結論：2026年8月11日、AnthropicはCompliance APIの対象をClaude CodeとCoworkに拡大しました（Claude Enterprise向けベータ）。
- 何ができるか：Claude Codeセッションのプロンプト・応答・ツール実行履歴を、既存のCompliance APIと同じインターフェースで統一取得できる
- 対象と除外：CLI・デスクトップアプリのセッションが対象。Claude Code on the WebとBedrock / Vertex AI / Microsoft Foundry経由は今回のベータでは対象外
- 追加実装ゼロ：既にCompliance APIを有効化している組織は、既存のCompliance Access Keyのまま新しいセッションエンドポイントを叩ける
対象読者：Claude Codeを組織導入している（しようとしている）セキュリティ・情報システム・コンプライアンス担当、そして「監査ログが取れないから稟議が通らない」で止まっているエンジニア。この記事では発表内容の整理、実際のAPI呼び出し例、OpenTelemetry・推論フックとの使い分けまでを一気に解説します。
正直、この発表を見た瞬間「ようやく来たか」と思いました。私は100社以上の企業にAI研修・導入支援をやってきましたが、Claude Codeの法人導入で最後まで残る壁は、モデルの性能でもコストでもなく「監査証跡をどう残すか」なんです。情報システム部門から必ず聞かれるのが「開発者がAIに何を渡して、AIが何を実行したのか、後から追えますか？」という質問。これまでは「OpenTelemetryで自前のコレクターを立ててください」と答えるしかありませんでした。
2026年8月11日（米国時間）、Anthropicが公式ブログでCompliance APIの対象拡大を発表しました。CoworkとClaude Codeのセッション内容を、セキュリティチームが既に使っているCompliance APIから直接取得できるようになります。つまり「別途ログ基盤を組まなくても、監査とeDiscoveryに必要なデータをAnthropic側が保持・提供する」体制に変わったということです。
8月11日に何が発表されたのか
公式発表の要点を整理します。Compliance APIはもともとClaude Enterprise向けに、claude.ai上のチャット・ファイル・プロジェクトの内容とアクティビティイベントを取得するためのAPIとして提供されていました。今回の拡大で、以下の2製品のセッションが取得対象に加わりました。
| 製品 | 対象サーフェス | 今回のベータでの除外 |
|---|---|---|
| Cowork | デスクトップアプリ / Web / モバイル | — |
| Claude Code | CLI / デスクトップアプリ | Claude Code on the Web、Claude Platform経由、Bedrock・Vertex AI・Microsoft Foundry上のセッション |
提供状態はClaude Enterprise顧客向けのベータで、発表と同日に利用可能になっています。重要なのは、公式が「additive: nothing changes about the data you already pull from the Compliance API today（追加的な拡張であり、既に取得しているデータは何も変わらない）」と明言している点です。既存のCompliance API連携を組んでいる組織は、コードの改修なしに新しいエンドポイントを試せます。
取得できるデータ：セッションの「統合トランスクリプト」
新しいセッションエンドポイントが返すのは、サーバー側で保持された統合トランスクリプト（consolidated transcript）です。1つのセッションレコードに以下が含まれます。
- コンテンツ：プロンプト、応答、ツール呼び出し（Web検索・MCPツール）、スキルやArtifactsの内容（トランスクリプトのテキストとして）
- メタデータ：検証済みのユーザーID・メールアドレス、組織ID、セッションID・メッセージID、タイムスタンプ
ここが実務的に大きいポイントです。Claude Codeは1セッションの中でファイル読み書き・シェルコマンド実行・MCPツール呼び出しが混ざり合います。これまで自前ログで追おうとすると、OpenTelemetryのイベントストリームを自分で紐付けて「このプロンプトの結果、どのツールが動いたのか」を再構成する必要がありました。統合トランスクリプトはこの紐付けをAnthropic側でやった状態で返してくれるので、eDiscovery（電子証拠開示）や内部監査で「セッション単位の完全な記録」をそのまま提出できる形になります。
実際に叩いてみる：Compliance APIの基本構造
Compliance APIの全エンドポイントは https://api.anthropic.com の /v1/compliance/* 配下にあり、認証は x-api-key ヘッダーで行います。鍵は2種類あり、claude.ai側で作成するCompliance Access Key（全エンドポイントに到達可能）と、Claude Consoleで作成するAdmin APIキー（Activity Feedのみ）に分かれます。セッション内容の取得にはCompliance Access Keyが必須です。
まずは公式ドキュメントに載っている、組織の最新アクティビティイベントを1件取得する例です。read:compliance_activities スコープを持つ鍵で実行できます。
