Cowork 現在到底能不能用在 HIPAA 場景？
要分情況。依官方文件，預設情況下 Cowork 不在 BAA 內，不能處理 PHI；但 Enterprise 方案可以由 Primary Owner 套用 HIPAA 設定，並在 Owner 打開「Enable for your organization」後，讓 Claude Desktop 的本機模式 Cowork 納入涵蓋。非 Enterprise 方案沒有這條路。
為什麼套用設定要關掉雲端 Cowork 與連接器？
官方沒有逐項解釋理由，但文件的結構透露了輪廓：被涵蓋的是本機模式，而雲端與遠端功能、連接器、MCP、外掛與 Claude in Chrome 都被列為不涵蓋。合理推測是，設定把不在涵蓋範圍內的資料路徑關掉，避免成員無意間走到涵蓋之外。這是推論，不是官方說法。
套用之後，要怎麼確認真的生效？
文件要求成員重新啟動兩個 App，並確認 /status 裡出現 HIPAA，或顯示「HIPAA configured」標示。在成員確認之前，不要處理 PHI。另外必須是 Claude Code 與 Claude Desktop 的最新版本，舊於最低版本的會被 Anthropic 伺服器拒絕。
我的團隊現在該做什麼？
先確認方案：只有 Enterprise 有這條路。其次盤點你依賴的連接器、外掛、排程任務，因為套用後它們會被關掉或失效。再確認 IT 能做到本機資料保護，包括全碟加密與工作階段紀錄的刪除。非 Enterprise 團隊維持原則：不要把 PHI 放進 Cowork。
先前流傳的說法是「Cowork 在任何設定下都不在 Anthropic 的 HIPAA BAA 範圍內」。官方現在有一份專門文件，描述了「Claude Code（本機模式）與 Cowork（本機模式）」的 HIPAA-ready Enterprise 設定，這個說法需要更新：Cowork 預設仍不在 BAA 內，但 Enterprise 方案在套用該設定後，Claude Desktop 裡的 Cowork 可以被納入。
文件寫明僅限 Enterprise 方案，且只有 Primary Owner（需驗證電子郵件）能套用。Anthropic 必須先啟用「Apply HIPAA configuration」按鈕，否則它是灰的，要找你的帳號團隊。套用前還要接受更新後的 BAA 並下載給 HIPAA 主體的實作指南。光是開啟 HIPAA，並不會讓這些本機產品自動納入 BAA；文件特別強調合規責任仍在你的組織。
依文件，Claude Desktop 中的 Cowork 在 Owner 於組織設定 > Cowork 打開「Enable for your organization」之後，才被納入涵蓋範圍。在套用設定之前，若 Claude Code 沒有 ZDR，兩個產品都不涵蓋；有 ZDR 時，Claude Code 透過 ZDR 涵蓋，但 Cowork 仍不涵蓋，不要用它處理 PHI。
代價相當大：Cowork 與桌面 Code 區段會先關閉，直到 Owner 重新啟用；連接器關閉，其工具權限變成「Blocked」（除非 Owner 先前接受過條款）；內建 GitHub 整合關閉；桌面擴充功能從允許清單移除；Claude Code on the web 與雲端 Cowork 工作階段無法啟動，執行中的也會停止；Remote Control 與 Claude Tag 不可用；排程任務的核准會過期。
連接器、MCP 伺服器、外掛、桌面擴充功能、Claude in Chrome 與技能不在涵蓋範圍；標示 beta 或研究預覽的功能、以及雲端與遠端功能也不在。也就是說，被涵蓋的是「本機模式的 Cowork 本體」，不是它周邊的整個生態。
醫療相關團隊現在有一條可評估的路，但它是一次取捨，不是勾選一個選項。先確認你是不是 Enterprise、能不能請 Anthropic 啟用；再逐項檢查你依賴的連接器、外掛、排程任務是否會被關掉；最後確認 IT 能做到文件列出的要求，包括受管設定、全碟加密、刪除本機工作階段紀錄，以及關閉 OpenTelemetry 的內容擷取。在成員確認 HIPAA 標示出現之前，不要處理 PHI。非 Enterprise 方案則維持原本結論：不要把 PHI 放進 Cowork。