Claude EnterpriseのBAA締結 — 医療機関の前提条件

Claude EnterpriseでBAAを締結するための前提条件は何か

医療機関がClaudeでPHI(保護対象となる医療情報)を扱うには、Anthropicとの事業提携契約(BAA、Business Associate Agreement)の締結が前提になります。対象になるのはClaude Enterpriseと1P API(Anthropicの1st Party API)だけで、契約すれば自動的にBAAが付いてくるわけではありません。組織のPrimary Ownerが「Data and privacy」の組織設定でHIPAA対応を有効化し、BAAを承諾する操作を実行して初めて成立します。

BAAが成立しても、保護されるのは承諾した組織1社に限られます。カバーされる機能とされない機能も細かく線引きされていて、Claude ConsoleやCowork、ベータ提供中のClaude for Office(公式ヘルプではClaude in Officeとも表記)・Claude Designは対象外です。Claude Codeも条件付きで、Zero Data Retention(ZDR)を有効にしていない限りBAAの対象になりません。医療機関の導入担当者がまず押さえるべきは、この「誰が」「どこで」「何を有効にすれば」BAAが成立するかという3点です。3省2ガイドラインとの要件突き合わせも参考になります。

Free・Pro・Max・TeamプランはなぜBAA対象外なのか

AnthropicのBAAは商用プロダクト向けの制度で、コンシューマー向けのClaude Free・Pro・Max、そしてTeamプランは対象に含まれません。これらのプランのアカウントでClaude Codeを使う場合も同様にBAA対象外です。医療機関がPHIを扱う目的でClaudeを導入するなら、契約形態そのものをClaude EnterpriseかAnthropic API(1P API)に切り替える必要があります。Claude Enterpriseとはで料金体系とTeamプランとの違いを解説していますが、BAAの有無はその違いの中でもとくに医療機関にとって決定的な分岐点です。

Teamプランで運用している組織がBAAを必要とする段階に来たら、Enterpriseへの移行が前提になります。Teamプランの機能や請求の仕組み自体はClaude Teamプランとはにまとまっていますが、BAA目的での移行を検討する場合は先にAnthropicの営業窓口に相談し、必要な契約変更を確認するのが実務上の近道です。

Primary OwnerがHIPAA対応設定を有効化する手順

BAAの承諾操作を実行できるのは、Claude Enterprise組織のPrimary Ownerだけです。手順は次のとおりです。

1. Claude Enterprise組織の「Data and privacy」設定を開く
2. HIPAA対応(HIPAA compliance)を有効化する
3. 画面に表示されるAnthropicのBAAを承諾する

標準のClaude Enterpriseプランは、この操作をしない限りBAA適用外のままです。加入しただけで自動的に保護対象になるわけではない点が見落とされがちです。1P APIでPHIを扱いたい場合はさらに一歩必要で、Primary OwnerがBAAに署名したあと、Anthropicの営業担当か窓口へ連絡して機能を有効化してもらう必要があります。API側は管理画面の操作だけでは完結しません。Anthropic API完全ガイドにモデル選択や料金体系全般をまとめていますが、PHIを扱う契約の可否はこの営業経由のやり取りが前提になります。

BAAで保護される機能とされない機能はどこで線引きされるか

Claude Enterpriseの機能は、BAAの対象かどうかで3段階に分かれます。Chat・Projects・Artifacts・Voice・Web Search・Research・Skillsは2025年12月2日以降に承諾したBAAの下でEligible Servicesとして対象です。ファイル作成とコード実行も対象ですが、ネットワークアクセスや外部サイトの利用は除外されます。

MCPやConnectors、Enterprise Searchのように「利用はできるがBAA対象外」の機能は、機能自体が禁止されているわけではありません。サードパーティーへデータを送る経路が保護の外に出るという意味で、有効化した管理者が自社の法的義務への準拠を確認する責任を負う設計です。PHIをやり取りする業務フローにこれらの機能を組み込む前に、データがどこへ流れるかを経路ごとに洗い出しておきましょう。

