Harvey kondigt FedRAMP Klasse D-certificering aan voor juridisch werk van de federale overheid

Harvey maakte op 28 oktober 2026 bekend dat zijn juridische AI-platform nu FedRAMP Klasse D-gecertificeerd is. Volgens het bedrijf stelt deze certificering federale overheidsinstanties in de VS, federale aannemers en partners, internationale overheden en commerciële organisaties die de hoogste veiligheidsnormen vereisen in staat Harvey te gebruiken voor hun juridische werkzaamheden. Harvey opereert binnen de FedRAMP Klasse D-gecertificeerde cloudomgeving van Knox Systems.

Juridische teams van de federale overheid houden zich bezig met advisering, procesvoering en handhaving, werkzaamheden waarbij vaak gevoelige informatie betrokken is. Harvey zei dat deze overheidsinstanties en de bedrijven waarmee ze samenwerken het platform nu kunnen inzetten voor inkoop en contractering, eerste documentbeoordelingen en samenwerking tussen overheidsinstanties. Volgens het bedrijf is de verandering bedoeld om de tijd die advocaten aan routinetaken besteden te verminderen, zodat zij zich meer kunnen richten op juridische analyses en advies.

‘Juridische teams van de federale overheid helpen essentiële diensten te leveren waar we allemaal baat bij hebben’, zei Harvey-CEO Winston Weinberg in de aankondiging. ‘Zij hebben nu toegang tot dezelfde juridische AI die wordt gebruikt door 80% van de Am Law 100 en vijf van de Fortune 10. We zijn er trots op onze technologie beschikbaar te maken voor meer advocaten die in de publieke sector werken.’

Harveys hoofd Publieke Sector, Pat Manion, zei dat advocaten van overheidsinstanties binnen de gecertificeerde omgeving complexe zaakdossiers kunnen doorwerken, procesargumenten kunnen ontwikkelen, regelgeving kunnen interpreteren en contracten en aanbestedingsdocumenten kunnen beoordelen. Hij voegde eraan toe dat het bedrijf juridische teams van de federale overheid en hun partners ondersteunt via het FedRAMP-gecertificeerde platform.

Vermelding in de FedRAMP Marketplace

De vermelding in de FedRAMP Marketplace van het door Knox Systems beheerde FedRAMP High-platform, met pakket-ID FR2528033654, vermeldt Harvey AI in het onderdeel met gecertificeerde diensten. Volgens de vermelding is het Knox-platform sinds 30 maart 2026 FedRAMP-gecertificeerd en bevindt het zich in de fase van doorlopende certificering. De Marketplace omschrijft deze fase als continue monitoring en rapportage in de reguliere gebruiksfase. Er staan twee machtigingen geregistreerd; volgens de definitie van de Marketplace is dit het totaal van de brieven met een Authority to Operate- en een Authority to Use-machtiging, waaronder zowel initiële als hergebruikmachtigingen. Het certificeringsprofiel van het platform staat vermeld als Type Rev5, pad Overheidsinstantie, klasse D (Hoog). De klassen A tot en met D geven aan welke documentatie- en doorlopende rapportagevereisten voor een aanbod gelden.

De dienstbeschrijving in de vermelding is door de leverancier aangeleverd; de Marketplace vermeldt dat FedRAMP door leveranciers aangeleverde inhoud niet beoordeelt of onderschrijft. Volgens die beschrijving worden applicaties van aanbieders geïmplementeerd binnen de door FedRAMP High geautoriseerde omgeving van Knox, waarbij zij een aanzienlijk deel van de vereiste beveiligingsmaatregelen overnemen in plaats van zelf een afzonderlijke FedRAMP-autorisatie aan te vragen. Het compliance-team van Knox en het KnoxAI-platform begeleiden elke aanbieder bij de voorbereiding, beoordeling en ingebruikname. KnoxAI beoordeelt de beveiligingsstatus en de implementatie van beveiligingsmaatregelen van een aanbieder aan de hand van het NIST 800-53-raamwerk en aanvullende raamwerken, en stelt vervolgens de documentatie op die FedRAMP vereist.

