicare un elenco diretto che colleghi elettori e schede. Ogni file pubblico appare meno pericoloso se considerato isolatamente. Il fallimento della privacy emerge quando identificatori prevedibili degli scanner consentono di unire set di dati separati.

Questa è la tensione centrale dell'articolo. Le prove elettorali pubbliche dovrebbero rendere più affidabili i risultati aggregati senza esporre le scelte politiche individuali. L'attuale configurazione della Georgia fatica a garantire entrambe le protezioni contemporaneamente.

L'abbinamento delle schede tramite IA trasforma i registri pubblici in identificatori

L'IA ha abbassato la barriera pratica tra la lettura della vulnerabilità e la sua applicazione a oltre un milione di schede reali.

Springer ha analizzato dati provenienti da 139 contee della Georgia. Ha riferito di aver recuperato l'ordine di deposito delle schede votate di persona in 114 di esse, coprendo circa 1,52 milioni di schede.

La prima fase ha collocato schede ed elettori in gruppi corrispondenti. Si supponga che tre elettori dello stesso partito e distretto abbiano effettuato il check-in nello stesso periodo di voto anticipato. I registri potrebbero restringere le possibilità a tre schede corrispondenti senza dimostrare quale persona abbia espresso ciascuna di esse.

I gruppi più piccoli creano una maggiore certezza. Se un solo elettore di un determinato partito, distretto, stile di scheda e data corrisponde a un record recuperato, i dati pubblici possono produrre un abbinamento obbligato.

Springer ha stimato che circa l'1% degli elettori anticipati di persona analizzati potesse essere identificato in modo univoco basandosi soltanto sull'elenco degli elettori anticipati e sui record del voto espresso. Questa percentuale è più ristretta del dato del 98,9% relativo al recupero dell'ordine di deposito, e i due numeri non devono essere confusi.

Recuperare l'ordine significa determinare la sequenza dei record elettronici delle schede. Identificare una scheda significa collegare uno di quei record a una persona nominata. Il secondo compito richiede ulteriori prove relative a tempi, località o ordine.

Springer ha poi ottenuto registri di audit degli scanner e record di check-in per singole sedi di voto. Tali registri fornivano informazioni più precise su tempi e ordine, consentendogli di distinguere elettori che inizialmente apparivano nello stesso gruppo.

Nella Heard County, ha riferito di aver abbinato la maggior parte di 650 elettori anticipati di persona a una scheda specifica. Gli elettori rimanenti potevano generalmente essere ristretti a un singolo scambio tra due possibili schede.

Ha riferito un risultato simile tra 1.860 elettori anticipati presso il centro di voto Ball Ground nella Cherokee County. Questa sede molto frequentata è rilevante perché mette in discussione l'ipotesi che l'abbinamento funzioni solo in un distretto rurale insolitamente tranquillo.

Il metodo contiene ancora incertezza. Un elettore che effettua il check-in per primo non necessariamente scansiona per primo una scheda. Le persone impiegano quantità di tempo diverse per votare, controllare le stampe o richiedere assistenza. L'ordine di check-in non può quindi essere automaticamente trattato come ordine delle schede.

Gli abbinamenti più solidi di Springer si basavano su più di un semplice confronto riga per riga. Combinavano la sequenza reversibile dello scanner con stili di scheda, partecipazione partitica, date, sedi di voto e record di audit più dettagliati.

Anche in questo caso, il lavoro pubblicato è una dimostrazione di un ricercatore piuttosto che una valutazione a livello statale di ogni abbinamento. Una replica indipendente aiuterebbe a misurare gli abbinamenti errati in sedi affollate e con modelli di voto insoliti.

Il funzionario elettorale della Georgia Gabriel Sterling ha sottolineato tale incertezza. Ha sostenuto che collegare un elettore a una scheda può ancora implicare una quantità significativa di congetture, in particolare quando più persone rientrano nella stessa finestra temporale.

Questa critica restringe l'affermazione ma non elimina la debolezza. Un sistema di privacy non dovrebbe dipendere dal fatto che un numero sufficiente di elettori attraversi una sede in un ordine abbastanza confuso. Dovrebbe impedire collegamenti affidabili per progettazione.