Claude CodeとAPIはZDR有無で対象が変わる

Claude Codeは、利用経路を問わずZDRを有効にしない限りBAAの対象になりません。1P APIコンソール経由、Claude Enterprise OAuth経由、デスクトップのローカルモードのいずれも同じ条件です。ZDRを有効にできるのは条件を満たしたアカウントに限られるため、PHIを扱う目的でこの機能が必要な組織はまず営業担当への相談が出発点になります。ZDRがどの契約形態で有効になるかの全体像はClaude Zero Data Retentionが有効になる契約形態にまとめています。ZDRと互換性がないデスクトップのリモートモード、ウェブ版(ベータ)、Code Review・Security・Computer Use・Remote Control(いずれもベータ)は、ZDRの有無にかかわらずBAA対象外です。

APIレベルでも同じ選別が働きます。Token Counting・Models・Org Management・Compliance APIはBAA対象ですが、Batch API・Files API(ベータ)・Skills API(ベータ)・Code Execution・Computer Use(ベータ)・Web FetchはHIPAA対応の組織であっても対象外かつ利用自体ができません。External MCPは利用できますが、サードパーティーへのデータ送信部分は対象外です。Messages APIはEligible Serviceですが、そのなかでもPrompt Caching・Structured Outputs・Memory・Web Search・Bash tool・Text Editor toolは2026年4月1日以降に承諾したBAAでのみ対象です。承諾日がそれより前か後かで、この個別機能の適用有無が変わります。

ZDR有効時にはさらに別の制約が重なります。「Covered Models」に指定されたモデルは30日間のデータ保持が必須で、ZDRとは併用できません。Claude Codeのように「ZDRを有効にしないとBAA対象にならない」機能は、この制約によりCovered ModelsをBAAの下で使えないことになります。データ保持の要件とZDRの要件が同時に満たせない組み合わせがあるという点は、モデル選定の段階で見落としやすい落とし穴です。

なぜ機能ごとにここまで細かく線引きされているのか

BAAの対象範囲がプロダクト単位ではなく機能単位で切られているのは、PHIが実際にどこへ流れるかという経路の違いを反映した結果です。Chat・Projects・Artifactsのように処理がAnthropicの管理下で完結する機能は保護しやすい一方、MCPやConnectors、Claude in Chromeのようにサードパーティーへデータが渡る機能は、渡した先の事業者がHIPAA相当の保護を提供している保証がありません。ベータ機能が軒並み対象外なのも同じ理由で、仕様がまだ固まっていない段階の機能を契約上の保護対象に含めるのはAnthropicにとってもリスクです。

医療機関側から見ると、この線引きは「使える機能が制限される」というより「PHIを通してよい経路とそうでない経路が事前に決まっている」と捉えるほうが実務に近い読み方です。Claude Codeのローカルモードのように、ZDRという追加条件を満たせば対象に入る機能もあるため、導入前に自組織がどの経路をPHI処理に使う予定かを洗い出し、その経路がBAAの対象かどうかを1つずつ確認する作業が欠かせません。

まとめ — 医療機関が確認すべき前提は3点

Claude EnterpriseでBAAを締結するための前提は、①対象がEnterpriseと1P APIに限られFree・Pro・Max・Teamは対象外であること、②Primary Ownerが「Data and privacy」設定でHIPAA対応を有効化しBAAを承諾する操作が必要なこと、③機能ごとにBAAの対象・対象外が細かく分かれ、Claude CodeはZDR有効化が条件になることの3点です。HIPAA readinessという言葉自体の定義や、PHIをやり取りする機能ごとの扱いはClaudeのstrict tool useとHIPAA/PHIでも扱っています。契約形態やHIPAA対応の詳細な適用範囲は組織ごとに異なるため、正式な導入前にAnthropicの営業窓口へ確認するのが確実です。