El sistema brasileño parte de una dificultad propia del voto electrónico: quien vota no puede observar directamente el funcionamiento interno de la máquina que registra su selección. Para compensar esa distancia, la Justicia Electoral no concentra la confianza en una sola prueba, sino en una secuencia de mecanismos aplicados antes, durante y alrededor de la elección.

Ese diseño traslada buena parte de la auditabilidad desde el elector individual hacia partidos, investigadores, entidades profesionales y órganos públicos. Entre mayo y julio de 2026, esa apuesta quedó expuesta en un calendario de inspecciones, intentos deliberados de vulneración, cotejos de resultados, simulaciones de hardware y ejercicios de contingencia.

Hacer verificable el sistema, no el voto

El partido União Brasil abrió el ciclo el 25 de mayo. A esa primera inspección siguieron las del Senado Federal, la Confederación Nacional del Comercio (CNC), la Sociedad Brasileña de Computación (SBC) y el Consejo Nacional del Ministerio Público (CNMP), todas dirigidas a examinar los códigos fuente de los sistemas electorales.¹²³⁴⁵

Durante la visita del Senado, además, se abrió una urna, se mostraron sus componentes y se explicaron las etapas que van desde la preparación del equipo hasta la divulgación de los resultados.³ No se trataba de una actividad excepcional, sino de una de las acciones previstas dentro del Ciclo de Transparencia Democrática de una Justicia Electoral que utiliza urnas electrónicas desde 1996.

Esa apertura responde a una elección de fondo. En lugar de conservar una papeleta que pueda ser verificada posteriormente por cada elector, Brasil apuesta por la fiscalización colectiva del software, los equipos y los procedimientos. Por eso, su auditabilidad es principalmente institucional y especializada: el votante comprueba su selección en la interfaz, pero no conserva una evidencia física independiente que permita revisar después cómo quedó registrado el voto.

Transparencia como calendario, no como gesto

La inspección del código fuente es apenas la primera de varias capas. Aunque todas contribuyen a la confianza en el sistema, cada una responde a una pregunta distinta y ninguna sustituye a las demás.

La primera permite que las entidades fiscalizadoras habilitadas examinen los programas electorales. Este mecanismo, realizado desde 2002 y previsto en la legislación, está abierto a partidos, la Orden de los Abogados, el Ministerio Público, la Policía Federal, el Tribunal de Cuentas de la Unión y la SBC, entre otras organizaciones. En 2021, el TSE amplió el período de acceso de seis meses a un año. Por eso, para las elecciones de 2026, los códigos están disponibles desde octubre de 2025 y podrán revisarse hasta septiembre, antes de la Ceremonia de Firma Digital y Lacrado.¹

Pero permitir la lectura del código no basta. La segunda capa intenta comprobar cómo responde el sistema cuando especialistas buscan vulnerabilidades. En el Test de Confirmación, celebrado del 13 al 15 de mayo de 2026, investigadores vinculados a la Universidad de São Paulo y a la Universidad Federal de Mato Grosso do Sul revisaron las correcciones adoptadas después de hallazgos anteriores.⁶ Según el TSE, esas pruebas no comprometieron la integridad ni el secreto del voto.

La tercera capa cambia de pregunta: ya no busca vulnerabilidades en el software, sino comprobar si la urna produce el resultado esperado. Durante la Prueba de Integridad, votos registrados previamente en papeletas de control se introducen en equipos sorteados y luego se comparan con el resultado electrónico. En la elección suplementaria de Roraima del 21 de junio se probaron veinte urnas y, de acuerdo con el balance oficial, no se detectaron inconsistencias.⁷

A esa verificación se suma el Simulado Nacional de Hardware, que examina el funcionamiento físico de los equipos. En julio, el Tribunal Regional Electoral de Bahía programó pruebas sobre 1,089 urnas de cuatro generaciones diferentes.⁸ Aunque ambas actividades utilizan equipos reales, no comprueban lo mismo: una coteja votos controlados con resultados electrónicos y la otra busca confirmar el desempeño de los componentes físicos.

La cuarta capa reduce, al menos parcialmente, la dependencia de las herramientas del propio Tribunal. Las entidades habilitadas pueden presentar programas propios para comprobar la integridad y autenticidad de los sistemas, siempre que los sometan previamente al proceso de homologación establecido por el TSE.¹²

Así, las cuatro capas no forman una acumulación indiscriminada de controles, sino una secuencia de verificaciones con alcances distintos. Aun así, su existencia no permite conocer por sí sola la profundidad de cada revisión. La arquitectura garantiza oportunidades de fiscalización; la intensidad dependerá de la capacidad y del compromiso técnico de quienes las utilicen.

La seguridad continúa fuera de la urna

Esa misma lógica explica por qué la preparación electoral no concluye con la revisión del dispositivo. Los días 29 y 30 de junio, el TSE reunió a los responsables de tecnología de los 27 tribunales regionales para revisar riesgos, medidas de mitigación y planes de contingencia. Entre los asuntos tratados figuraron la transmisión de resultados y las alternativas de conectividad satelital.¹¹

La reunión no demuestra que las redes sean más vulnerables que las urnas. Sí muestra, en cambio, que la continuidad de la elección depende también de enlaces de comunicación, centros de procesamiento y procedimientos de recuperación. Por esa razón, la inspección del código, aunque necesaria, no sustituye las pruebas operativas ni la planificación ante incidentes.

El secretario de Tecnología de la Información del TSE, Júlio Valente, resumió esa lógica al advertir que algún riesgo puede materializarse pese a las medidas preventivas y que, por ello, deben existir respuestas sucesivas: “un plan B, un plan C”.¹¹ La nueva Política de Seguridad de la Información, aprobada por unanimidad el 9 de junio, se inscribe en ese mismo enfoque.⁹¹⁰

La premisa es sencilla: reducir el riesgo no significa eliminarlo. En consecuencia, la seguridad no se presenta como un estado definitivo, sino como un proceso continuo de prevención, prueba, contingencia y ajuste.

El límite: auditoría para expertos, no para el elector

La apertura del código y las pruebas públicas cumplen, por tanto, una doble función. Por un lado, permiten identificar deficiencias y corregirlas; por otro, producen evidencia que puede utilizarse frente a las campañas de desinformación que han afectado la confianza en las urnas durante los ciclos electorales recientes. Desde 2021, el TSE mantiene un programa permanente para enfrentar ese fenómeno.¹⁵

Sin embargo, la confianza no surge automáticamente de la existencia de esos mecanismos. Para que produzcan efectos públicos, también deben comunicarse con claridad quién participó, qué examinó, qué encontró y cuáles fueron los límites de la revisión.

En ese punto aparece la principal restricción del modelo brasileño: su auditabilidad es institucional y especializada, no individual. El elector no conserva un comprobante físico de su selección, como ocurre en los sistemas con papeleta verificable por el votante. Tampoco utiliza un esquema de verificabilidad criptográfica de extremo a extremo.

Por eso, para un observador latinoamericano que evalúe adoptar o defender un modelo semejante, la lección no debería reducirse a la calidad de la urna. La confianza dependerá también de la diversidad y competencia de quienes fiscalizan el sistema, de la profundidad de las pruebas y de la capacidad institucional para publicar, con la misma transparencia, tanto los resultados obtenidos como aquello que las revisiones no alcanzaron a comprobar.