La falla nella segretezza del voto in Georgia diventa particolarmente seria quando osservazioni esterne integrano i registri ufficiali. Un osservatore elettorale, una telecamera, un datore di lavoro, un operatore di campagna o un conoscente potrebbe sapere quando una determinata persona è entrata o ha depositato una scheda.

Le piccole comunità possono creare un'altra fonte di informazioni. Quando i residenti si conoscono tra loro e solo poche persone richiedono una particolare scheda di partito, un record apparentemente anonimo può diventare personalmente rivelatore.

L'abbinamento delle schede tramite IA si scala inoltre in modo diverso rispetto all'indagine manuale. Un analista può chiedere a un agente di normalizzare file incoerenti tra contee, scrivere parser, testare ipotesi e ripetere il processo in molte giurisdizioni.

Il modello non esercita un giudizio politico. Automatizza il lavoro sui dati che un tempo richiedeva molto tempo di programmazione. Questo rende un metodo di attacco già pubblicato più facile da riprodurre, modificare e distribuire.

Questa è la lezione più ampia sulla sicurezza dell'IA. I difensori non possono presumere che un documento tecnico resti impraticabile perché sfruttarlo richiede formati poco familiari o programmazione tediosa. Gli agenti possono sempre più tradurre documentazione pubblica in software funzionante.

Trasparenza e voto segreto sono ora in conflitto diretto

La Georgia deve preservare prove che supportino la verifica pubblica senza pubblicare record che possano essere ricombinati nell'identità politica di un elettore.

I record a livello di scheda hanno un legittimo scopo democratico. Ricercatori, campagne, giornalisti e cittadini possono usarli per verificare la tabulazione, studiare anomalie e confrontare i risultati elettronici con le schede cartacee.

La Georgia ha promosso attivamente questa trasparenza. Dopo le primarie del 19 maggio, l'ufficio del segretario di Stato ha analizzato 2.081.900 schede in un audit completo delle immagini.

Lo Stato ha riportato 159 discrepanze, con il 99,9924% delle schede senza alcuna discrepanza. Ha dichiarato che l'audit ha confermato gli esiti di tutte le 1.785 competizioni esaminate, secondo i risultati dell'audit delle primarie dello Stato.

Queste cifre riguardano l'accuratezza del conteggio. Non rispondono alla domanda se qualcuno possa associare un record di scheda accurato a un singolo elettore.

La differenza è essenziale. L'integrità elettorale include la registrazione corretta di ogni scelta, la conservazione di prove affidabili, il conteggio accurato di tali prove e la protezione dell'identità dell'elettore.

Un sistema può funzionare bene nelle prime tre misure fallendo nella quarta. Le prove di una tabulazione accurata non confutano quindi una debolezza della privacy dimostrata.

Allo stesso modo, una falla nella privacy delle schede non prova che le macchine abbiano scambiato voti, cancellato schede o prodotto il vincitore sbagliato. I risultati della Georgia del 2020 hanno superato riconteggi e indagini, mentre le false affermazioni di una diffusa frode delle macchine non hanno ripetutamente prodotto prove a sostegno.

Confondere le due questioni indebolirebbe le ragioni di un intervento correttivo. I funzionari elettorali possono riconoscere un autentico problema di riservatezza senza avallare affermazioni non correlate su risultati manipolati.

Come ha osservato l’Associated Press nella sua analisi della legge pertinente, la Costituzione della Georgia richiede elezioni a scrutinio segreto, mentre la legge statale impone che le apparecchiature di voto consentano di votare in “assoluta segretezza”, affinché nessuno possa conoscere le scelte di un altro elettore.

Il voto segreto protegge più del semplice comfort personale. Limita la compravendita di voti perché un acquirente non può verificare facilmente il rispetto dell’accordo. Protegge inoltre le persone dalle pressioni di datori di lavoro, familiari, gruppi politici, funzionari pubblici e partner abusanti.

