Harvey anuncia a certificação FedRAMP Classe D para trabalhos jurídicos federais

Harvey anunciou em 28 de outubro de 2026 que sua plataforma jurídica de IA agora tem certificação FedRAMP Classe D. A empresa afirmou que a certificação permite que agências federais dos EUA, contratados e parceiros federais, governos internacionais e entidades comerciais que exigem os mais altos padrões de segurança usem Harvey em seus trabalhos jurídicos. Harvey opera no ambiente de nuvem da Knox Systems, certificado FedRAMP Classe D.

As equipes jurídicas federais lidam com trabalhos de consultoria, litígio e aplicação da lei que frequentemente envolvem informações confidenciais. Harvey afirmou que essas agências e as empresas que trabalham com elas agora podem usar a plataforma para compras e contratação, análises iniciais de documentos e colaboração entre agências. Segundo a empresa, a mudança tem como objetivo reduzir o tempo que os advogados dedicam a tarefas rotineiras, para que possam se concentrar na análise e na assessoria jurídicas.

“As equipes jurídicas federais ajudam a prestar serviços essenciais que beneficiam a todos nós”, afirmou Winston Weinberg, CEO da Harvey, no anúncio. “Agora elas podem acessar a mesma IA jurídica usada por 80% das 100 maiores bancas de advocacia dos EUA e por cinco das 10 maiores empresas da Fortune. Temos orgulho de levar nossa tecnologia a mais advogados que trabalham no serviço público.”

Pat Manion, responsável pelo setor público na Harvey, afirmou que, no ambiente certificado, os advogados das agências podem analisar registros de casos complexos, desenvolver argumentos para litígios, interpretar regulamentos e revisar contratos e documentos de compras. Ele acrescentou que a empresa apoia as equipes jurídicas do governo federal e seus parceiros por meio da plataforma certificada pelo FedRAMP.

Registro no FedRAMP Marketplace

O registro no FedRAMP Marketplace da Knox Systems FedRAMP High Managed Platform, identificada pelo ID do pacote FR2528033654, inclui Harvey AI na seção de serviços certificados. O registro indica que a plataforma da Knox tem certificação FedRAMP desde 30 de março de 2026 e está na fase de certificação contínua, definida pelo marketplace como monitoramento e geração de relatórios contínuos em regime permanente. O registro contabiliza duas autorizações, número que o marketplace define como o total de cartas de Autorização para Operar e de Autorização para Usar, incluindo autorizações iniciais e de reutilização. O perfil de certificação da plataforma está listado como Tipo Rev5, Caminho Agência, Classe D (Alta); as classes de A a D refletem os requisitos de documentação e de relatórios contínuos de uma oferta.

A descrição do serviço no registro foi enviada pelo fornecedor, e o marketplace observa que o FedRAMP não analisa nem endossa conteúdo enviado por fornecedores. De acordo com essa descrição, os provedores de aplicativos implantam seus aplicativos dentro do perímetro autorizado FedRAMP High da Knox e herdam uma parcela substancial dos controles de segurança exigidos, em vez de buscar uma autorização FedRAMP independente. A equipe de conformidade da Knox e sua plataforma KnoxAI orientam cada provedor nas etapas de preparação, avaliação e entrada em operação. A KnoxAI avalia a postura de segurança do provedor e a implementação dos controles em relação à estrutura NIST 800-53 e a estruturas adicionais e, em seguida, produz os artefatos exigidos pelo FedRAMP.

Cada aplicativo é executado em uma conta dedicada de locatário único dentro do perímetro da Knox, sem compartilhamento de recursos computacionais, plano de dados ou armazenamento entre clientes; além disso, cada aplicativo é avaliado individualmente, listado no marketplace e coberto por monitoramento contínuo desde o primeiro dia. A descrição informa que todas as cargas de trabalho são executadas exclusivamente em regiões dos EUA da AWS, Azure ou Google Cloud Platform, com criptografia validada pelo FIPS em trânsito e em repouso, acesso de confiança zero com registro de auditoria completo e cobertura 24 horas por dia, 7 dias por semana, do Centro de Operações de Segurança e do Centro de Operações de Rede.

Segundo a descrição, a Knox gerencia o monitoramento contínuo por meio de relatórios mensais às agências autorizadoras, acompanhamento de planos de ação e marcos, avaliações anuais independentes por terceiros e testes de penetração, além de exercícios de contingência e resposta a incidentes com cada cliente. Uma Matriz de Responsabilidade Compartilhada documenta as responsabilidades da Knox, do provedor do aplicativo e da agência.

O marketplace descreve Harvey for Government como um serviço que permite que advogados e profissionais jurídicos de agências federais analisem questões jurídicas, revisem documentos das agências, redijam e revisem memorandos, petições e correspondências, executem fluxos de trabalho jurídicos com várias etapas e colaborem em espaços de trabalho compartilhados, com respostas que citam suas fontes. O registro identifica o modelo de serviço da plataforma como SaaS e seu modelo de implantação como Government Community Cloud.

Postura atual de segurança e conformidade

Harvey afirmou que a certificação FedRAMP Classe D se soma a uma postura de segurança e conformidade já existente, que inclui SOC 2 Tipo II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Nível 2, GDPR e CCPA, e que os clientes podem consultar suas certificações no centro de confiança da empresa.

Na sua página de segurança, a Harvey afirma que, por meio do Acordo da Plataforma, garante contratualmente que as informações inseridas e geradas pelos clientes, bem como os documentos enviados, não são usados para treinar os modelos subjacentes, e que exige que os provedores de modelos adotem a retenção zero de dados. A empresa disse que criptografa todos os dados armazenados e em trânsito, separa logicamente os dados de cada cliente para evitar que sejam misturados, aplica controles de acesso baseados no princípio do menor privilégio e estende suas obrigações contratuais de segurança a subprocessadores e provedores externos de modelos. A Harvey hospeda seu ambiente de nuvem no Microsoft Azure e oferece processamento na UE e na Suíça ou na Austrália para clientes com requisitos de localização de dados.

A página de segurança também informa que a equipe interna de segurança da Harvey abrange infraestrutura, produto e operações, com monitoramento 24 horas por dia, 7 dias por semana, e que seus controles incluem autenticação única SAML, registros de auditoria, listas de permissões de IP e gerenciamento do ciclo de vida dos dados. A Harvey disse que passa por auditorias anuais SOC 2 Type II e ISO 27001, testes anuais de invasão realizados por terceiros, varreduras automatizadas de vulnerabilidades e monitoramento contínuo de segurança, e que trabalha com a Schellman, o NCC Group e a Bishop Fox em auditorias aprofundadas.