社内で Claude の利用が広がると、次に来るのは監査部門・法務・情報セキュリティからの「記録はどこにあるのか」「誰がどのデータを入れたのか」という質問です。Claude Enterprise には Compliance API があり、活動のイベント、claude.ai の会話とファイル、Cowork や Claude Code のセッション書き起こしをプログラムから取り出せます。ただし「全部取れる」わけではなく、取れない使い方と、設定のタイミングで永久に残らない記録があります。
この記事では、2026年10月時点の Anthropic 公式ドキュメントだけを出典に、Compliance API で取れる3層、記録に入る使い方と入らない使い方、保持期間、そして監査部門に渡す前に情シスが決める5つのことを整理します。会社としての導入経路やプラン選びはClaude 法人導入 完全ガイドを、Claude Code の管理設定はClaude Code の法人導入ガイドを先に読むと、この記事の位置づけが分かりやすくなります。
結論 — 先に要点だけ
- Compliance API は Enterprise の機能。 Team では監査ログも Compliance API も使えず、Primary Owner による組織データの書き出しだけが手段になる。
- 取れるのは3層。 「誰が何をしたか」の活動フィード、claude.ai の会話・ファイル・プロジェクト、そして Cowork・Claude Code・Claude for Microsoft 365 などのセッション書き起こし。鍵の種類とスコープで、どの層に届くかが決まる。
- 記録は有効化した時点から。 遡って埋められず、オフにしている間の活動も残らない。利用開始より先に有効化する。
- 取れない使い方がある。 Console の API キーで動かす Claude Code、Bedrock・Vertex AI・Foundry 経由、クラウドセッション、思考ブロック、画像、システムプロンプトは書き起こしに入らない。
- 削除は即時で戻せない。 API からの削除は取り消せず、利用者が消した会話の本文も戻らない。リーガルホールドが要るなら、取り出して自社で保管する設計にする。
前提 — 「記録」は3種類あり、Compliance API はその1つ
Claude Enterprise の管理画面と API には、似た名前の機能が3つあります。監査部門と話すときは、最初にこの3つを分けます。
| 手段 | 使えるプラン・役割 | 取れるもの | 取れないもの・制約 |
|---|---|---|---|
| 監査ログの書き出し（Export logs） | Enterprise の Owner・Primary Owner。組織設定 > Data and Privacy | 過去180日のイベント。列は created_at・actor_info・event・event_info・entity_info・ip_address・device_id・user_agent・client_platform | チャット・プロジェクトのタイトルと本文は含まない（ID のみ）。ダウンロードリンクはメールで届き24時間で失効。顧客管理鍵（CMEK）の組織はボタンから書き出せない |
| 組織データの書き出し（Export Data） | Team・Enterprise の Primary Owner。組織設定 > Data and privacy | 会話データと利用者データ | 削除済みのメッセージ・ファイル・プロジェクトは含まない。メンバー個人には自己申告の書き出し手段がない |
| Compliance API | Enterprise（Compliance Access Key）。Console 単独組織は Admin API キーで活動フィードのみ | 活動フィード（6年保持）、会話・ファイル・プロジェクト、セッション書き起こし、組織・ユーザー・ロール・グループ・有効設定 | 有効化前の記録は無い。Console の API キー経由の本文は取れない |
※ 出典: Access audit logs（Claude ヘルプ）（取得 2026-10）／Export your organization's data（Claude ヘルプ）（取得 2026-10）／Compliance API（Claude Docs）（取得 2026-10）
公式ドキュメントは、監査ログの書き出しを「Compliance API より大幅に狭い（参照期間に上限があり、CSV ダウンロードのみで、会話・ファイル・プロジェクトの本文に届かない）」と位置づけ、継続的なプログラム利用は Compliance API に統一するよう勧めています。つまり、ボタンでの書き出しは「監査人に一度渡す」用途、Compliance API は「毎日 SIEM に流す」用途です。
プランの前提も確認しておきます。料金ページの比較表では、監査ログ・Compliance API・SCIM・カスタムのデータ保持・ロールベースのアクセス制御は Team が「No」、Enterprise が「Yes」です。Enterprise は年契約で席あたり US$20／月に API レートの利用料が加わる形で、プランの選び方はClaude Enterprise・Team 料金完全ガイドに整理しています。
