Harvey annuncia la certificazione FedRAMP di classe D per il lavoro legale federale

Harvey ha annunciato il 28 ottobre 2026 che la sua piattaforma di IA legale ha ottenuto la certificazione FedRAMP di classe D. La società ha dichiarato che la certificazione consente alle agenzie federali statunitensi, agli appaltatori e ai partner federali, ai governi internazionali e agli enti commerciali che richiedono i più elevati standard di sicurezza di utilizzare Harvey per il proprio lavoro legale. Harvey opera nell’ambiente cloud certificato FedRAMP di classe D di Knox Systems.

I team legali federali si occupano di consulenza, contenzioso e attività di contrasto, che spesso comportano la gestione di informazioni sensibili. Harvey ha dichiarato che le agenzie e le aziende che collaborano con esse possono ora utilizzare la piattaforma per gli acquisti e la stipula di contratti, l’esame preliminare dei documenti e la collaborazione tra agenzie. La società ha affermato che il cambiamento mira a ridurre il tempo che gli avvocati dedicano alle attività di routine, così da consentire loro di concentrarsi sull’analisi e sulla consulenza legale.

«I team legali federali contribuiscono a fornire servizi essenziali, a beneficio di tutti noi», ha dichiarato nell’annuncio Winston Weinberg, CEO di Harvey. «Ora possono accedere alla stessa IA legale utilizzata dall’80% delle società dello studio legale Am Law 100 e da cinque delle dieci aziende della Fortune 10. Siamo orgogliosi di mettere la nostra tecnologia a disposizione di un numero maggiore di avvocati al servizio del pubblico».

Pat Manion, responsabile del settore pubblico di Harvey, ha dichiarato che, all’interno dell’ambiente certificato, gli avvocati delle agenzie possono esaminare fascicoli complessi, elaborare argomentazioni per il contenzioso, interpretare normative e rivedere contratti e documenti relativi agli acquisti. Ha aggiunto che la società supporta i team legali del governo federale e i loro partner tramite la piattaforma certificata FedRAMP.

Scheda nel marketplace FedRAMP

La scheda del marketplace FedRAMP relativa alla piattaforma gestita FedRAMP High di Knox Systems, identificata dal Package ID FR2528033654, include Harvey AI nella sezione dei servizi certificati. La scheda indica che la piattaforma Knox è certificata FedRAMP dal 30 marzo 2026 e la colloca nella fase di certificazione continua, definita dal marketplace come monitoraggio e rendicontazione continui a regime. Riporta due autorizzazioni, un dato che il marketplace definisce come il totale delle lettere di autorizzazione all’esercizio e all’utilizzo, comprese quelle iniziali e quelle riutilizzate. Il profilo di certificazione della piattaforma è indicato come Tipo Rev5, Percorso Agency, Classe D (High); le classi da A a D riflettono i requisiti di documentazione e rendicontazione continua dell’offerta.

La descrizione del servizio riportata nella scheda è stata fornita dal venditore; il marketplace precisa che FedRAMP non esamina né approva i contenuti inviati dai venditori. Secondo tale descrizione, i fornitori di applicazioni effettuano la distribuzione all’interno del perimetro autorizzato FedRAMP High di Knox ed ereditano una parte sostanziale dei controlli di sicurezza richiesti, anziché richiedere un’autorizzazione FedRAMP autonoma. Il team di conformità di Knox e la sua piattaforma KnoxAI guidano ciascun fornitore nelle fasi di preparazione, valutazione e avvio del servizio; KnoxAI valuta il livello di sicurezza del fornitore e l’attuazione dei controlli rispetto al framework NIST 800-53 e ad altri framework, quindi produce i documenti richiesti da FedRAMP.

Ogni applicazione viene eseguita in un account monoutente dedicato all’interno del perimetro Knox, senza risorse di calcolo, piano dati o spazio di archiviazione condivisi tra i clienti; inoltre, viene valutata individualmente, inserita nel marketplace e sottoposta a monitoraggio continuo fin dal primo giorno. La descrizione specifica che tutti i carichi di lavoro vengono eseguiti esclusivamente in regioni statunitensi di AWS, Azure o Google Cloud Platform, con crittografia convalidata FIPS dei dati in transito e a riposo, accesso zero trust con registrazione completa degli audit e copertura 24 ore su 24, 7 giorni su 7, da parte del Centro operativo di sicurezza e del Centro operativo di rete.

Secondo la descrizione, Knox gestisce il monitoraggio continuo tramite relazioni mensili alle agenzie autorizzanti, il tracciamento dei piani d’azione e delle tappe fondamentali, valutazioni annuali indipendenti di terze parti e test di penetrazione, nonché esercitazioni di risposta agli imprevisti e agli incidenti con ogni cliente. Una matrice delle responsabilità condivise documenta le responsabilità rispettivamente di Knox, del fornitore dell’applicazione e dell’agenzia.

Il marketplace descrive Harvey for Government come un servizio che consente agli avvocati e ai professionisti legali delle agenzie federali di esaminare questioni giuridiche e documenti delle agenzie, redigere e revisionare promemoria, memorie e corrispondenza, svolgere flussi di lavoro legali articolati in più fasi e collaborare in spazi di lavoro condivisi, ricevendo risposte corredate di fonti. La scheda identifica il modello di servizio della piattaforma come SaaS e il modello di distribuzione come Government Community Cloud.

Livello attuale di sicurezza e conformità

Harvey ha dichiarato che la certificazione FedRAMP di classe D si basa su un livello di sicurezza e conformità già esistente, che comprende SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR e CCPA, e che i clienti possono consultare le sue certificazioni tramite il centro di affidabilità della società.

Nella sua pagina sulla sicurezza, Harvey dichiara che, in base al proprio accordo della piattaforma, garantisce contrattualmente che i dati forniti dai clienti, i risultati generati e i documenti caricati non vengano utilizzati per addestrare i modelli sottostanti e che impone ai fornitori di modelli una conservazione zero dei dati. L’azienda ha dichiarato di crittografare tutti i dati archiviati e in transito, di separare logicamente i dati di ciascun cliente per evitare che vengano mescolati, di applicare controlli di accesso basati sul principio del privilegio minimo e di estendere i propri obblighi contrattuali in materia di sicurezza ai subresponsabili e ai fornitori esterni di modelli. Harvey ospita il proprio ambiente cloud su Microsoft Azure e offre l’elaborazione nell’UE e in Svizzera oppure in Australia ai clienti che hanno requisiti di localizzazione dei dati.

La pagina sulla sicurezza dichiara inoltre che il team interno di sicurezza di Harvey si occupa di infrastruttura, prodotto e operations e garantisce un monitoraggio 24 ore su 24, 7 giorni su 7; i controlli comprendono l’accesso singolo SAML, i registri di controllo, le liste di indirizzi IP consentiti e la gestione del ciclo di vita dei dati. Harvey ha dichiarato di sottoporsi ogni anno ad audit SOC 2 Type II e ISO 27001, a test di penetrazione condotti da terze parti, a scansioni automatizzate delle vulnerabilità e a un monitoraggio continuo della sicurezza, e di collaborare con Schellman, NCC Group e Bishop Fox per audit approfonditi.