Claude Media
Claude Enterprise HIPAA構成の適用前に確認すること — BAAの範囲と止まる機能
Claude CodeCoworkClaudeTips

Claude Enterprise HIPAA構成の適用前に確認すること — BAAの範囲と止まる機能

Claude CodeとCoworkに効くHIPAA構成は、Primary Ownerが押すと組織全体で一部機能が止まります。BAAが覆う範囲、覆わない機能、クラウドセッションが戻らない点を、適用前に確かめます。

読了目安 約9分

Claude EnterpriseのHIPAA構成は、Primary Ownerが「Apply HIPAA configuration」を押した時点から、組織全体で一部の機能が止まり始めます。止まった機能のうち、Cowork、Claude DesktopのCodeセクション、スキルなどはOwnerが戻せます。Claude Code on the webのようなクラウド機能は戻りません。

この記事は、ボタンを押す側であるPrimary Ownerと、適用の可否を一緒に判断するOwnerに向けて書いています。確認する順番は、BAAが覆う範囲、覆わない機能、適用前の準備、適用後の確認です。端末の準備はIT管理者の仕事で、Claude CodeをHIPAA対応Enterpriseで使う端末準備にまとめています。

適用できるのはPrimary Ownerだけ

HIPAA構成はEnterpriseプランだけの組織設定です。適用できるのは、メールアドレスを確認済みのPrimary Ownerに限られます。他のOwnerやAdminには適用できません。適用の操作にAnthropicのBAAへの同意が含まれるためです。各ロールの違いはTeam/Enterpriseの権限ロール一覧で比べられます。

構成の効き方にも前提があります。

  • 適用先は、メンバーがチャットに使っている既存のEnterprise組織です。別アカウントは作りません
  • Claude CodeとCoworkに同時にかかります
  • 適用は組織の全メンバーに及びます

HIPAAを組織で有効にする手順だけでは、Claude Code(ローカルモード)もCowork(ローカルモード)もBAAの対象になりません。有効化で対象に入るのはチャットまでです。ローカルモードを対象に入れる操作が、この構成の適用です。

BAAが覆うのは3つの製品、それぞれ条件つき

構成を適用すると、次の3つがBAAの対象に入ります。条件を満たさない使い方は、同じ製品でも対象外のままです。

製品BAAが覆う条件
ターミナルのClaude CodeBAAが覆う条件Enterpriseアカウントでサインインし、クラウドプロバイダーやゲートウェイを通さずAnthropicへ直接つなぐ
Claude DesktopのCodeセクションBAAが覆う条件Ownerが「Organization settings > Claude Code」で「Desktop」のトグルをオンにしている
Claude DesktopのCoworkBAAが覆う条件Ownerが「Organization settings > Cowork」で「Enable for your organization」をオンにしている

適用すると、CoworkとCodeセクションは、それまでオンだった組織でもオフになります。表の2行目と3行目の条件は、適用後にOwnerがトグルを入れ直して初めて満たされます。適用直後は、デスクトップで使っていたメンバーが一度使えなくなる前提で日程を組みます。

ZDR(ゼロデータリテンション)は適用の条件ではありません。ただし、すでにClaude CodeでZDRを使っている組織は次の節の判断が要ります。

BAAの対象外のまま残る機能

構成を適用しても、次の機能にPHI(保護された医療情報)を入れてはいけません。BAAの対象外だからです。

  • VS Code拡張とJetBrains拡張のClaude Code。適用後も動き続けます
  • ベータまたはリサーチプレビューと表示された機能すべて
  • Amazon Bedrockなどのクラウドプロバイダー、LLMゲートウェイ、独自のベースURLを通すClaude Codeセッション
  • Claude ConsoleのAPIキーを使うセッション。Console組織でZDRが有効な場合を除きます
  • コネクタ、MCPサーバー、プラグイン、デスクトップ拡張、Claude in Chrome、スキル。Ownerがオンにした後も対象外です
  • Claude Code on the webなどのクラウド・リモート機能。構成が使えなくします

3つ目と4つ目は、端末側で締められます。managed settingsは各端末に置くポリシーファイルで、Enterpriseアカウントでのサインインへ誘導し、クラウドプロバイダーとゲートウェイを拒否させる用途に使えます。配布はIT管理者に依頼します。

