Claude TagはBAA対象外 — 医療機関がPHIを置かないチャンネル設計
Claude TagはAnthropicのBAAの対象外です。医療機関がPHIを触れさせずに使うための、既定オフ・承認チャンネル・DM無効・コネクタ絞り込みの設定と、PHIを投稿してしまった場合の手順を解説します。
Claude TagはBAAの対象外 — 医療機関に残る選択肢は「PHIを触れさせない」設計
Claude Tag(Slackで@Claudeを呼び出すClaudeアプリ、パブリックベータ)は、AnthropicのBAA(業務提携契約。米国HIPAAで、PHIを扱う委託先と結ぶ契約)の対象外です。そのため医療機関がClaude Tagを使うなら、PHI(保護対象の医療情報)がClaudeに読めるチャンネル・DM・接続ツールに一切入らない構成にする必要があります。
この設計は実際に使われています。患者書類を扱うInsight Health、患者の受け入れ業務を自動化するTennr、プロバイダーの資格認定を自動化するMedallionの3社は、PHIに触れない範囲でClaude Tagを運用しています。共通点は、エンジニアリングやオペレーションなどPHIの無いチャンネルから、コネクタも1〜2個から始めている点です。
先に知っておきたい前提は3つあります。
- チャンネル単位の絞り込みにはEnterpriseプランが必要: 「このチャンネルだけオン」という承認チャンネル運用は、Enterpriseプランの設定です
- 併用できない組織がある: ZDR(ゼロデータ保持)、顧客管理の暗号化キー、Claude Code・Cowork(ローカルモード)へのHIPAA設定のいずれかがある組織では、Claude Tagそのものが使えません
- 設定では人の入力ミスを止められない: 設定が防ぐのはClaudeの届く範囲で、誰かがPHIを書き込む行為は防げません
この記事は設定の置き方の整理で、法的助言ではありません。導入前に自組織の法務・コンプライアンス担当と設定を見直してください。BAA自体の締結条件はClaude EnterpriseのBAA締結 — 医療機関の前提条件、国内の指針との対応はClaudeの医療機関向けBAAと3省2ガイドラインで扱っています。
まず確認する: ClaudeはSlackのどこまで読めるか
設計の出発点は、Claudeの読める範囲を正しく把握することです。Claudeは、ワークスペースのメンバーと同じ可視性でSlackを読みます。
| 対象 | Claudeにできること |
|---|---|
| 追加されたチャンネル | Claudeにできること読む・投稿する |
| 公開チャンネル全般 | Claudeにできることキーワードで検索できる(追加されていないものも含む) |
| 非公開チャンネル | Claudeにできること誰かが招待したときだけ読める。検索はされない |
| Slack Connectチャンネル | Claudeにできること管理者が有効にした場合のみ、限定アクセスで応答する |
見落としやすいのが2行目です。公開チャンネルの検索を止める管理設定はありません。Ownerができるのは、検索対象をClaudeが参加しているチャンネルに限定することまでです。
ここから、医療機関向けの規則が1つ導かれます。PHIは、Claudeが応答するチャンネルだけでなく、接続したワークスペースの公開チャンネル全部から外すことです。Claudeが招待された非公開チャンネルも同じ扱いになります。
「承認チャンネルだけオンにすれば、他は安全」ではない
- 質問者
Claude Tagを置くのは開発チャンネル1つだけです。患者情報は別の公開チャンネルで共有しています。それなら問題ないですか。
- 先輩
そこが落とし穴です。Claudeは公開チャンネルをキーワードで検索でき、参加していないチャンネルも含みます。患者情報が公開チャンネルにあると、開発チャンネルから検索で届く可能性があります。
- 質問者
では、PHIは非公開チャンネルに移すだけでいいですか。
- 先輩
公開チャンネルから外すのが最初の一歩です。非公開チャンネルでも、Claudeが招待されれば読めるので、招待の運用も決めておきます。
手順: PHIを置かないチャンネルだけでClaudeを動かす
設定はOwnerがclaude.ai/admin-settings/claude-tagで行います。チャンネルとワークスペースの設定はChannelsタブのClaude's accessにあります。流れは、全体をオフにしてから承認チャンネルだけ個別にオンにする形です。
PHIを避ける5段階の設定
- 1
全体を既定オフにする
Claude's access > Channels > Slackを開き、Generalタブ上部のRespond in all channelsスイッチをオフにします。
- 2
過去のパイロットの設定を戻す
ワークスペースやチャンネルが独自のEnable Claude Tag設定を持つ場合、そちらがSlackページの設定より優先されます。以前のパイロットでオンにしたままだと、そこでClaudeが動き続けます。該当のページで、スイッチの下のUse inherited settingをクリックして継承に戻します。