Una scheda tecnicamente ricostruibile crea un rischio simile a quello di una ricevuta. Anche se poche persone tentassero la ricostruzione, questa possibilità può condizionare gli elettori che temono ragionevolmente ritorsioni o coercizioni.

Anche le campagne politiche potrebbero attribuire valore alle scelte individualizzate. I moderni database delle campagne prevedono già le preferenze usando dati demografici, cronologia di voto, informazioni sui consumatori e registri dei contatti. Le schede ricostruite offrirebbero prove dirette anziché una probabilità dedotta.

Sterling ha sostenuto che le campagne troverebbero probabilmente la normale profilazione degli elettori e le attività di contatto meno costose rispetto allo sfruttamento di questa vulnerabilità. Ha inoltre osservato che chiunque volesse esercitare coercizione potrebbe trovare il voto per posta un bersaglio più facile.

Questa risposta affronta gli incentivi degli aggressori, non l’obbligo dello Stato in materia di privacy. La garanzia del voto segreto non è subordinata al fatto che violarla sia o meno la strategia di campagna più economica.

L’avversario centrale in questa storia non è quindi l’AI contro gli addetti alle elezioni. È la trasparenza tramite dati pubblici granulari contro una segretezza indebolita da identificatori deterministici e registri correlati.

Eliminare tutti i dati pubblici sulle schede risolverebbe questo conflitto nella direzione sbagliata. La verifica indipendente dipende dall’accesso a registri significativi. La soluzione migliore consiste nell’interrompere i collegamenti tecnici che rivelano l’ordine di espressione del voto preservando al contempo la verificabilità.

Secondo quanto riportato, altre giurisdizioni usano scanner interessati dal problema, ma la loro esposizione è diversa. Alcune hanno installato l’aggiornamento software del produttore. Altre limitano l’accesso ai registri di cui un aggressore avrebbe bisogno per associare le schede agli elettori.

La Georgia presenta una combinazione insolitamente sensibile. L’apparecchiatura è utilizzata in tutto lo Stato, i registri pertinenti possono essere richiesti pubblicamente e lo Stato non aveva distribuito l’aggiornamento prima del ciclo elettorale del 2026.

Questa combinazione ha portato Mark Lindeman, direttore delle politiche e della strategia dell’organizzazione apartitica di tecnologia elettorale Verified Voting, a descrivere la situazione della Georgia all’Associated Press come una “tempesta perfetta”. La sua critica, secondo cui il permanere di questa possibilità era imbarazzante, coglie il fallimento istituzionale più direttamente di un altro avvertimento astratto sull’AI.

La correzione delle apparecchiature di voto della Georgia è arrivata troppo tardi per un’implementazione semplice

L’ovvia risposta software si è scontrata con certificazioni, finanziamenti, competenze e il pericolo operativo di modificare i sistemi elettorali statali poco prima di novembre.

Dominion Voting Systems, la cui attività elettorale è stata successivamente venduta e rinominata Liberty Vote, ha sviluppato un aggiornamento che affronta l’ordinamento reversibile dei registri. I materiali ufficiali dell’azienda di Liberty Vote confermano che la società è stata costituita attraverso l’acquisizione di Dominion. Secondo quanto riportato, molti altri utilizzatori degli scanner interessati hanno installato l’aggiornamento.

La Georgia non ha distribuito gli aggiornamenti statali pertinenti dopo aver acquistato il proprio sistema nel 2019. Nel 2026, lo Stato si avvicinava a un’altra elezione di alto profilo con la stessa debolezza in materia di privacy documentata nel 2022.

La componente del State Election Board Salleigh Grubbs ha proposto di richiedere all’ufficio del segretario di Stato di applicare l’aggiornamento del produttore prima delle elezioni di metà mandato. Ha sostenuto che la privacy delle schede protegge sia i singoli elettori sia l’integrità delle elezioni.

Un legale dell’agenzia ha risposto che la Georgia non aveva certificato l’aggiornamento, che l’implementazione avrebbe richiesto mesi e che i legislatori non avevano fornito i finanziamenti necessari. Il consiglio ha respinto la proposta di Grubbs.