※ 出典: Claude の料金（claude.com/pricing）（取得 2026-10）。価格は改定されるため、契約前に公式ページで最新値を確認してください。
Compliance API で取れる3層 — 鍵の種類とスコープで決まる
Compliance API のエンドポイントはすべて https://api.anthropic.com の /v1/compliance/* にあり、x-api-key ヘッダーで認証し、毎回 anthropic-version ヘッダーを付けます。どこまで届くかは、鍵の種類と作成時に選ぶスコープで決まります。
| 層 | 取れるもの | 必要な鍵とスコープ |
|---|---|---|
| 1. 活動フィード | 認証・チャット・ファイル・プロジェクト・管理操作・プラットフォームのイベント。本文は含まない | Compliance Access Key または Admin API キー。スコープ read:compliance_activities |
| 2. 会話・ファイル・プロジェクト | claude.ai のチャット本文、添付ファイル、生成ファイル、アーティファクト、プロジェクトの添付と文書。削除も可能 | Compliance Access Key のみ。read:compliance_user_data（削除は delete:compliance_user_data） |
| 3. セッション書き起こし | 端末で動く Cowork・Claude Code・Claude Science・Claude for Microsoft 365・Claude in Chrome（ローカル）と、claude.ai から始めた Cowork（リモート）のプロンプト・回答・ツール呼び出し | Compliance Access Key のみ。read:compliance_user_data |
| 補助: 組織と設定 | 連結組織、ユーザー、ロール、グループ、組織ごとに実際に効いている設定（保持期間・IP 許可リストなど） | Compliance Access Key。read:compliance_org_data（ユーザー一覧とグループメンバーは read:compliance_user_data） |
※ 出典: Set up the Compliance API（Claude Docs）（取得 2026-10）／Compliance API（Claude Docs）（取得 2026-10）
鍵は4種類あり、Compliance API に使えるのは2種類だけです。
| 鍵 | 作る場所 | Compliance API で使えるか |
|---|---|---|
Compliance Access Key（sk-ant-api01-...） | claude.ai > 組織設定 > API。Primary Owner か組織 Owner が作る | すべてのエンドポイント |
Admin API キー（sk-ant-admin01-...） | Claude Console > Settings > Admin keys。組織 admin が作る | 活動フィードのみ |
| Analytics API キー | claude.ai > 組織設定 > API | 使えない（利用量・費用の集計用） |
Claude API キー（sk-ant-api03-...） | Claude Console > Settings > API keys | 使えない（モデル呼び出し用） |
※ 出典: Set up the Compliance API（Claude Docs）（取得 2026-10）
注意点が2つあります。第一に、Enterprise の親組織は Claude Console に表示されません。Compliance Access Key は claude.ai の組織設定で作るものであり、Console を探しても見つかりません。第二に、スコープは作成後に変更できません。スコープを変えるには新しい鍵を作って古い鍵を消します。
どの使い方が記録に入るか — 入らない経路を先に押さえる
監査部門への説明で最も食い違いが起きるのがここです。2026年10月時点の公式ドキュメントで、使い方ごとに整理します。
| 社員の使い方 | 記録の層 | 状態 |
|---|---|---|
| claude.ai のチャット（Web・デスクトップ・モバイル） | 活動フィード＋チャット本文 | 安定版。統合された Claude 体験のチャットはベータ |
| Cowork（Claude Desktop・端末上） | ローカルセッション cowork | 安定版 |
| Claude Code（ターミナル・Claude Desktop・IDE 拡張、Enterprise アカウントでサインイン） | ローカルセッション claude_code | 安定版 |
| Claude for Microsoft 365（Excel・PowerPoint・Word・Outlook のアドイン） | ローカルセッション office_agents/excel など | 安定版 |
| Claude in Chrome の組み込みチャット | ローカルセッション claude_in_chrome | ベータ |
| Claude Science デスクトップアプリ | ローカルセッション claude_science | ベータ |