見落としやすいのは5つ目です。コネクタやスキルは、構成の適用後にOwnerが入れ直せます。入れ直せることと、BAAが覆うことは別です。トグルを戻したからPHIを扱ってよい、とはなりません。

ボタンが押せない組織と、ZDRからの切り替え

「Apply HIPAA configuration」は、「Organization settings > Data and privacy」にあります。Anthropicが組織向けに有効化するまで、ボタンはグレーのままです。有効化はAnthropicのアカウントチームに依頼します。アカウントチームのない組織は、構成を適用できません。

適用前のBAAの扱い

適用前でも、ローカルモードをOwnerがオンにしていればメンバーは使えます。ただしBAAが覆うかどうかは、ZDRの有無で変わります。

状態Claude CodeCowork
Claude CodeにZDRなしClaude CodeBAAの対象外CoworkBAAの対象外
Claude CodeにZDRありClaude CodeZDR経由でBAAの対象CoworkBAAの対象外

Claude CodeにZDRがあるかどうかは、アカウントチームに聞けば分かります。

ZDRを手放すかどうか

この構成は、ローカルモードのClaude Codeに関するZDRを置き換えるためのものです。適用してもZDRはオフになりません。ZDRを使い続けたいなら、適用しない判断になります。

ZDRからの切り替えを選ぶ場合は、アカウントチームにメールで相談します。ZDRが外れると、Claude Codeのデータはチャットと同じ標準の保持期間で扱われます。ClaudeのZDRとHIPAAのデータ保持の違いは、APIの側から同じ論点を整理した記事です。

適用で止まるものと、事前に控えておくもの

適用の直後から、組織の設定がいくつか初期状態に戻ります。メンバーが気づきやすい変化と、適用前にやることを並べます。

起きること適用前にやること
Cowork、Codeセクション、スキル、Claude in Chromeがオフになる適用前にやること戻したいものと、承認者を決める
HIPAA有効化でオフになる他の設定が、再びオフになる(チャット設定を含む)適用前にやることHIPAA有効化の後にOwnerがオンにした設定を洗い出す
コネクタがオフになり、ツール権限が「Blocked」になる。Ownerが追加時に利用条件へ同意していたものは除く適用前にやることコネクタごとのツール権限を記録する。オンに戻しても元の権限は復元されない
組み込みのGitHub連携がオフになる適用前にやること戻すかどうかを決める
デスクトップ拡張が許可リストから外れる。追加時に同意していたものは除く適用前にやること追加し直すものを一覧にする
スケジュールタスクの承認が失効する(CoworkとCodeセクション)適用前にやることメンバーに再承認が要ると伝える

コネクタのツール権限は、記録しておかないと戻せません。コネクタが多い組織では、適用前の記録作業がいちばん時間を食います。

チャットも同じコネクタ、スキル、Claude in Chromeの設定を使います。そのためCodeやCoworkのつもりで止めた機能が、チャットでも止まります。

クラウドセッションは戻らない

数分以内に、メンバーはClaude Code on the webとクラウド版Coworkでセッションを始められなくなります。すでに動いているセッションも止まり、メンバーはそこに戻れません。Remote ControlとClaude Tagも使えません。Claude Designは、Ownerがオンにするまでオフです。

ターミナルでも、機能が一部変わります。IT管理者のサポート窓口に来やすい例は次のとおりです。

  • WebFetchツールが使えなくなる。Web検索は使える
  • --cloud、/teleport、Remote Controlが拒否される
  • /feedbackと/bugが使えない
  • ANTHROPIC_API_KEYを読むMCPサーバーやフックが認証できなくなる

最後の項目は、Claude Codeが起動するプロセスからAnthropicの認証情報を取り除くためです。GitHubやクラウドプロバイダーの認証情報は取り除かれません。

適用日の決め方と、適用の手順

構成の適用後にCowork、Codeセクション、一部のコネクタを戻すのはOwnerの作業です。戻す間は使えないので、組織が静かな時間帯を選びます。適用後にOwnerを一人待機させ、コネクタを一つずつ有効化する時間も見込みます。