- 3
承認済みチャンネルだけオンにする
承認したチャンネルのページでEnable Claude Tag in this channelをオンにします。チャンネルが一覧に無ければ、先にチャンネルのスコープを作成します。
- 4
DMを無効にする
同じ設定ページのDirect messages行でEditを選び、Allow direct messagesをオフにします。これでClaudeはチャンネルでしか呼び出せなくなります。
- 5
PHIを示す名前のチャンネルをブロックする
AdvancedタブのChannelsにあるBlocked channel patternsに、臨床や患者関連のチャンネル名のパターンを追加します。例は
*-patient-*です。一致するチャンネルでは、招待されてもClaudeは読まず、応答もしません。
承認されていないチャンネルにも、ワークスペースのメンバーなら誰でも@Claudeを招待できます。ただしClaudeは沈黙し、メンションすると「このチャンネルでは無効」という通知が返ります。
スイッチを変更できるのは、Claude組織のOwnerかClaude Tag Admin権限を持つ人だけです。DMのトグルを変更できるのはOwnerだけです。Claude Tag Admin権限は、チャンネルをPHIなしと承認する判断を任せられる人に限って付与します。
DMを無効にする理由は、DMだけは動作の仕組みが別だからです。コネクタ設定を管理するチャンネルと違い、DMではClaudeアカウントを接続済みのメンバーの個人アカウント上で動き、その人のコネクタを使えます。個人のメールやカレンダーが、組織の管理設定の外から入り込む経路になり得ます。
接続するツール: PHIを持たないものだけ
チャンネルのClaudeがSlack外のツールにサインインできるのは、Claude Tagのコネクタ経由だけです。Connectorsタブで最初に追加した認証情報は、保存した瞬間にすべてのワークスペース・チャンネルで有効になります。医療機関では、この既定の広さが事故の元になります。
接続の可否は、次の基準で決めます。
| ツールの種類 | 扱い |
|---|---|
| コードホスト、課題管理、社内ドキュメント | 扱いPHIを持たない場合に限って接続してよい |
| 電子カルテ(EHR)、臨床システム、患者向け連絡ツール | 扱い接続しない |
| メール、カレンダー | 扱いコンプライアンス担当が確認するまでPHIを含むものとして扱い、接続しない |
コネクタはアクセスバンドル(接続情報や許可ドメインをまとめた単位)に入れて、必要な承認チャンネルにだけ紐づけます。Slackページにコネクタを追加すると、全ワークスペースの全チャンネルに及ぶので避けます。Tennrの事例では、PHIを扱える非公開チャンネルが限られていたため、チャンネルごとにClaudeの権限を変える形で導入したと紹介されています。社内ツールのチャンネルではClaudeに修正から出荷まで任せる一方、同じ権限を製品やエンジニアリングのチャンネルに与えるのは適切でない、という考え方です。
メンバー個人のclaude.aiコネクタは、別の経路になります。チャンネルでもClaudeはメンバー本人の許可を得て、その人のコネクタを自分への依頼に使えます。組織の設定で個人コネクタをチャンネルから完全に止める項目はありません。次の3点で絞ります。
- 特定のコネクタを全員分ブロックする: Connectors管理ページで組織として制限したコネクタは、チャンネルでメンバーのコネクタを使う場合も制限されたままです
- 人間のレビューを必須にする: EnterpriseプランではPersonal connectors行からRequire human review of every messageをオンにでき、結果がチャンネルに投稿される前にメンバーが確認します
- 残りはPHIを含むものとみなす: メンバーの他のコネクタも、PHIを持たないツールの範囲に収めるべき対象に含めます
個人コネクタのチャンネル対応そのものはClaude Tagがチャンネルで個人コネクタに対応で扱っています。
組織の側で先に潰す: 使えない構成と代替案
Enterpriseプランであっても、ZDR、顧客管理の暗号化キー、Claude Code・Cowork(ローカルモード)へのHIPAA設定のいずれかがある組織では、Claude Tagは利用できません。Claude Tagがチャンネルの記憶とセッションのやり取りを保持する設計のため、データを保持しない契約とは両立しないからです。
すでにHIPAA設定をかけた組織が、Claude Tagも使いたい場合の道筋は1つです。それらのポリシーを持たない別のClaude組織を作り、Slackワークスペースをそちらに接続します。アカウント担当に相談する前提の選択肢で、設定画面だけで完結しません。
BAA対象のClaudeとBAA対象外のClaude Tagを、1つの現場で組み合わせた例もあります。Insight Healthは、PHIを含まないエンジニアリングとサポートのチャンネルでClaude Tagを3か月運用しています。障害アラートのチャンネルでは、自社がAgent SDKで作った別のエージェントと組ませました。この2つのエージェントは、意図的にアクセスを分けています。
