Harvey anuncia la certificación FedRAMP Clase D para el trabajo jurídico federal

Harvey anunció el 28 de octubre de 2026 que su plataforma de IA jurídica ya cuenta con la certificación FedRAMP Clase D. La empresa afirmó que la certificación permite a los organismos federales de EE. UU., a los contratistas y socios federales, a los gobiernos internacionales y a las entidades comerciales que exigen los más altos estándares de seguridad utilizar Harvey para su trabajo jurídico. Harvey opera dentro del entorno de nube de Knox Systems certificado por FedRAMP Clase D.

Los equipos jurídicos federales se ocupan de tareas de asesoramiento, litigio y aplicación de la ley que a menudo implican información confidencial. Harvey afirmó que esos organismos y las empresas que colaboran con ellos ya pueden utilizar la plataforma para adquisiciones y contratación, revisiones iniciales de documentos y colaboración entre organismos. La empresa dijo que el cambio busca reducir el tiempo que los abogados dedican a tareas rutinarias y permitirles centrarse en el análisis y el asesoramiento jurídicos.

«Los equipos jurídicos federales contribuyen a prestar servicios esenciales que nos benefician a todos», afirmó el director ejecutivo de Harvey, Winston Weinberg, en el anuncio. «Ahora pueden acceder a la misma IA jurídica que utilizan el 80 % de los bufetes incluidos en Am Law 100 y cinco de las empresas de Fortune 10. Nos enorgullece poner nuestra tecnología al alcance de más abogados que trabajan en el servicio público».

Pat Manion, responsable del sector público de Harvey, afirmó que, dentro del entorno certificado, los abogados de los organismos pueden analizar expedientes complejos, elaborar argumentos para litigios, interpretar reglamentos y revisar contratos y documentos de adquisiciones. Añadió que la empresa presta apoyo a los equipos jurídicos del Gobierno federal y a sus socios mediante la plataforma certificada por FedRAMP.

Registro en FedRAMP Marketplace

La ficha en FedRAMP Marketplace de Knox Systems FedRAMP High Managed Platform, identificada con el ID de paquete FR2528033654, incluye Harvey AI en la sección de servicios certificados. La ficha indica que la plataforma de Knox cuenta con la certificación FedRAMP desde el 30 de marzo de 2026 y la sitúa en la fase de certificación continua, que el mercado define como supervisión y presentación de informes continuas en régimen permanente. Registra dos autorizaciones, cifra que el mercado define como el total de las cartas de autorización para operar y de autorización para usar, incluidas las autorizaciones iniciales y las de reutilización. El perfil de certificación de la plataforma figura como Tipo Rev5, Vía Agencia, Clase D (Alta); las clases de la A a la D reflejan los requisitos de documentación y presentación continua de informes de una oferta.

La descripción del servicio incluida en la ficha la proporciona el proveedor, y el mercado señala que FedRAMP no revisa ni avala el contenido presentado por los proveedores. Según esa descripción, los proveedores de aplicaciones despliegan sus soluciones dentro del perímetro autorizado FedRAMP High de Knox y heredan una parte sustancial de los controles de seguridad exigidos, en lugar de solicitar una autorización FedRAMP independiente. El equipo de cumplimiento de Knox y su plataforma KnoxAI guían a cada proveedor durante las etapas de preparación, evaluación y puesta en marcha; además, KnoxAI evalúa la postura de seguridad del proveedor y la implementación de controles con respecto al marco NIST 800-53 y a otros marcos, y luego genera los artefactos que exige FedRAMP.

Cada aplicación se ejecuta en una cuenta propia y dedicada de un solo inquilino dentro del perímetro de Knox, sin recursos de computación, plano de datos ni almacenamiento compartidos entre clientes, y se evalúa de forma individual, se incluye en el mercado y queda sujeta a supervisión continua desde el primer día. La descripción señala que todas las cargas de trabajo se ejecutan exclusivamente en regiones de EE. UU. de AWS, Azure o Google Cloud Platform, con cifrado validado por FIPS tanto en tránsito como en reposo, acceso de confianza cero con registro de auditoría completo y cobertura ininterrumpida, las 24 horas del día, los 7 días de la semana, del Centro de Operaciones de Seguridad y del Centro de Operaciones de Red.

Según la descripción, Knox gestiona la supervisión continua mediante informes mensuales a los organismos autorizadores, el seguimiento de los planes de acción y los hitos, evaluaciones anuales independientes de terceros y pruebas de penetración, así como ejercicios de contingencia y respuesta a incidentes con cada cliente. Una Matriz de Responsabilidad Compartida documenta qué responsabilidades corresponden a Knox, al proveedor de la aplicación y al organismo.

El mercado describe Harvey for Government como un servicio que permite a abogados y profesionales del ámbito jurídico de organismos federales analizar cuestiones jurídicas, revisar documentos de los organismos, redactar y revisar memorandos, escritos y correspondencia, ejecutar flujos de trabajo jurídicos de varios pasos y colaborar en espacios de trabajo compartidos, con respuestas que citan sus fuentes. La ficha identifica el modelo de servicio de la plataforma como SaaS y su modelo de implementación como Government Community Cloud.

Seguridad y cumplimiento normativo actuales

Harvey afirmó que la certificación FedRAMP Clase D se suma a una postura de seguridad y cumplimiento normativo ya existente, que incluye SOC 2 Tipo II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Nivel 2, GDPR y CCPA, y que los clientes pueden consultar sus certificaciones en el centro de confianza de la empresa.

En su página de seguridad, Harvey afirma que, en virtud de su Acuerdo de plataforma, garantiza contractualmente que los datos de entrada y salida de los clientes, así como los documentos que estos cargan, no se utilizan para entrenar los modelos subyacentes, y que exige a los proveedores de modelos una política de retención cero de datos. La empresa señaló que cifra todos los datos almacenados y en tránsito, separa lógicamente los datos de cada cliente para evitar que se mezclen, aplica controles de acceso basados en el principio de mínimo privilegio y hace extensivas sus obligaciones contractuales de seguridad a los subencargados del tratamiento y a los proveedores externos de modelos. Harvey aloja su entorno en la nube en Microsoft Azure y ofrece procesamiento en la UE y Suiza o Australia a los clientes que tienen requisitos de localización de datos.

La página de seguridad también señala que el equipo interno de seguridad de Harvey abarca infraestructura, producto y operaciones, y ofrece supervisión las 24 horas del día, los 7 días de la semana; además, indica que sus controles incluyen inicio de sesión único con SAML, registros de auditoría, listas de direcciones IP permitidas y gestión del ciclo de vida de los datos. Harvey afirmó que se somete a auditorías anuales de SOC 2 Tipo II e ISO 27001, pruebas de penetración anuales realizadas por terceros, análisis automatizados de vulnerabilidades y supervisión continua de la seguridad, y que trabaja con Schellman, NCC Group y Bishop Fox para realizar auditorías exhaustivas.