Harvey ilmoittaa FedRAMP-luokan D sertifioinnista liittovaltion oikeudelliseen työhön

Harvey ilmoitti 28. lokakuuta 2026, että sen oikeudellisiin tehtäviin tarkoitettu tekoälyalusta on nyt saanut FedRAMP-luokan D sertifioinnin. Yhtiön mukaan sertifiointi antaa Yhdysvaltain liittovaltion virastoille, liittovaltion sopimuskumppaneille ja yhteistyökumppaneille, kansainvälisille hallituksille sekä kaupallisille toimijoille, jotka edellyttävät korkeimpia tietoturvastandardeja, mahdollisuuden käyttää Harveyta oikeudellisessa työssään. Harvey toimii Knox Systemsin FedRAMP-luokan D sertifioidussa pilviympäristössä.

Liittovaltion oikeudelliset tiimit hoitavat neuvonta-, oikeudenkäynti- ja valvontatehtäviä, joihin liittyy usein arkaluonteisia tietoja. Harvey kertoi, että kyseiset virastot ja niiden kanssa yhteistyötä tekevät yritykset voivat nyt käyttää alustaa hankintoihin ja sopimusten tekemiseen, asiakirjojen alustavaan tarkasteluun sekä virastojen väliseen yhteistyöhön. Yhtiön mukaan muutoksen tavoitteena on vähentää asianajajien rutiinitehtäviin käyttämää aikaa ja vapauttaa sitä oikeudelliseen analyysiin ja neuvontaan.

”Liittovaltion oikeudelliset tiimit auttavat tarjoamaan meille kaikille tärkeitä palveluja”, Harvey-toimitusjohtaja Winston Weinberg sanoi tiedotteessa. ”Nyt heillä on käytössään sama oikeudellinen tekoäly, jota käyttää 80 % Am Law 100 -listan asianajotoimistoista ja viisi Fortune 10 -listan yrityksistä. Olemme ylpeitä voidessamme tuoda teknologiamme yhä useampien julkisissa tehtävissä työskentelevien asianajajien käyttöön.”

Harveyn julkisen sektorin johtaja Pat Manion kertoi, että sertifioidussa ympäristössä virastojen asianajajat voivat käsitellä monimutkaisia oikeustapausaineistoja, laatia oikeudenkäyntiargumentteja, tulkita säädöksiä sekä tarkastella sopimuksia ja hankinta-asiakirjoja. Hän lisäsi, että yhtiö tukee liittovaltion hallinnon oikeudellisia tiimejä ja niiden yhteistyökumppaneita FedRAMP-sertifioidun alustan avulla.

FedRAMP Marketplacen tiedot

Knox Systemsin FedRAMP High Managed Platform -alustan FedRAMP Marketplace -tietueessa, jonka pakettitunnus on FR2528033654, Harvey AI mainitaan sertifioitujen palvelujen osiossa. Tietueen mukaan Knox-alusta on ollut FedRAMP-sertifioitu 30. maaliskuuta 2026 alkaen, ja sen vaiheeksi on merkitty jatkuva sertifiointi. Marketplace määrittelee tämän vakiintuneen toiminnan jatkuvaksi seurannaksi ja raportoinniksi. Tietueessa mainitaan kaksi valtuutusta. Marketplace määrittelee luvun Authority to Operate- ja Authority to Use -kirjeiden kokonaismääräksi, johon sisältyvät sekä alkuperäiset että uudelleenkäyttöön perustuvat valtuutukset. Alustan sertifiointiprofiilin tiedot ovat tyyppi Rev5, polku Agency ja luokka D (High). Luokat A–D kuvaavat tarjonnan dokumentointi- ja jatkuvan raportoinnin vaatimuksia.

Palvelun kuvaus on toimittajan toimittama, ja Marketplacen mukaan FedRAMP ei tarkasta eikä hyväksy toimittajien toimittamaa sisältöä. Kuvauksen mukaan sovellusten tarjoajat ottavat sovelluksensa käyttöön Knoxin FedRAMP High -valtuutetussa rajatussa ympäristössä ja saavat käyttöönsä huomattavan osan vaadituista tietoturvakontrolleista sen sijaan, että hakisivat erillistä FedRAMP-valtuutusta. Knoxin vaatimustenmukaisuustiimi ja KnoxAI-alusta ohjaavat kutakin tarjoajaa valmiuden arvioinnissa, arvioinnissa ja käyttöönotossa. KnoxAI arvioi tarjoajan tietoturvatason ja kontrollien toteutuksen NIST 800-53 -viitekehyksen ja muiden viitekehysten perusteella sekä tuottaa FedRAMPin edellyttämät dokumentit.