| claude.ai の Web・モバイルから始めた Cowork（クラウドで実行） | リモートセッション cowork_remote | 安定版。スケジュールタスクの実行はエージェント所有セッションとして返る |
| Claude Console の API キーで認証した Claude Code | 対象外 | 活動フィードの管理イベントのみ |
| Amazon Bedrock・Google Cloud・Microsoft Foundry 経由の Claude Code | 対象外 | — |
| Claude Code のクラウドセッション（クラウドで動く Routines を含む） | 対象外 | リモートセッションでもない |
| Claude API のワークロード（API キー認証） | 活動フィードの資源イベントのみ | プロンプト・回答の本文は取れない |
※ 出典: Retrieve session transcripts（Claude Docs）（取得 2026-10）／Compliance API FAQ（Claude Docs）（取得 2026-10）
ローカルセッションは「端末に何かを入れて録る」仕組みではなく、端末からの要求が Claude API に届いた時点で捕捉されます。公式ドキュメントは「端末上の活動で API に届かないもの（Claude が読まなかったローカルファイルなど）は捕捉されない」と明記しています。監査部門には「端末の操作ログではなく、Claude に送った内容と返ってきた内容の記録」と説明するのが正確です。
もう1つ重要なのは、HIPAA 対応を有効にした組織では、ローカルセッションの対象が Cowork と Claude Code だけになり、保存は30日になる点です。ゼロデータ保持（ZDR）が効いているセッションは一覧にも出ません。医療・製薬の読者は、この条件が自社の契約に当てはまるかを先に確認してください。
※ 出典: Retrieve session transcripts（Claude Docs）（取得 2026-10）
機能が揃った経緯（2026年）
セッション書き起こしは2026年に段階的に広がりました。リリースノートの記載を時系列で並べます。
| 日付 | 内容 |
|---|---|
| 2026-08-03 | claude.ai から始めた Cowork セッション（リモート）の書き起こしがベータで追加 |
| 2026-08-11 | 端末上の Cowork・Claude Code セッション（ローカル）の書き起こしがベータで追加 |
| 2026-08-26 | Cowork・Claude Code のセッション系エンドポイントがベータ終了。Claude Science・Claude for Microsoft 365 がベータで追加 |
| 2026-09-18 | Claude in Chrome の書き起こしがベータで追加 |
| 2026-09-24 | Claude for Microsoft 365 のローカルセッションがベータ終了。活動フィードがファイル名・文書名・アーティファクト題名を返さなくなった |
| 2026-10-08 | チャットのエンドポイントが統合された Claude 体験のチャットも返すように（ベータ）。Claude Docs の文書を Word ファイルとしてダウンロード可能に（ベータ） |
※ 出典: Release notes（Claude Platform）（取得 2026-10）
書き起こしに入るもの・入らないもの
「書き起こしが取れる」と聞くと、画面に出たものが全部残ると考えがちです。公式ドキュメントの対照表を要約します。
| 項目 | ローカルセッション（端末） | リモートセッション（クラウド） |
|---|---|---|
| 利用者のプロンプト・Claude の回答 | 入る（テキストのみ） | 入る（テキストのみ） |
| ツール呼び出しと結果 | 入る。入力と結果の各テキストは既定で10,000バイトに切り詰め、要求すれば約1MiBまで | 同左 |
| Claude がツールで読んだファイルの内容・ファイル名 | 入る（テキストのみ。画像・PDF などは「表示されない」の目印に置き換わる） | 入る（テキストのみ。それ以外は省略） |
| 思考ブロック | 入らない | 入らない |
| システムプロンプト | 入らない（目印のメッセージに置き換わる） | — |
| ツール定義・MCP サーバーの設定 | 入らない | 入らない |
| 端末情報（ターミナルの種類・作業パス） | 入らない | 入らない |
| トークン数・費用 | 入らない（Enterprise Analytics API で取る） | 入らない（同左） |
※ 出典: Retrieve session transcripts（Claude Docs）（取得 2026-10）／Compliance API FAQ（Claude Docs）（取得 2026-10）
見落としやすい一文があります。ローカルセッションの書き起こしは「送られたまま」返り、URL・資格情報・個人データは何もマスクされません。書き起こしを取り出す側の保存先とアクセス権は、「社員が Claude に貼った秘密情報がそのまま入っている」前提で設計します。この点は生成 AI の社内利用ガイドラインの情報区分と直結します。
