Harvey tillkännager FedRAMP-certifiering i klass D för juridiskt arbete inom den federala förvaltningen

Harvey meddelade den 28 oktober 2026 att företagets juridiska AI-plattform nu är FedRAMP-certifierad i klass D. Företaget uppgav att certifieringen gör det möjligt för amerikanska federala myndigheter, federala myndigheters uppdragstagare och samarbetspartner, internationella regeringar samt kommersiella aktörer med de högsta säkerhetskraven att använda Harvey i sitt juridiska arbete. Harvey verkar i Knox Systems FedRAMP-certifierade molnmiljö i klass D.

Juridiska team inom den federala förvaltningen arbetar med rådgivning, processföring och tillsyn, vilket ofta innebär hantering av känslig information. Harvey uppgav att myndigheterna och företagen som samarbetar med dem nu kan använda plattformen för upphandling och avtalshantering, inledande dokumentgranskningar och samarbete mellan myndigheter. Företaget sade att förändringen syftar till att minska den tid jurister lägger på rutinuppgifter, så att de i stället kan ägna sig åt juridisk analys och rådgivning.

”Juridiska team inom den federala förvaltningen bidrar till att tillhandahålla samhällsviktiga tjänster som gynnar oss alla”, sade Harveys vd Winston Weinberg i tillkännagivandet. ”De kan nu använda samma juridiska AI som används av 80 % av Am Law 100 och fem av Fortune 10-företagen. Vi är stolta över att kunna erbjuda vår teknik till fler jurister som arbetar i offentlig tjänst.”

Harveys chef för offentlig sektor, Pat Manion, sade att myndigheternas jurister i den certifierade miljön kan gå igenom komplexa ärendehandlingar, utforma argument i rättsprocesser, tolka regelverk samt granska avtal och upphandlingsdokument. Han tillade att företaget stöder federala myndigheters juridiska team och deras samarbetspartner via den FedRAMP-certifierade plattformen.

Uppgifter i FedRAMP Marketplace

Posten i FedRAMP Marketplace för Knox Systems FedRAMP High Managed Platform, med paket-ID FR2528033654, tar upp Harvey AI i avsnittet om certifierade tjänster. Enligt posten är Knox-plattformen FedRAMP-certifierad sedan den 30 mars 2026 och befinner sig i fasen för pågående certifiering, som marknadsplatsen definierar som kontinuerlig övervakning och rapportering i löpande drift. Där anges två tillstånd, vilket marknadsplatsen definierar som det sammanlagda antalet intyg om tillstånd att driva och tillstånd att använda, inklusive både ursprungliga tillstånd och återanvändningstillstånd. Plattformens certifieringsprofil anges som Typ Rev5, väg Myndighet, klass D (hög). Klasserna A–D återspeglar kraven på dokumentation och löpande rapportering för ett erbjudande.

Tjänstebeskrivningen i posten har lämnats av leverantören, och marknadsplatsen påpekar att FedRAMP varken granskar eller godkänner innehåll som leverantörer lämnar in. Enligt beskrivningen driftsätter applikationsleverantörer sina lösningar inom Knox auktoriserade FedRAMP High-gräns och ärver en betydande del av de säkerhetskontroller som krävs, i stället för att ansöka om en separat FedRAMP-auktorisering. Knox efterlevnadsteam och plattformen KnoxAI vägleder varje leverantör genom förberedelser, bedömning och driftsättning. KnoxAI utvärderar leverantörens säkerhetsnivå och implementering av kontroller mot ramverket NIST 800-53 och ytterligare ramverk och tar därefter fram de underlag som FedRAMP kräver.

Varje applikation körs i ett eget, dedikerat konto för en enda kund inom Knox gräns, utan delad beräkningskapacitet, dataplan eller lagring mellan kunder. Varje applikation bedöms separat, listas på marknadsplatsen och omfattas av kontinuerlig övervakning från första dagen. Enligt beskrivningen körs alla arbetsbelastningar uteslutande i AWS-, Azure- eller Google Cloud Platform-regioner i USA, med FIPS-validerad kryptering av data under överföring och i vila, åtkomst enligt nolltillitsmodellen med fullständig loggning för revision samt bemanning dygnet runt, alla dagar i veckan, av ett säkerhetsoperationscenter och ett nätverksoperationscenter.

Enligt beskrivningen ansvarar Knox för den kontinuerliga övervakningen, med månadsrapportering till de myndigheter som beviljat auktorisering, uppföljning av åtgärdsplaner och delmål, årliga oberoende tredjepartsbedömningar och penetrationstester samt övningar med varje kund för beredskap och incidenthantering. En matris över delat ansvar dokumenterar vad Knox, applikationsleverantören respektive myndigheten ansvarar för.

Marknadsplatsen beskriver Harvey for Government som en tjänst där jurister och andra juridiska yrkesutövare vid federala myndigheter kan arbeta med juridiska frågor, granska myndighetsdokument, utforma och revidera promemorior, inlagor och korrespondens, genomföra juridiska arbetsflöden i flera steg och samarbeta i gemensamma arbetsytor, med svar som hänvisar till sina källor. I posten anges att plattformens tjänstemodell är SaaS och att driftsättningsmodellen är Government Community Cloud.

Befintlig säkerhets- och regelefterlevnad

Harvey uppgav att FedRAMP-certifieringen i klass D bygger vidare på företagets befintliga säkerhets- och regelefterlevnadsarbete, som omfattar SOC 2 Type II, ISO 27001, ISO 27701, ISO 42001, AIUC-1, IRAP, TX-RAMP Level 2, GDPR och CCPA. Kunder kan granska företagets certifieringar via dess förtroendecenter.

På sin säkerhetssida uppger Harvey att företaget genom sitt plattformavtal avtalsmässigt garanterar att kundernas indata, utdata och uppladdade dokument inte används för att träna de underliggande modellerna, och att det kräver att modellleverantörer tillämpar nollagring av data. Företaget uppgav att det krypterar all data i vila och under överföring, logiskt separerar varje kunds data för att förhindra sammanblandning, tillämpar åtkomstkontroller enligt principen om minsta möjliga behörighet och för sina avtalsenliga säkerhetsförpliktelser vidare till underbiträden och externa modellleverantörer. Harvey har sin molnmiljö hos Microsoft Azure och erbjuder databehandling i EU och Schweiz eller Australien för kunder med krav på datalokalisering.

På säkerhetssidan står det också att Harveys interna säkerhetsteam omfattar infrastruktur, produkt och drift och bedriver övervakning dygnet runt, alla dagar i veckan, samt att företagets kontroller omfattar enkel inloggning med SAML, granskningsloggar, IP-vitlistning och hantering av datalivscykeln. Harvey uppgav att företaget genomgår årliga SOC 2 Type II- och ISO 27001-granskningar, årliga penetrationstester utförda av tredje part, automatiserade sårbarhetsskanningar och kontinuerlig säkerhetsövervakning, samt att det samarbetar med Schellman, NCC Group och Bishop Fox kring fördjupade granskningar.