Kukin sovellus toimii omassa erillisessä yhden asiakkaan tilissään Knoxin rajatun ympäristön sisällä. Asiakkaiden välillä ei jaeta laskentatehoa, datatasoa eikä tallennustilaa. Sovellukset arvioidaan ja lisätään Marketplaceen yksitellen, ja niiden jatkuva seuranta alkaa ensimmäisestä päivästä. Kuvauksen mukaan kaikki työkuormat suoritetaan yksinomaan AWS:n, Azuren tai Google Cloud Platformin Yhdysvaltain alueilla. Tiedonsiirron ja tallennettujen tietojen salaus on FIPS-validoitua, pääsynhallinta perustuu nollaluottamusperiaatteeseen ja kaikki tapahtumat kirjataan täydellisesti. Lisäksi käytettävissä on ympärivuorokautinen tietoturvaoperaatiokeskuksen ja verkko-operaatiokeskuksen valvonta.

Kuvauksen mukaan Knox huolehtii jatkuvasta seurannasta raportoimalla valtuuttaville virastoille kuukausittain, seuraamalla toimintasuunnitelmia ja välitavoitteita sekä teettämällä vuosittain riippumattomia kolmannen osapuolen arviointeja ja tunkeutumistestauksia. Lisäksi se harjoittelee jokaisen asiakkaan kanssa varautumista ja poikkeamatilanteisiin reagointia. Jaetun vastuun matriisissa dokumentoidaan, mistä Knox, sovelluksen tarjoaja ja virasto kukin vastaavat.

Marketplace kuvaa Harvey for Governmentin palveluksi, jonka avulla liittovaltion virastojen asianajajat ja muut oikeudelliset ammattilaiset voivat käsitellä oikeudellisia kysymyksiä, tarkastella virastojen asiakirjoja, laatia ja muokata muistioita, oikeudenkäyntiasiakirjoja ja kirjeenvaihtoa, suorittaa monivaiheisia oikeudellisia työnkulkuja sekä tehdä yhteistyötä jaetuissa työtiloissa. Palvelun vastaukset sisältävät lähdeviitteet. Tietueessa alustan palvelumalliksi ilmoitetaan SaaS ja käyttöönottomalliksi hallinnon yhteisöpilvi.

Nykyinen tietoturva- ja vaatimustenmukaisuustaso

Harveyn mukaan FedRAMP-luokan D sertifiointi pohjautuu yhtiön jo ennestään vahvaan tietoturva- ja vaatimustenmukaisuustasoon, johon kuuluvat SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR ja CCPA. Asiakkaat voivat tutustua yhtiön sertifiointeihin sen luottamuskeskuksessa.

Harvey kertoo tietoturvasivullaan, että se takaa Platform Agreement -sopimuksessaan sopimusperusteisesti, ettei asiakkaiden syötteitä, tulosteita eikä ladattuja asiakirjoja käytetä taustalla olevien mallien kouluttamiseen. Lisäksi se edellyttää mallipalveluntarjoajilta, etteivät ne säilytä tietoja. Yhtiö kertoi salaavansa kaikki tiedot sekä tallennuksen aikana että siirrettäessä, erottelevansa kunkin asiakkaan tiedot loogisesti niiden sekoittumisen estämiseksi, noudattavansa vähimpien käyttöoikeuksien periaatetta ja ulottavansa sopimusperusteiset tietoturvavelvoitteensa alikäsittelijöihinsä ja ulkoisiin mallipalveluntarjoajiin. Harvey ylläpitää pilviympäristöään Microsoft Azuressa ja tarjoaa tietojen käsittelyä EU:ssa ja Sveitsissä tai Australiassa asiakkaille, joilla on tietojen sijaintia koskevia vaatimuksia.

Tietoturvasivulla kerrotaan myös, että Harveyn oma tietoturvatiimi kattaa infrastruktuurin, tuotekehityksen ja operatiivisen toiminnan ja valvoo niitä ympäri vuorokauden. Sen hallintakeinoihin kuuluvat SAML-kertakirjautuminen, auditointilokit, IP-osoitteiden sallittujen luetteloiden käyttö ja tietojen elinkaaren hallinta. Harvey kertoi käyvänsä vuosittain läpi SOC 2 Type II- ja ISO 27001 -auditoinnit, teettävänsä vuosittain kolmansilla osapuolilla tunkeutumistestejä sekä suorittavansa automaattisia haavoittuvuustarkistuksia ja jatkuvaa tietoturvavalvontaa. Lisäksi se tekee yhteistyötä Schellmanin, NCC Groupin ja Bishop Foxin kanssa perusteellisten auditointien toteuttamiseksi.