Harvey annoncerer FedRAMP Class D-certificering til føderalt juridisk arbejde

Harvey annoncerede den 28. oktober 2026, at virksomhedens juridiske AI-platform nu er FedRAMP Class D-certificeret. Virksomheden oplyste, at certificeringen giver amerikanske føderale myndigheder, føderale entreprenører og partnere, internationale regeringer samt kommercielle enheder, der kræver de højeste sikkerhedsstandarder, mulighed for at bruge Harvey til deres juridiske arbejde. Harvey opererer i Knox Systems’ FedRAMP Class D-certificerede cloudmiljø.

Føderale juridiske teams håndterer rådgivning, retssager og håndhævelsesarbejde, som ofte involverer følsomme oplysninger. Harvey oplyste, at myndighederne og de virksomheder, der samarbejder med dem, nu kan bruge platformen til indkøb og kontraktindgåelse, indledende dokumentgennemgange og samarbejde på tværs af myndigheder. Virksomheden sagde, at ændringen skal reducere den tid, advokater bruger på rutineopgaver, så de i stedet kan fokusere på juridiske analyser og rådgivning.

»Føderale juridiske teams er med til at levere kritiske tjenester, som kommer os alle til gode,« sagde Harvey-direktør Winston Weinberg i meddelelsen. »De kan nu få adgang til den samme juridiske AI, som bruges af 80 % af Am Law 100 og fem af Fortune 10. Vi er stolte af at kunne tilbyde vores teknologi til flere advokater, der arbejder i det offentliges tjeneste.«

Harveys chef for den offentlige sektor, Pat Manion, sagde, at myndighedsadvokater i det certificerede miljø kan gennemgå komplekse sagsakter, udarbejde argumenter til retssager, fortolke regler og gennemgå kontrakter og indkøbsdokumenter. Han tilføjede, at virksomheden støtter føderale juridiske teams og deres partnere via den FedRAMP-certificerede platform.

Registrering i FedRAMP Marketplace

Registreringen i FedRAMP Marketplace for Knox Systems FedRAMP High Managed Platform, der har pakke-id’et FR2528033654, omfatter Harvey AI i afsnittet om certificerede tjenester. Registreringen viser, at Knox-platformen har været FedRAMP-certificeret siden den 30. marts 2026, og angiver, at den er i fasen for løbende certificering, som markedspladsen definerer som kontinuerlig overvågning og rapportering i den løbende drift. Den registrerer to autorisationer, et antal, som markedspladsen definerer som det samlede antal Authority to Operate- og Authority to Use-breve, herunder både førstegangs- og genbrugsautorisationer. Platformens certificeringsprofil er angivet som Type Rev5, sti Agency, klasse D (High), hvor klasse A til D afspejler kravene til dokumentation og løbende rapportering for et tilbud.

Beskrivelsen af tjenesten i registreringen er indsendt af leverandøren, og markedspladsen bemærker, at FedRAMP hverken gennemgår eller godkender indhold indsendt af leverandører. Ifølge beskrivelsen udruller applikationsudbydere deres løsninger inden for Knox’ FedRAMP High-autoriserede afgrænsning og overtager en betydelig del af de påkrævede sikkerhedskontroller i stedet for at søge om en selvstændig FedRAMP-autorisation. Knox’ compliance-team og KnoxAI-platformen guider hver udbyder gennem forberedelse, vurdering og idriftsættelse, og KnoxAI evaluerer udbyderens sikkerhedsniveau og implementering af kontroller i forhold til NIST 800-53-rammeværket og yderligere rammeværk og udarbejder derefter de dokumenter, FedRAMP kræver.

Hver applikation kører på sin egen dedikerede konto med én kunde inden for Knox’ afgrænsning, uden delt computerkraft, dataplatform eller lagerplads mellem kunderne, og vurderes individuelt, opføres på markedspladsen og omfattes af løbende overvågning fra dag ét. Beskrivelsen angiver, at alle arbejdsbelastninger udelukkende køres i amerikanske regioner hos AWS, Azure eller Google Cloud Platform, med FIPS-valideret kryptering under overførsel og ved lagring, adgang baseret på nul tillid med fuld revisionslogning samt døgndækning året rundt fra et sikkerhedsoperationscenter og et netværksoperationscenter.

Ifølge beskrivelsen står Knox for den løbende overvågning med månedlig rapportering til de autoriserende myndigheder, opfølgning på handlingsplaner og milepæle, årlige uafhængige tredjepartsvurderinger og penetrationstest samt øvelser i beredskabs- og hændelsesrespons sammen med hver kunde. En matrix over delt ansvar dokumenterer, hvad henholdsvis Knox, applikationsudbyderen og myndigheden har ansvar for.

Markedspladsen beskriver Harvey for Government som en tjeneste, der giver advokater og juridiske fagfolk hos føderale myndigheder mulighed for at arbejde med juridiske spørgsmål, gennemgå myndighedsdokumenter, udarbejde og revidere notater, processkrifter og korrespondance, gennemføre juridiske arbejdsgange i flere trin og samarbejde i fælles arbejdsområder, hvor svarene henviser til deres kilder. Registreringen angiver, at platformens servicemodel er SaaS, og at dens udrulningsmodel er Government Community Cloud.

Eksisterende sikkerheds- og compliance-niveau

Harvey oplyste, at FedRAMP Class D-certificeringen bygger videre på virksomhedens eksisterende sikkerheds- og compliance-niveau, som omfatter SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR og CCPA, og at kunderne kan gennemgå virksomhedens certificeringer i dens tillidscenter.

På sin sikkerhedsside oplyser Harvey, at virksomheden gennem sin platformaftale kontraktligt garanterer, at kundernes input, output og uploadede dokumenter ikke bruges til at træne de underliggende modeller, og at den kræver, at modeludbydere ikke opbevarer data. Virksomheden oplyste, at den krypterer alle data, både når de er lagret og under overførsel, logisk adskiller hver kundes data for at forhindre sammenblanding, anvender adgangskontroller efter princippet om mindst mulige privilegier og viderefører sine kontraktlige sikkerhedsforpligtelser til underdatabehandlere og eksterne modeludbydere. Harvey hoster sit cloudmiljø på Microsoft Azure og tilbyder databehandling i EU og Schweiz eller Australien til kunder med krav om datalokalisering.

På sikkerhedssiden står der også, at Harveys interne sikkerhedsteam dækker infrastruktur, produkt og drift med overvågning døgnet rundt, og at virksomhedens kontroller omfatter SAML-enkeltlogon, revisionslogfiler, IP-adresselister over tilladte adresser og styring af dataenes livscyklus. Harvey oplyste, at virksomheden gennemgår årlige SOC 2 Type II- og ISO 27001-revisioner, årlige penetrationstest udført af tredjeparter, automatiserede sårbarhedsscanninger og løbende sikkerhedsovervågning, og at den samarbejder med Schellman, NCC Group og Bishop Fox om dybdegående revisioner.