メンバーへの連絡に入れる項目は、日時、止まる機能、戻す予定の機能の3つです。

法務とコンプライアンスは、事前にBAAとImplementation Guide for HIPAA Entitiesを読みます。適用すると、BAAに同意し、ガイドを確認したことになるためです。

手順

Primary Ownerの適用手順

  1. 1

    Data and privacyを開く

    Primary OwnerとしてClaudeにサインインし、「Organization settings > Data and privacy」を開きます。

  2. 2

    Complianceの行を探す

    「Compliance」セクションで、Claude Code(ローカルモード)とCowork(ローカルモード)の行を見つけます。

  3. 3

    ダイアログで資料をダウンロード

    「Apply HIPAA configuration」を選び、ダイアログで変更内容を読みます。Implementation Guideをダウンロードします。組織にBAAがなければBAAもダウンロードします。ダウンロードするまでダイアログ内のボタンは押せません。

  4. 4

    確定する

    ダイアログ内の「Apply HIPAA configuration」を選ぶと、Anthropicの更新版BAAに同意したことになり、確定の通知が出ます。

ボタンが押せないときは、Primary Ownerとしてサインインしているか、メールアドレスが確認済みかを見ます。それでも押せなければ、アカウントチームにAnthropic側の有効化を頼みます。

反映の確認と、適用後に残る責任

メンバーにClaude CodeとClaude Desktopを再起動してもらうと、構成がすぐ届きます。再起動しない場合、実行中のClaude Codeには約1時間で届きます。Claude Desktopは、再起動か再読み込みまで届かないことがあります。

反映は3か所で見られます。

場所見るもの
Organization settings > Data and privacy見るものClaude Code(ローカルモード)とCowork(ローカルモード)の行に、HIPAA構成済みの表示と適用日
Claude Code見るもの/statusのStatusタブ、Organization configuration行にHIPAA
Claude Desktop見るものタイトルバーの「HIPAA configured」ラベル。Macではサイドバーを開く

端末側の確認は、メンバーに次のコマンドで頼めます。

/status

HIPAAの表示かラベルが自分の端末で出るまで、PHIを扱わないよう伝えておきます。出ない端末は、IT管理者が原因を順に確認します。

端末のデータと監視は組織の責任

Claude Code(ローカルモード)とCowork(ローカルモード)は、トランスクリプトなどのセッションデータを各メンバーの端末に保存します。その保護と削除は組織の責任です。メンバーを組織から外しても、端末のデータは消えません。退職時は端末を消去し、ディスク全体の暗号化は常にオンにします。

監視の手段は、中身を含むかどうかで分かれます。

手段セッションの内容
Compliance APIセッションの内容含む。30日間、または組織の保持期間が短ければそれまで読める
監査ログとデータエクスポートセッションの内容含まない。HIPAAの有効化や構成の適用などの管理操作が残る
OpenTelemetryセッションの内容組織が送り先を決める。送ったデータの管理は組織の責任

落とし穴

CoworkのOpenTelemetryにPHIが混ざる

CoworkのOpenTelemetryイベントは、既定でプロンプトの本文、Claudeの応答、ツールの入力を含みます。そのため、セッション中のPHIが監視ツールに届くことがあります。これを止める組織設定はありません。IT管理者が端末ごとにオフにします。送り先はCoworkなら「Organization settings > Data and privacy > Monitoring」で、Claude Codeならmanaged settingsで決めます。

Compliance APIには、ZDRのClaude Codeはセッションを取り込まない、という例外もあります。

適用の前に決める5つのこと

適用前に答えを持っておくとよい問いは、次の5つです。

  1. アカウントチームはいて、Anthropic側の有効化は済んでいるか
  2. Claude CodeにZDRがあり、置き換えてよいか
  3. クラウドセッションを使うメンバーがいて、止まる日を伝えたか
  4. 戻す機能とコネクタごとのツール権限を、記録したか
  5. 適用日にOwnerが待機し、IT管理者の端末準備が済んでいるか

質問があれば、BAA、Implementation Guide、構成のどれもアカウントチームに聞く形です。サポートへの問い合わせにPHIを書いてはいけません。

この記事を共有:XはてブLinkedIn

関連する記事

Claude Code をもっと見る →