また、新しいセッションとメッセージは「短い処理の遅延のあと、通常は数分以内」に一覧へ現れます。開始直後に見えなくても未捕捉とは限らないので、取り込みの実装で「見えない＝記録されていない」と判定しないようにします。
保持期間 — 5つの期限が別々に動く
監査部門との合意で必ず聞かれるのが「いつまで取れるか」です。公式ドキュメントは5つの期限を分けています。
| データ | 保持 | 決めるのは |
|---|---|---|
| 活動フィードのレコード | 6年 | Anthropic |
| チャット・ファイル・プロジェクトの本文 | 組織の claude.ai 保持ポリシーに従う（利用者が先に消せばそこまで） | 組織 |
| ローカルセッションの書き起こし | 既定6年。組織が有限の会話保持期間を設定していればその期間。HIPAA 対応の組織は30日 | 既定は Anthropic、設定すれば組織 |
| リモートセッションの書き起こし | 6年（利用者が先に消せばそこまで） | Anthropic |
| Compliance API で完全削除した内容 | 保持しない。削除は即時で永久 | DELETE を呼んだ側 |
※ 出典: Design your compliance integration（Claude Docs）（取得 2026-10）
ここから導かれる設計は4つです。第一に、監査の保管年限が6年を超えるなら、活動フィードと書き起こしを取り込みながら自社のアーカイブへ書き出す。第二に、本文の保持ポリシーが eDiscovery の年限より短いなら、期限が来る前に書き出す。Compliance API は保持期限で消えた本文を返せません。第三に、利用者が claude.ai で消した会話の本文は、Compliance API でも戻らない。リーガルホールドの対象は、取り込み時に自社で保管します。第四に、DLP のような自動削除を組むなら、削除の前に必ず取得して保管する。復元の猶予期間はありません。
監査部門に渡す前に決める5つのこと
決めること1 — 鍵を「読む鍵」と「消す鍵」に分ける
Compliance Access Key に read:compliance_user_data を付けると、連結されたすべての組織のチャット・ファイル・プロジェクト・書き起こしを、Primary Owner が見たことのない内容まで読めます。delete:compliance_user_data を付けると永久削除ができます。公式ドキュメントは「本番データベースの資格情報と同じ扱いで、シークレットマネージャーに保管し、ソース管理や SIEM 転送設定に書かない」「読む処理と消す処理があるなら2本の鍵に分け、読む鍵が漏れても削除できないようにする」と指示しています。
鍵は自動では失効せず、削除は次の要求から即時に効きます。入れ替えは「同じスコープで新しい鍵を作る → 連携先を更新 → 動作確認 → 古い鍵を削除」の順で、ページ送りのカーソルは組織に紐づくので入れ替え後も使えます。漏えいが疑われるときは、削除したうえで活動フィードを compliance_api_accessed で絞り、actor.api_key_id が当該の鍵と一致する行を追います。
※ 出典: Set up the Compliance API（Claude Docs）（取得 2026-10）
決めること2 — 有効化の時点を「利用開始より前」にする
記録は Compliance API を最初に有効化した時点から始まり、それ以前は埋められません。オフにしている間は活動イベントが記録されず、Enterprise ではローカルセッションの捕捉も止まり、あとから復元できません。Access Transparency に加入している組織は、その通知も止まります。オフにした操作自体は org_compliance_api_settings_updated として記録されるので、「誰がいつ止めたか」は残ります。
Enterprise では Primary Owner が claude.ai の組織設定 > API で有効化し、親組織から連結組織（claude.ai と Console の両方）へ波及します。Console 単独の組織は admin が Console の Settings > Security のトグルで有効化しますが、親組織に連結された Console 組織には Console 側のトグルが無く、親の Primary Owner に依頼します。
※ 出典: Set up the Compliance API（Claude Docs）（取得 2026-10）／Compliance API FAQ（Claude Docs）（取得 2026-10）
決めること3 — 取り込み方式と上限を決める
活動フィードは新しい順に返り、発生から1分以内に検索可能になります。1ページの上限は5,000件、Compliance API 全体の要求は親組織あたり毎分600回で、すべての鍵・すべての連結組織・すべてのエンドポイントで共有します（リモートセッションのエンドポイントはこれに加えて別の予算を持ちます）。取り込みは2方式から選びます。
| 方式 | 向いている場合 | 注意 |
|---|---|---|
時間窓のポーリング（created_at.gte と created_at.lt で区切る） | 固定スケジュールで動かし、ワーカーを無状態にしたい | created_at.lt は現在時刻より1分以上前にする。窓を閉じた後に索引された活動は後の窓に現れないので、窓を数分重ねるか定期的に再照合する |