# Activity Feedから最新1件を取得
curl --fail-with-body -sS \
"https://api.anthropic.com/v1/compliance/activities?limit=1" \
--header "x-api-key: $ANTHROPIC_COMPLIANCE_ACCESS_KEY"
レスポンスは data（Activityレコードの配列）・has_more・first_id・last_id を含むJSONで返ります。アクターのメールアドレス・IPアドレス・User-Agentまで記録されているので、SIEMへの取り込みにそのまま使える粒度です。
{
"data": [
{
"id": "activity_01XyDMpzjS89pFZXqSFUBDr6",
"created_at": "2026-04-10T08:09:10Z",
"organization_id": "org_01Wv6QeBcDfGhJkLmNpQrSt8",
"actor": {
"type": "user_actor",
"email_address": "[email protected]",
"ip_address": "192.0.2.34"
},
"type": "claude_chat_created"
}
],
"has_more": true
}
今回の拡大で加わったセッション系エンドポイントは、公式ドキュメント上「local sessions」（ユーザーのマシン上で実行されたCoworkとClaude Codeのセッション）と「remote sessions」（Anthropic管理のクラウド環境で実行されたCoworkのセッション）に区別されています。Claude Codeのトランスクリプトは、ユーザーがClaude Enterpriseアカウントでサインインした状態で実行したセッションが対象です。具体的なエンドポイントパスとパラメータはAPIリファレンス（platform.claude.com/docs/en/api/compliance）で公開されているので、実装前に必ず最新版を確認してください。
運用上の制約として、/v1/compliance/* エンドポイント全体で親組織あたり毎分600リクエストのレート制限が共有されています。全社のセッションを定期同期する設計にする場合は、ページネーションとリトライ制御（429レスポンスのヘッダーに従う）を最初から組み込んでおくのが安全です。
既存の監視手段との使い分け：OpenTelemetry・推論フック・Analytics API
「もうOpenTelemetryでログ取ってるけど、乗り換えるべき？」という疑問が当然出ると思います。公式ドキュメントの整理に沿って、4つの手段を比較します。
| 手段 | タイミング | 取れるもの | 向いている用途 |
|---|---|---|---|
| Compliance API | 事後（オンデマンド取得） | 保持されたセッション全文＋メタデータ | 監査・eDiscovery・コンテンツ削除 |
| OpenTelemetry | リアルタイム（ストリーム） | イベント単位のテレメトリ（トークン・コスト・ホスト情報） | SOCでのリアルタイム監視・コスト可視化 |
| 推論フック（beta） | 推論の前（インライン） | ガバナンス対象のプロンプト本文 | DLP・リアルタイムブロック |
| Analytics API | 事後（集計値） | 利用量・コストの集計 | IT・FinOpsのレポーティング |
ポイントは、これらが競合ではなく補完関係だということです。公式ブログも「既にOpenTelemetryをエクスポートしている組織は、追加インフラなしで並行運用できる」と明記しています。事前ブロックが必要なら推論フック（実装方法はClaude Code推論フック実装ガイド｜DLP対応で詳しく解説しています）、事後の証跡提出ならCompliance API、という役割分担になります。
除外範囲に注意：Bedrock・Vertex AI経由は今回対象外
導入判断で見落とすと痛いのが除外範囲です。今回のベータでは以下がCompliance APIの対象外と明記されています。
- Claude Code on the Web：ブラウザ版のセッションは対象外
- Claude Platform（API）経由のアクセス：Claude Agent SDK等で直接APIを叩く構成は対象外
- Amazon Bedrock / Google Cloud Vertex AI / Microsoft Foundry上のセッション：クラウドプロバイダー経由のデプロイは対象外
つまり「Bedrock経由でClaude Codeを使わせているからうちも監査ログが自動で残る」とはなりません。クラウドプロバイダー経由の構成では、引き続き各プラットフォーム側のログ機構かOpenTelemetryでの自前収集が必要です。逆に言えば、Claude Enterprise直契約でCLI・デスクトップ版を使わせている組織が、今回の恩恵を最大限受けられる構成です。なお、自社インフラ上でセッションを動かすセルフホスト実行環境についてはClaude Codeセルフホスト実行ガイドで解説しているので、ネットワーク統制側の設計はそちらを参照してください。
セキュリティチームが今週やるべき3つのアクション
ニュース解説で終わらせず、具体的なアクションに落とします。
1. 自組織の対象範囲を棚卸しする：社内のClaude Code利用が「Enterprise直契約のCLI/デスクトップ」なのか「Bedrock等のクラウド経由」なのかを確認します。前者ならCompliance APIの有効化だけで監査証跡が手に入ります。後者なら今回の発表は直接は使えないため、既存のログ戦略を継続します。
