Harvey annonce la certification FedRAMP de classe D pour les activités juridiques fédérales

Harvey a annoncé le 28 octobre 2026 que sa plateforme d’IA juridique est désormais certifiée FedRAMP de classe D. L’entreprise a indiqué que cette certification permet aux agences fédérales américaines, aux contractants et partenaires fédéraux, aux gouvernements étrangers et aux entités commerciales qui doivent respecter les normes de sécurité les plus strictes d’utiliser Harvey pour leurs activités juridiques. Harvey fonctionne dans l’environnement infonuagique certifié FedRAMP de classe D de Knox Systems.

Les équipes juridiques fédérales traitent des dossiers de conseil, de contentieux et d’application de la loi, qui comportent souvent des informations sensibles. Harvey a indiqué que ces agences et les entreprises qui travaillent avec elles peuvent désormais utiliser la plateforme pour les achats et la passation de contrats, l’examen préliminaire de documents et la collaboration entre agences. Selon l’entreprise, cette évolution vise à réduire le temps que les avocats consacrent aux tâches courantes afin qu’ils puissent privilégier l’analyse et le conseil juridiques.

« Les équipes juridiques fédérales contribuent à fournir des services essentiels qui profitent à tous », a déclaré Winston Weinberg, PDG de Harvey, dans l’annonce. « Elles peuvent désormais accéder à la même IA juridique que celle utilisée par 80 % des cabinets du classement Am Law 100 et par cinq des dix premières entreprises du classement Fortune 10. Nous sommes fiers de mettre notre technologie à la disposition d’un plus grand nombre d’avocats au service du public. »

Pat Manion, responsable du secteur public chez Harvey, a déclaré que, dans l’environnement certifié, les avocats des agences peuvent examiner des dossiers complexes, élaborer des arguments de contentieux, interpréter des règlements et étudier des contrats et des documents d’achat. Il a ajouté que l’entreprise accompagne les équipes juridiques du gouvernement fédéral et leurs partenaires grâce à sa plateforme certifiée FedRAMP.

Fiche dans la place de marché FedRAMP

La fiche dans la place de marché FedRAMP de la plateforme Knox Systems FedRAMP High Managed Platform, identifiée par le numéro de dossier FR2528033654, mentionne Harvey AI dans la section consacrée aux services certifiés. La fiche indique que la plateforme Knox est certifiée FedRAMP depuis le 30 mars 2026 et qu’elle se trouve dans la phase de certification continue, que la place de marché définit comme une surveillance et une communication continues en régime permanent. Elle fait état de deux autorisations, chiffre que la place de marché définit comme le total des lettres d’autorisation d’exploitation et d’autorisation d’utilisation, y compris les autorisations initiales et celles accordées pour réutilisation. Le profil de certification de la plateforme indique le type Rev5, le parcours Agency et la classe D (élevée) ; les classes A à D correspondent aux exigences de documentation et de communication continue applicables à une offre.

La description du service figurant dans la fiche est fournie par le prestataire, et la place de marché précise que FedRAMP n’examine ni n’approuve les contenus soumis par les prestataires. Selon cette description, les fournisseurs d’applications déploient leurs solutions dans le périmètre autorisé FedRAMP High de Knox et bénéficient d’une grande partie des contrôles de sécurité requis, plutôt que de demander une autorisation FedRAMP distincte. L’équipe chargée de la conformité de Knox et sa plateforme KnoxAI accompagnent chaque fournisseur tout au long des étapes de préparation, d’évaluation et de mise en service. KnoxAI évalue la posture de sécurité du fournisseur et la mise en œuvre des contrôles au regard du cadre NIST 800-53 et d’autres cadres, puis produit les artefacts exigés par FedRAMP.

Chaque application fonctionne dans un compte dédié à locataire unique au sein du périmètre de Knox, sans ressources informatiques, plan de données ni stockage partagés entre les clients. Elle fait l’objet d’une évaluation individuelle, est répertoriée dans la place de marché et bénéficie d’une surveillance continue dès le premier jour. La description précise que toutes les charges de travail sont exécutées exclusivement dans des régions des États-Unis d’AWS, d’Azure ou de Google Cloud Platform, avec un chiffrement validé par le FIPS des données en transit et au repos, un contrôle d’accès de type zéro confiance assorti d’une journalisation complète des audits, ainsi qu’une couverture assurée 24 heures sur 24, 7 jours sur 7 par un centre des opérations de sécurité et un centre des opérations réseau.

Selon la description, Knox assure la surveillance continue, notamment au moyen de rapports mensuels destinés aux agences qui accordent les autorisations, du suivi des plans d’action et des étapes clés, d’évaluations annuelles indépendantes par des tiers et de tests d’intrusion, ainsi que d’exercices de gestion des imprévus et de réponse aux incidents menés avec chaque client. Une matrice des responsabilités partagées précise les responsabilités respectives de Knox, du fournisseur de l’application et de l’agence.

La place de marché présente Harvey for Government comme un service qui permet aux avocats et aux juristes des agences fédérales d’examiner des questions juridiques et des documents d’agence, de rédiger et de réviser des notes, des mémoires et de la correspondance, d’exécuter des processus juridiques en plusieurs étapes et de collaborer dans des espaces de travail partagés, avec des réponses qui citent leurs sources. La fiche indique que le modèle de service de la plateforme est le SaaS et que son modèle de déploiement est le Government Community Cloud.

Posture actuelle en matière de sécurité et de conformité

Harvey a indiqué que la certification FedRAMP de classe D s’appuie sur une posture existante en matière de sécurité et de conformité, qui comprend SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, le RGPD et la CCPA, et que les clients peuvent consulter ses certifications dans le centre de confiance de l’entreprise.

Sur sa page consacrée à la sécurité, Harvey indique que son contrat de plateforme garantit contractuellement que les données saisies par les clients, les résultats générés et les documents téléversés ne servent pas à entraîner les modèles sous-jacents, et qu’il exige des fournisseurs de modèles une politique de conservation zéro des données. L’entreprise a déclaré chiffrer toutes les données au repos et en transit, séparer logiquement les données de chaque client afin d’éviter tout mélange, appliquer des contrôles d’accès fondés sur le principe du moindre privilège et imposer ses obligations contractuelles en matière de sécurité à ses sous-traitants et aux fournisseurs de modèles externes. Harvey héberge son environnement infonuagique sur Microsoft Azure et propose le traitement des données dans l’UE et en Suisse, ou en Australie, pour les clients soumis à des exigences de localisation des données.

La page consacrée à la sécurité indique également que l’équipe interne de sécurité de Harvey couvre l’infrastructure, les produits et les opérations, avec une surveillance 24 h/24 et 7 j/7, et que ses mesures de contrôle comprennent l’authentification unique SAML, des journaux d’audit, des listes d’autorisation d’adresses IP et la gestion du cycle de vie des données. Harvey a déclaré faire l’objet d’audits annuels SOC 2 Type II et ISO 27001, de tests d’intrusion annuels réalisés par des tiers, d’analyses automatisées des vulnérabilités et d’une surveillance continue de la sécurité. L’entreprise a également indiqué travailler avec Schellman, NCC Group et Bishop Fox pour réaliser des audits approfondis.