Alcuni membri hanno inoltre messo in dubbio che il consiglio avesse l’autorità di ordinare al segretario di Stato di effettuare l’aggiornamento. Questa preoccupazione faceva seguito a precedenti controversie sui limiti legali del potere normativo del consiglio.

La componente del consiglio Sara Tindall Ghazal ha votato contro la proposta pur descrivendo l’assenza dell’aggiornamento come estremamente frustrante. Ha indicato le sanzioni penali della Georgia per la rivelazione del voto di un’altra persona come deterrente.

Le sanzioni penali hanno rilevanza dopo una condotta scorretta. Non possono rendere anonima una scheda tecnicamente collegabile, impedire una profilazione discreta o garantire il recupero di risultati divulgati.

Anche un aggiornamento affrettato comporta rischi reali. Il software elettorale richiede certificazione, installazione, test delle apparecchiature, preparazione degli addetti ai seggi, pianificazione delle contingenze e distribuzione coerente tra le contee.

Modificare un ambiente di voto statale poco prima di un’elezione importante può introdurre errori di configurazione o procedure disomogenee. In passato, gli attivisti per i diritti di voto hanno avvertito che modifiche tardive possono confondere addetti ed elettori.

Questo è il compromesso operativo, non una giustificazione per anni di ritardi. I funzionari affrontano un calendario rischioso nel 2026 perché la vulnerabilità nota è rimasta irrisolta durante precedenti finestre di implementazione più sicure.

Lo Stato ha tentato una risposta amministrativa. Secondo la risposta statale riportata, l’ufficio del segretario di Stato ha istruito i funzionari locali a rimuovere alcuni dei dati pubblicamente disponibili utilizzati nel processo di associazione di Springer.

Limitare i registri sensibili relativi a tempi o ordini può ridurre l’esposizione immediata. Può inoltre essere più rapido che installare nuovo software per scanner in tutto lo Stato.

Tuttavia, la soppressione dei registri richiede una progettazione accurata. Rimuovere troppe informazioni può rendere più difficile la supervisione elettorale, mentre un’applicazione incoerente nelle contee può lasciare dati sfruttabili disponibili in alcuni luoghi.

L’approccio deve inoltre considerare i registri ottenuti tramite richieste pubbliche formali, non soltanto i file pubblicati online. Eliminare un download dal web non cambia necessariamente ciò che la legge statale impone a un’agenzia di divulgare.

Un rimedio durevole deve individuare la quantità minima di dati necessaria per audit pubblici significativi. Deve poi rimuovere o trasformare i campi che consentono di collegare i registri all’attività di voto nominativa.

Le possibili salvaguardie includono identificatori casuali crittograficamente sicuri, divulgazione differita, aggregazione dei timestamp sensibili e rigorosa separazione tra registri dei seggi e registri degli scanner. Ogni opzione richiede test indipendenti contro attacchi di collegamento realistici.

La Georgia dovrebbe inoltre presumere che i futuri strumenti di AI saranno più capaci dell’agente utilizzato da Springer. Una politica che rimane sicura solo perché l’attuale processo di associazione è scomodo invecchierà male.

Il difetto delle apparecchiature di voto illustra un problema di manutenzione più ampio. Le istituzioni pubbliche spesso valutano le patch in base al fatto che una vulnerabilità abbia già causato danni documentati. L’AI modifica questo calcolo rendendo le vecchie debolezze meno costose da sfruttare operativamente.

La priorità delle patch dovrebbe riflettere l’attuale facilità di sfruttamento, non soltanto la data della divulgazione. Una debolezza di quattro anni può diventare più urgente quando l’automazione elimina le competenze che in precedenza ne limitavano lo sfruttamento.

Il rischio per la privacy è serio, ma le affermazioni più forti richiedono verifiche

Le prove supportano una risposta urgente per la privacy senza sostenere affermazioni secondo cui i totali di voto della Georgia siano stati compromessi o ogni elettore sia stato identificato con certezza.

L’esperimento di Springer stabilisce diversi fatti importanti. La sequenza pubblicata dagli scanner può essere invertita. L’AI può contribuire a implementare tale inversione. I dati pubblici della Georgia consentono un sostanziale recupero dell’ordine di espressione del voto, e registri aggiuntivi possono produrre associazioni estremamente specifiche tra elettore e scheda.

