CoworkはHIPAAの場面で使えるようになったのか？
場合による。公式ドキュメントによれば、デフォルトではCoworkはBAAの対象外でPHIを扱えない。ただしEnterpriseではPrimary OwnerがHIPAA構成を適用でき、Ownerが「Enable for your organization」をオンにすると、Claude Desktopのローカルモードで動くCoworkが対象になる。Enterprise以外のプランにこの経路はない。
なぜ構成を適用するとクラウドCoworkやコネクターがオフになるのか？
公式は項目ごとの理由を説明していないが、文書の構造から輪郭は読み取れる。対象になるのはローカルモードで、クラウドやリモート機能、コネクター、MCP、プラグイン、Claude in Chromeは対象外と列挙されている。妥当な推測は、対象外のデータ経路を閉じることで、メンバーが誤ってその外へ出ないようにしているというものだ。これは推論であり、公式の説明ではない。
適用後、実際に有効になったことをどう確認するか？
ドキュメントでは、メンバーが両方のアプリを再起動し、/statusにHIPAAと表示されるか、「HIPAA configured」ラベルが出ることを確認する。メンバーが確認するまでPHIは処理しない。またClaude CodeとClaude Desktopは最新版にする必要があり、最低バージョンより古いものは適用後にAnthropicのサーバーに拒否される。
チームは今、何をすべきか？
まずプランを確認する。この経路があるのはEnterpriseだけだ。次に、依存しているコネクター、プラグイン、予定タスクを棚卸しする。適用後はオフになるか失効するからだ。さらに、ディスク全体の暗号化やセッション記録の削除など、ローカルデータの保護をITが実施できるか確認する。Enterprise以外のチームは従来のルールのまま、CoworkにPHIを入れない。
以前は「CoworkはどんなConfigurationでもAnthropicのHIPAA BAAの対象外」と言われていた。公式に「Claude Code（ローカルモード）とCowork（ローカルモード）」向けのHIPAA対応Enterprise構成を説明する専用ドキュメントが出ており、この説明は更新が必要だ。Coworkはデフォルトでは依然として対象外だが、Enterpriseプランでこの構成を適用すれば、Claude Desktop上のCoworkを対象にできる。
ドキュメントはEnterpriseプラン限定で、メールアドレス確認済みのPrimary Ownerだけが適用できると述べる。「Apply HIPAA configuration」ボタンはAnthropicが有効化するまでグレーのままなので、アカウントチームに依頼する。適用前に、更新されたBAAに同意し、HIPAA事業体向けの実装ガイドをダウンロードする必要がある。HIPAAを有効にするだけでは、これらのローカル製品はBAAの対象にならず、コンプライアンスの責任は組織にあると強調されている。
ドキュメントによれば、Claude Desktop上のCoworkは、Ownerが組織設定＞Coworkで「Enable for your organization」をオンにした時点で対象となる。構成の適用前は、Claude CodeにZDRがなければどちらの製品も対象外で、ZDRがあってもClaude CodeはZDR経由で対象になるだけで、Coworkは対象外であり、PHIには使わない。
代償は大きい。CoworkとデスクトップのCodeセクションは、Ownerが再有効化するまでオフになる。コネクターはオフになり、ツール権限は「Blocked」に変わる（Ownerが以前に条件に同意していた場合を除く）。組み込みのGitHub連携はオフになり、デスクトップ拡張機能は許可リストから外される。ウェブ版Claude Codeとクラウド版Coworkセッションは開始できず、実行中のものも停止する。Remote ControlとClaude Tagは利用不可になり、予定タスクの承認は失効する。
コネクター、MCPサーバー、プラグイン、デスクトップ拡張機能、Claude in Chrome、スキルは対象外のままで、betaやリサーチプレビューの機能、クラウドやリモート機能も同様だ。対象になるのはローカルモードのCowork本体であって、その周辺のエコシステムではない。
医療関連のチームには、検討に値する経路ができたが、これはチェックボックスではなくトレードオフだ。まずEnterpriseであり、Anthropicにボタンを有効化してもらえるかを確認する。次に、依存しているコネクター、プラグイン、予定タスクがオフになるものと照らして1つずつ確認する。最後に、管理設定、ディスク全体の暗号化、ローカルのセッション記録の削除、OpenTelemetryのコンテンツ取得の無効化など、記載された要件をITが満たせるか確認する。メンバーがHIPAA表示を確認するまでPHIは処理しない。Enterprise以外のプランでは従来の結論のまま、CoworkにPHIを入れない。