カーソル駆動の増分読み取り（before_id に前回の first_id を渡す） | 発生から取り込みまでの遅延を最小にしたい。カーソルを永続化できる | has_more が false になるまで読み切ってからカーソルを保存する |
※ 出典: Design your compliance integration（Claude Docs）（取得 2026-10）／Handle Compliance API errors（Claude Docs）（取得 2026-10）
配信は「少なくとも1回」です。失敗後の再試行で同じ活動が重複して届くことがあるので、活動の id で重複排除します。一覧には総件数やチェックサムが無いため、取り込みの完了証跡は「開始カーソル・最終の last_id・件数・実行時刻・最終ページの request-id」を自分で記録します。
決めること4 — SIEM との結合キーを user_id に固定する
活動の actor には user_id・email_address・ip_address・user_agent があり、SIEM（Splunk・Datadog・Microsoft Sentinel など）の既存イベントと結合できます。公式ドキュメントは、メールや表示名が変わっても変わらない user_id を主キーにするよう勧めています。actor.type によっては IP やユーザーエージェントが無いので、判別子を見てから読みます。
Compliance API の呼び出し自体も compliance_api_accessed として記録されます。これも SIEM に入れておくと、「誰がいつ監査データを読んだか」を監査できます。監査する側が監査される仕組みは、監査部門への説明材料として有効です。
※ 出典: Design your compliance integration（Claude Docs）（取得 2026-10）
決めること5 — 削除の運用を書面にする
API からの削除は即時で永久です。チャットの削除はメッセージと添付ファイルも消し、統合された Claude 体験のチャットでは、そのチャットのために始まったクラウドのセッションも消えます。プロジェクトはチャットが付いたままでは消せず、409 が返るので、先にチャットを消すか外します。
削除は「誰の依頼で・何を・いつ・どの証跡を残して」行うかを手順書にし、実行前に必ず取得して保管します。DLP の自動削除を組む場合も同じです。
※ 出典: Retrieve and delete chats, files, and projects（Claude Docs）（取得 2026-10）
最小の取得手順 — 鍵を作ってから最初の1件を読むまで
- Primary Owner が claude.ai > 組織設定 > API で Compliance API を有効化する（連結組織に波及）
- 同じページの Keys で「Create key」を押し、名前を付け、スコープを選ぶ。最初は
read:compliance_activitiesだけの鍵で始める - 表示された
sk-ant-api01-...をシークレットマネージャーに保存する（表示は一度きり） - 次のコマンド（limit=1）で最新の活動を取得し、
data配列とhas_more・first_id・last_idが返ることを確認する - 本文が必要になった段階で、
read:compliance_user_dataを付けた別の鍵を作る。削除が必要なら、さらに別の鍵にする
curl --fail-with-body -sS \
"https://api.anthropic.com/v1/compliance/activities?limit=1" \
--header "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY" \
--header "anthropic-version: 2023-06-01"
※ 出典: Compliance API（Claude Docs）（取得 2026-10）／Set up the Compliance API（Claude Docs）（取得 2026-10）
スコープが足りない呼び出しは 403 で、メッセージに「持っているスコープ」と「必要なスコープ」が入ります。Admin API キーで本文のエンドポイントを呼ぶと必ずこの 403 になるので、最初に鍵の種類を確認します。レート制限の 429 では retry-after ヘッダーの秒数だけ待ち、ページ送りのカーソルは進めません。
鍵の設計テンプレ — 3本に分ける
| 鍵の名前（例） | スコープ | 用途 | 保管と実行者 |
|---|---|---|---|
| siem-activity-reader | read:compliance_activities | 活動フィードを SIEM に毎時取り込む | シークレットマネージャー。取り込みジョブのサービスアカウントだけが読める |
| ediscovery-content-reader | read:compliance_user_data・read:compliance_org_data | 法務の依頼で特定ユーザーの会話・書き起こしを取得する | 同上。法務の担当者が承認した依頼票と紐づけて実行 |