L’esperimento non dimostra che una parte malintenzionata abbia già creato un database statale delle scelte degli elettori. Springer ha affermato che non esistono prove che qualcuno abbia utilizzato la debolezza per scopi illeciti.

Non dimostra neppure che l’AI abbia avuto accesso ai sistemi di voto. Il modello ha lavorato sui registri elettorali dopo la loro produzione. Definire la dimostrazione un attacco AI alle macchine per il voto descriverebbe erroneamente il meccanismo.

Anche la cifra del 98,9% richiede un trattamento altrettanto accurato. Descrive le schede il cui ordine di espressione del voto Springer ha recuperato nelle contee analizzate. Non significa che abbia nominato in modo conclusivo l’elettore dietro il 98,9% delle schede.

I suoi esempi più dettagliati a livello di contea hanno prodotto collegamenti molto più forti. Tuttavia, verificare l’accuratezza di ogni associazione rimane difficile perché la vera mappatura elettore-scheda è intenzionalmente indisponibile.

Questo divario di verifica è intrinseco alla ricerca sulla privacy. Un sistema segreto non può fornire agevolmente una verità di riferimento senza violare il segreto che dovrebbe proteggere.

I ricercatori possono comunque valutare il metodo tramite elezioni controllate, registri sintetici, elettori di prova noti, limiti statistici di errore e replicazione indipendente. Questi test dovrebbero esaminare i ritardi tra registrazione e scansione, l’abbandono della scheda, l’assistenza, i cambi di macchina e gli elettori che non seguono l’ordine previsto.

Anche i funzionari dovrebbero pubblicare una metodologia sufficiente affinché esperti esterni possano valutare le loro misure di mitigazione. Dire che l’associazione implica “ipotesi” non è uno standard di sicurezza misurabile.

La domanda appropriata è quanta incertezza rimanga per un aggressore che prende di mira un particolare elettore. Una tecnica non deve identificare tutti per minacciare politici, giudici, dipendenti pubblici, attivisti o residenti di piccole comunità.

Un aggressore mirato potrebbe già possedere osservazioni non disponibili nel dataset pubblico. Orari di lavoro, riprese di localizzazione, volontari delle campagne, post sui social o sorveglianza diretta possono restringere un’associazione.

Anche il deterrente legale merita di essere testato contro avversari realistici. Attori stranieri, intermediari anonimi di dati e persone disposte a divulgare un dataset potrebbero non rispondere alle sanzioni penali statali come i funzionari locali si aspettano.

Allo stesso tempo, il dibattito pubblico deve evitare di alimentare narrazioni complottiste sulle elezioni. La vulnerabilità riguarda la privacy, mentre gli audit della Georgia verificano se le prove cartacee e i totali riportati coincidano.

Lo Stato ha dichiarato che il suo audit di maggio ha rilevato solo 16 discrepanze tra 2.038.067 schede create da dispositivi di marcatura delle schede. Qualunque siano i limiti di tale audit, questi numeri riguardano l’accuratezza del conteggio piuttosto che la protezione dell’identità.

Trattare ogni problema di sicurezza elettorale come prova di un’elezione rubata rende più difficili le correzioni pratiche. Invita i funzionari a liquidare la ricerca legittima come un altro attacco politico e incoraggia i partigiani a esagerare un difetto circoscritto.

La conclusione responsabile è più circoscritta e più solida. La Georgia dispone di un meccanismo documentato che può esporre le scelte individuali delle schede in determinate condizioni di dati. L’AI ha ridotto lo sforzo necessario per utilizzarlo su larga scala.

Questa conclusione è sufficiente per richiedere misure di mitigazione. Non richiede affermazioni su voti modificati, tabulatori violati o un esito elettorale errato.

Cosa deve dimostrare la Georgia prima di novembre

Il prossimo test è stabilire se la Georgia possa disabilitare la catena di associazione preservando al tempo stesso prove pubbliche sufficienti per verificare i risultati elettorali.