Elke applicatie draait in een eigen, exclusief account voor één klant binnen de Knox-omgeving. Klanten delen geen rekenkracht, gegevenslaag of opslagruimte. Elke applicatie wordt afzonderlijk beoordeeld, in de Marketplace opgenomen en vanaf de eerste dag continu gemonitord. Volgens de beschrijving draaien alle workloads uitsluitend in regio’s van AWS, Azure of Google Cloud Platform in de VS. Gegevens worden tijdens verzending en opslag versleuteld met FIPS-gevalideerde versleuteling. Daarnaast zijn er zero-trust-toegangsbeveiliging met volledige auditregistratie en 24/7-dekking door het Security Operations Center en het Network Operations Center.

Volgens de beschrijving verzorgt Knox de doorlopende monitoring, met maandelijkse rapportages aan de autoriserende overheidsinstanties, het bijhouden van actieplannen en mijlpalen, jaarlijkse onafhankelijke beoordelingen door derden en penetratietests, en oefeningen voor noodplanning en incidentrespons met elke klant. In een matrix voor gedeelde verantwoordelijkheden staat vastgelegd waarvoor Knox, de applicatieaanbieder en de overheidsinstantie elk verantwoordelijk zijn.

De Marketplace omschrijft Harvey for Government als een dienst waarmee advocaten en juridische professionals bij federale overheidsinstanties juridische vragen kunnen uitwerken, documenten van overheidsinstanties kunnen beoordelen, memo’s, processtukken en correspondentie kunnen opstellen en herzien, meerstapsjuridische workflows kunnen uitvoeren en in gedeelde werkruimten kunnen samenwerken. De antwoorden verwijzen naar hun bronnen. De vermelding classificeert het servicemodel van het platform als SaaS en het implementatiemodel als Government Community Cloud.

Bestaande beveiligings- en compliancepositie

Harvey zei dat de FedRAMP Klasse D-certificering voortbouwt op een bestaande beveiligings- en compliancepositie met onder meer SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR en CCPA. Klanten kunnen de certificeringen van het bedrijf bekijken in het vertrouwenscentrum.

Op zijn beveiligingspagina stelt Harvey dat het via zijn platformovereenkomst contractueel garandeert dat klantinvoer, -uitvoer en geüploade documenten niet worden gebruikt om onderliggende modellen te trainen, en dat het van modelaanbieders eist dat zij gegevens niet bewaren. Het bedrijf zei dat het alle opgeslagen en verzonden gegevens versleutelt, de gegevens van elke klant logisch gescheiden houdt om vermenging te voorkomen, toegangscontroles toepast volgens het principe van minimale bevoegdheden en zijn contractuele beveiligingsverplichtingen ook oplegt aan subverwerkers en externe modelaanbieders. Harvey host zijn cloudomgeving in Microsoft Azure en biedt klanten met vereisten voor gegevenslokalisatie de mogelijkheid gegevens te laten verwerken in de EU en Zwitserland of in Australië.

Op de beveiligingspagina staat ook dat Harveys interne beveiligingsteam zich bezighoudt met infrastructuur, producten en bedrijfsvoering en 24/7 toezicht houdt, en dat de beveiligingsmaatregelen onder meer bestaan uit eenmalige aanmelding via SAML, auditlogboeken, een lijst met toegestane IP-adressen en beheer van de gegevenslevenscyclus. Harvey zei dat het jaarlijks audits volgens SOC 2 Type II en ISO 27001 ondergaat, evenals jaarlijkse penetratietests door derden, geautomatiseerde kwetsbaarheidsscans en doorlopende beveiligingsmonitoring, en dat het voor diepgaande audits samenwerkt met Schellman, NCC Group en Bishop Fox.