| dlp-deleter | delete:compliance_user_data | 承認済みの削除だけを実行する | 同上。実行前に ediscovery-content-reader で取得・保管済みであることを手順で担保 |
スコープは作成後に変えられないので、用途が増えたら鍵を増やします。親組織の鍵は全連結組織に届くため、事業部ごとに範囲を分けたいときは組織 Owner が「自組織のみ」の鍵を作ります。
※ 出典: Set up the Compliance API（Claude Docs）（取得 2026-10）
導入前セルフチェック — 12項目
- □ 契約は Enterprise か（Team では Compliance API も監査ログも使えない）
- □ Compliance API を、社員の利用開始より前に有効化したか
- □ 記録に入らない経路（Console の API キー・Bedrock・Vertex AI・Foundry・クラウドセッション）を監査部門に説明したか
- □ Claude Code の社員は Enterprise アカウントでサインインしているか（API キー運用だと書き起こしが残らない）
- □ HIPAA 対応・ZDR の設定が、書き起こしの範囲と保持に与える影響を確認したか
- □ 読む鍵と消す鍵を分け、シークレットマネージャーに保管したか
- □ 取り込み方式（時間窓かカーソルか）と、重複排除のキー（活動の
id）を決めたか - □ 毎分の要求回数と1ページの件数が、Compliance API の上限内に収まる設計か
- □ SIEM の結合キーを
user_idにしたか - □ 保管年限が6年を超える、または本文の保持期間が eDiscovery の年限より短い場合の書き出し先を決めたか
- □ 書き起こしに秘密情報がマスクされずに入る前提で、保存先のアクセス権を決めたか
- □ 削除の手順書（依頼・承認・事前取得・実行・証跡）を作ったか
※ 出典: Compliance API FAQ（Claude Docs）（取得 2026-10）／Design your compliance integration（Claude Docs）（取得 2026-10）
失敗パターン5つ
- 「全部記録される」と説明してしまう。 Bedrock 経由の Claude Code やクラウドセッションは対象外で、思考ブロックや画像も入らない。監査部門には上の対照表をそのまま渡す。
- 有効化を後回しにする。 先行利用の期間は永久に空白になる。パイロット開始の前に有効化する。
- 1本の鍵に全スコープを付ける。 読む鍵が漏れると削除までできる。読む・消すを分ける。
- ボタンの書き出しで済ませる。 監査ログの書き出しは過去180日分で本文を含まず、CMEK の組織では使えない。継続的な取得は Compliance API に統一する。
- 書き起こしを一般の共有ドライブに置く。 URL・資格情報・個人データがそのまま入る。保存先は本文が入る前提でアクセス権を絞る。
※ 出典: Access audit logs（Claude ヘルプ）（取得 2026-10）／Retrieve session transcripts（Claude Docs）（取得 2026-10）
OpenTelemetry・Analytics API・Inference hooks との使い分け
Compliance API の周りには似た機能が3つあり、監査部門の要件によって組み合わせが変わります。
| 機能 | 何をするか | 向いている要件 |
|---|---|---|
| Compliance API | Anthropic が保持する記録を、あとから API で取りに行く（プル） | 監査・eDiscovery・DLP の事後調査。本文と設定の取得 |
| OpenTelemetry ログ（Cowork・Claude Code） | 自社のコレクタへ発生時に流す（プッシュ）。トークン・費用・端末情報を含む | リアルタイムの監視と費用管理。自社基盤で保持したい場合 |
| Enterprise Analytics API・Claude Code Analytics API | 利用量と費用の集計値 | IT・FinOps 向けのダッシュボード |
| Inference hooks（ベータ） | 推論の前に自社の AI セキュリティサーバーが各プロンプトを許可・拒否する | 事前の遮断。拒否は活動フィードに記録される |
※ 出典: Compliance API（Claude Docs）（取得 2026-10）／Release notes（Claude Platform）（取得 2026-10）
Anthropic は、Cowork と Claude Code のセッション本文の取得には OpenTelemetry より Compliance API を推奨しています。一方で、端末情報やトークン・費用は Compliance API に入らないため、費用の統制が目的なら OpenTelemetry か Analytics API を併用します。両者の記録は組織 ID とユーザー ID で結合できます。Claude Code 側の OpenTelemetry 設定はClaude Code の法人導入ガイドに、コネクタ経由のデータの扱いはコネクタ（MCP）の管理者ガイドにまとめています。