Il primo segnale riguarda il trattamento dei registri di audit degli scanner, dei registri di registrazione ai seggi e dei file di voto espresso. Le contee necessitano di istruzioni coerenti che definiscano quali campi restano pubblici, quali diventano aggregati e quali ricevono una protezione della privacy più forte.

Se ricercatori indipendenti non potranno ricreare l’ordinamento preciso degli elettori dopo queste modifiche, la valutazione immediata del rischio per la privacy diventerà meno grave. Se i registri delle contee resteranno incoerenti o facilmente correlabili, la risposta amministrativa dello Stato apparirà incompleta.

Il secondo segnale è una convalida tecnica indipendente. La Georgia dovrebbe invitare ricercatori qualificati in sicurezza elettorale a testare il processo di divulgazione aggiornato utilizzando procedure realistiche per novembre.

Questa convalida deve misurare l’accuratezza del collegamento, non limitarsi a confermare che un file è scomparso da un sito web. Dovrebbe inoltre spiegare in che modo lo Stato conserva le prove necessarie per gli audit e le contestazioni pubbliche.

Un test trasparente e ripetibile rafforzerebbe la fiducia nel fatto che la mitigazione affronti il meccanismo alla radice. Il rifiuto di consentire test significativi lascerebbe i funzionari a chiedere agli elettori di accettare una garanzia non supportata.

Il terzo segnale è un piano finanziato e certificato per l’aggiornamento software del produttore o per la sua sostituzione. Il registro ufficiale di certificazione della U.S. Election Assistance Commission mostra che Democracy Suite 5.17 ha ricevuto la certificazione federale il 16 marzo 2023, sebbene tale certificazione non sostituisca il processo di approvazione e distribuzione proprio della Georgia.

Un piano a lungo termine necessita di date, traguardi per la certificazione statale, procedure di distribuzione nelle contee e test successivi all’installazione. Se tali traguardi dovessero slittare di nuovo, lo Stato rimarrebbe dipendente dal controllo di ogni registro ausiliario che potrebbe rivelare l’ordine degli elettori.

La Georgia affronta inoltre una più ampia transizione delle apparecchiature. I legislatori hanno rinviato al 2028 la scadenza per l’eliminazione dello scrutinio tramite codici QR, dopo non essere riusciti a decidere un sostituto prima delle elezioni di metà mandato del 2026. Il rinvio relativo ai codici QR riflette la stessa tensione tra riforma tecnica e prontezza operativa.

Lo scrutinio tramite codici QR e l’ordinamento reversibile dei CVR sono questioni distinte. Sostituire un componente non risolve automaticamente l’altra. Qualsiasi sistema futuro deve essere valutato sia per l’accuratezza del conteggio sia per la resistenza al collegamento tra registri.

L’abbinamento delle schede elettorali tramite IA dovrebbe modificare il modo in cui gli amministratori elettorali modellano il rischio. File pubblici un tempo considerati innocui possono diventare sensibili quando gli agenti scoprono relazioni tra formati, giurisdizioni e timestamp.

Il principio si estende oltre le elezioni. Ospedali, tribunali, scuole e datori di lavoro spesso pubblicano registri presumibilmente anonimi mantenendo però date, luoghi, categorie o identificatori deterministici. L’IA può rendere più facile sfruttare tali combinazioni.

Per gli elettori della Georgia, tuttavia, la domanda immediata è concreta. Lo Stato può dimostrare che il nome di una persona, la sua attività di check-in e l’ordine recuperato della sua scheda non convergono più su una singola scelta politica?

Osservate prima le regole di divulgazione delle contee, poi i test indipendenti sulla privacy e, terzo, una tempistica certificata per il software. Questi segnali riveleranno se la Georgia ha spezzato la catena di abbinamento o l’ha soltanto resa leggermente meno comoda.

La falla nella segretezza delle schede elettorali della Georgia non dimostra che il conteggio di novembre sarà errato. Mostra che registri elettorali accurati e anonimato degli elettori richiedono difese separate. Prima che siano espresse le prossime schede, la Georgia dovrebbe dimostrare entrambi.