- Claude Tag: コードベースとLinearだけが見える
- 別のエージェント: BAA対象のClaude API組織上で動き、本番データを検索できる。PHIは、Slackに出る前にマスクされる
結果として、重大アラートのチャンネルの97%が、エンジニアの介入なしに閉じたと紹介されています。Claude Tagの側にPHIが届かない分業になっている点が、設計上の要点です。
Claude Tagに残るもの: 保存と学習
「読ませない」設計の裏側として、何が保存されるかも確認しておきます。Anthropicは、Claudeが作業した会話について2つを保存します。
- 会話のトランスクリプト(Claudeが作業中に読んだ内容をすべて含む)
- チャンネルごとにClaudeが付けるメモリーノート
公開チャンネルでは、ワークスペース全体のノートも保存できます。そのノートは、同じワークスペースの全チャンネルでの応答に反映されます。非公開チャンネルのノートは、そのチャンネル専用の保存先に残り、他では読まれません。メモリーは、チャンネル内の誰でも「何を覚えているか」を尋ねて修正や削除を頼めます。Ownerは、ワークスペースやチャンネルのメモリーファイルを閲覧・編集・削除できます。
学習について、Slackでの会話は既定ではAnthropicのモデルの学習に使われません。データは管理者の削除操作があるまで保持され、ベータ期間中は保持期間を短く設定できません。
PHIが投稿されてしまったときの手順
設定はミスを防げません。PHIがClaudeが読める場所に投稿されたときの対応は、あらかじめ運用手順に書いておくのが安全です。Slackでメッセージを削除しても、すでにトランスクリプトに含まれたものは消えません。
PHIがClaudeの読める範囲に出たときの流れ
- Q投稿先は、Claudeがオンのチャンネル、接続ワークスペースの公開チャンネル、Claudeを招待した非公開チャンネルのいずれかか?答えがClaudeの届かない範囲です。通常のインシデント対応で進めます答えがはい
HIPAA担当者に報告し、インシデント手順に沿って進めます。Slackのメッセージも削除します。
- Q投稿先は、Claudeをオンにしているチャンネルか?答えが最後の削除依頼へ進みます答えがはい
Ownerがそのチャンネルのスコープを削除し、トランスクリプトとメモリーを消します。
- Qそのチャンネルは公開チャンネルか?答えが最後の削除依頼へ進みます答えがはい
Ownerがワークスペースのメモリーファイルを開き、該当ノートを個別に削除します。公開チャンネルから保存されたノートは、スコープ削除では消えません。
残りの保持データは削除依頼で対応する
ワークスペースの保存メモリーや、検索でメッセージを見つけた別チャンネルのトランスクリプトは、管理画面の操作で消えません。privacy@anthropic.comに削除を依頼し、ワークスペース、チャンネル、メッセージの時刻を添えます。
チャンネルのスコープを削除すると、そのチャンネルはSlackページのオフ設定を継承するため、Claudeも無効になります。再開するには、チャンネルを設定し直してEnable Claude Tag in this channelを再度オンにします。
運用で補う: 教育と監視
設定が防ぐのはClaudeの届く範囲で、PHIをどこに書くかは人が決めます。ワークスペースの全員に、患者情報を次の3か所に書かないよう周知します。公開チャンネル、Claudeを追加したチャンネル、Claudeを接続したツールです。承認チャンネルには、DLP(情報漏えい防止)ツールを走らせて入力ミスを拾います。
Medallionの事例は、運用側の工夫の参考になります。Claude Tagは、患者個人ではなく支払者のルールのような方針レベルの質問にだけ答える設計です。答えは専門家が確認して修正し、全員が監査できるSlackチャンネルで交わされ、出力は下流のシステムでも検証されます。
始め方: 1チャンネル、コネクタ1つ、2週間
導入の手順としては、3社の共通の進め方がそのまま使えます。
- アラートまたはサポートエンジニアリングのチャンネルを1つ選び、Claude Tagをオンにする
- GitHubなどPHIを持たないコネクタを1つだけ接続する
- 2週間運用してから、許可するチャンネルを広げる
スレッドはDMではなく、オープンなチャンネルで進めます。チーム全員が内容を確認でき、文脈を引き継げるからです。承認チャンネルの管理設定や支出上限はClaude Tag管理者設定を、Slack連携の使い方はClaudeとSlackの連携を参照してください。
まとめ
医療機関のClaude Tagは、BAAの代わりに構成で線を引く使い方です。Claudeが読む場所を絞る(既定オフ、承認チャンネル、DM無効、PHIを示す名前のブロック)、つなぐものを絞る(EHRやメールは外し、コネクタはバンドルで承認チャンネルに限る)、起きたときの手順を決めておく(トランスクリプトは消えないため、スコープ削除と削除依頼まで含む)。最初に見直すのは、Claude Tagを置くチャンネルより、接続ワークスペースの公開チャンネルにPHIが無いかどうかです。