公式ドキュメント・資料集
- Compliance API（概要） — 3層の全体像と関連機能との比較
- Set up the Compliance API — 有効化・鍵の種類・スコープ・入れ替え
- Query the Activity Feed — フィルタ・ページ送り・Activity オブジェクト
- Retrieve and delete chats, files, and projects — 本文・ファイル・削除
- Retrieve session transcripts — ローカル／リモートセッションの対象と制約
- List organizations, users, roles, groups, and settings — 連結組織・有効設定
- Design your compliance integration — 取り込み方式・SIEM 結合・保持
- Handle Compliance API errors — 403・429 などの原因と対処
- Access audit logs（Claude ヘルプ） — 管理画面からの監査ログ書き出し
よくある質問
Q. Team プランでも Compliance API は使えますか？
使えません。Compliance API と監査ログは Enterprise プランの機能で、料金ページの比較表でも Team は「なし」です。Team で取れるのは、Primary Owner が組織設定から依頼する組織データの書き出しだけで、API からの継続取得やセッション書き起こしの取得はできません。
Q. Amazon Bedrock 経由で動かしている Claude Code の記録も取れますか？
取れません。公式ドキュメントは、Claude Console の API キーで認証した Claude Code、Amazon Bedrock・Google Cloud・Microsoft Foundry 経由の Claude Code、クラウドセッション（クラウドで動く Routines を含む）は、セッション書き起こしの対象外と明記しています。対象は Enterprise アカウントでサインインして端末で動かしたセッションです。
Q. 活動フィードに会話の本文は入りますか？
入りません。活動フィードは「誰が・いつ・何をしたか」の資源イベント（サインイン、チャット作成、ファイルアップロード、設定変更など）を記録し、プロンプトや回答の本文は持ちません。本文が必要なら、Compliance Access Key に読み取りスコープを付けて、チャットのメッセージ取得やセッション書き起こしのエンドポイントを使います。
Q. Compliance API を有効にする前の利用は、あとから取り出せますか？
取り出せません。記録は Compliance API を最初に有効化した時点から始まり、それ以前の活動は遡って埋められません。途中でオフにするとその間の記録も残らず、復元できません。導入の順番として、利用開始より先に有効化しておくのが安全です。
Q. OpenTelemetry への転送があれば Compliance API は不要ですか？
役割が違います。OpenTelemetry は自社の収集基盤へリアルタイムに流す仕組みで、トークン数・費用・端末情報が取れます。Compliance API は Anthropic が保持する記録をあとから取りに行く仕組みで、Anthropic は Cowork と Claude Code のセッション本文の取得には Compliance API を推奨しています。両方の記録は組織 ID とユーザー ID で結合できます。
次の一歩
まず、自社の契約が Enterprise か、社員の Claude Code が Enterprise アカウントでサインインしているか、Bedrock などの別経路が混在していないかを確認してください。そのうえで、上の12項目のチェックを埋めれば、監査部門に渡す説明資料の骨格はそのまま作れます。鍵は「活動フィードだけを読む1本」から始め、本文や削除は要件が固まってから別の鍵で足すのが安全です。
Enterprise への移行判断、記録に入る経路と入らない経路の棚卸し、SIEM への取り込み設計、保持とリーガルホールドの運用設計など、自社の体制に合わせた進め方を書面で確認したい場合は、お問い合わせから状況をお知らせください。契約を前提にしない相談として、現状の整理と次に決めることを文書で返します。法人向けの支援内容はClaude 導入支援にまとめています。
更新履歴
- 2026-10-13: 初版公開
関連ページ
- Claude Code の法人導入ガイド【2026年9月】— 管理者が先に決める設定配布・権限・利用上限・監査
- Claude Enterprise・Team 料金完全ガイド【2026年7月】
- Claude 法人導入 完全ガイド 2026 — Team/Enterprise/API/Bedrock の 4 経路比較と契約実務
- Claude のコネクタ（MCP）を社内ツールにつなぐ前に管理者が決める6つのこと【2026年9月】
- Claude for Microsoft 365 の法人導入【2026年10月】— 配布・Graph 同意・監査で情シスが決める6つのこと
- 生成 AI の社内利用ガイドラインの作り方【2026年9月】
- Claude 導入支援（Tufe Company）