2. Compliance Access Keyのスコープ設計を見直す：セッション内容には開発者のプロンプト全文（＝ソースコードの断片や社内情報を含み得る）が入ります。鍵の発行はコンプライアンス担当に限定し、スコープを最小権限で切ることを推奨します。取得したトランスクリプト自体が機密情報の塊になる点も忘れずに。
3. 監査要件をAPI仕様と突き合わせる：金融機関の内部監査やISMS認証で求められる「AI利用の証跡」要件を、統合トランスクリプトの項目（ユーザーID・タイムスタンプ・ツール実行履歴）と1対1でマッピングしてみてください。当サイトでは銀行コンプライアンス審査の書類処理をClaude Codeで自動化した実装事例も公開していますが、こうした規制業種の案件では「証跡が取れるか」が導入可否を分けます。
賛否両論：この発表をどう評価するか
ポジティブな見方：エンタープライズ導入の最後の壁が下がりました。特に金融・医療・官公庁系では「ベンダー側が監査用データを保持・提供する」ことが調達要件になっているケースが多く、自前ログ基盤なしで要件を満たせるのは大きい。8月6日に発表されたセルフホスト実行環境（Team/Enterprise向けパブリックベータ）と合わせると、Anthropicが今月に入って明確に「統制されたエンタープライズ利用」へ舵を切っているのが分かります。
慎重な見方：一方で、開発者のプロンプト・応答の全文が組織の管理者から見える状態になるということでもあります。開発者体験の観点では「監視されている感」が生産性に影響する懸念は残りますし、労務の観点では従業員へのモニタリング告知が必要になる国・地域もあります。また、ベータ段階では除外範囲が広く（Web版・クラウド経由が全滅）、「全社のClaude利用を1つのAPIで監査できる」という理想にはまだ距離があります。取得したトランスクリプトの保管・アクセス制御を誤れば、それ自体が新たな情報漏えいリスクになる点も指摘しておきます。
FAQ
Q1. 無料プランやProプランでも使えますか？
いいえ。Compliance API自体がClaude Enterprise（一部はClaude Console）向けの機能で、今回のCowork・Claude Code対応はClaude Enterprise顧客向けのベータです。個人・小規模チームは対象外です。
Q2. 過去のセッションも遡って取得できますか？
保持期間・遡及範囲の詳細は2026年8月時点で公式に個別の案内が確認できていません。公式ドキュメントのCompliance API FAQ（データカバレッジと保持の節）で最新情報を確認してください。
Q3. 日本の組織でも今日から使えますか？
Claude Enterprise契約があり、組織設定でCompliance APIを有効化していれば利用できます。発表当日からの提供で、追加の統合開発は不要（既存のCompliance Access Keyで新エンドポイントを呼べる）とされています。
Q4. OpenTelemetryのログ収集はやめていいですか？
用途が違うため併用推奨です。リアルタイム検知・コスト監視はOpenTelemetry、事後の監査・eDiscoveryはCompliance API、と役割で使い分けてください。
まとめ：監査対応は「導入ブロッカー」から「設定項目」へ
今回の発表で、Claude Codeの組織導入における監査要件対応は「自前でログ基盤を組む大仕事」から「Compliance APIを有効化してエンドポイントを叩く設定作業」に変わりました。除外範囲（Web版・クラウドプロバイダー経由）には注意が必要ですが、Enterprise直契約の組織にとっては稟議の通し方が確実に変わる発表です。
今日からできる3アクション：
- 公式ブログとCompliance APIドキュメントを読み、自組織の利用構成が対象範囲に入っているか確認する
- Compliance APIが未有効なら、組織設定での有効化とCompliance Access Keyの発行フローを情シスと合意する
- Activity Feedの取得（上記curl例）をまず1本通し、SIEM連携のPoCを小さく始める
次回は、今回と同じく8月に入って発表が続いているClaude Codeのエンタープライズ統制系アップデート（スキル・プラグインのセキュリティスキャン等）を横断的に整理する予定です。
Claude Codeの組織導入・セキュリティ設計を検討中の方へ
Uravationでは、Claude Codeの導入支援・個別指導を提供しています。監査要件の整理からセキュリティ設定、開発チームへの展開設計まで、100社以上の支援実績に基づいて伴走します。「うちの構成で監査ログは取れるのか？」といった個別相談からお気軽にどうぞ。
出典
- Compliance API coverage extends to Claude Cowork and Claude Code（Anthropic公式ブログ・2026年8月11日）
- Compliance API – Claude Platform Docs（公式ドキュメント）
- Get started with Claude Compliance API integrations（Claude Help Center）
- Claude Code monitoring（OpenTelemetry・公式ドキュメント）
- Inference hooks – Claude Platform Docs（公式ドキュメント）
