■ BAA 적용 범위
표시가 없는 문장은 공식 문서에서 확인한 내용이에요. 다른 표시는 읽는 법
왜 배우나 — 시험이 요구하는 것
시험 목표 5.4 규정 준수 · D5 규정·안전 14%Ensure compliance with regulations (e.g., GDPR, HIPAA, FedRAMP)
이 개념으로 푸는 판단 (할 수 있어야 하는 것)
- 5.4② HIPAA 조직에서 Batch·Files·Claude Code 를 쓰려 한다 — BAA 적용 범위 — 막히는 기능·조건부 기능 판별
- 4.5① 급하지 않은 문서 50만 건 — 비용을 가장 직접 줄이는 것은? — Batch API vs 스트리밍·effort·max_tokens
- 6.1③ 민감 데이터라며 BAA·GDPR·ZDR 을 한꺼번에 걸자고 한다 — 디스커버리에서 무엇을 사실로 확인하나? — 규정 약정을 데이터 사실(PHI 유무·거주지·보존)에서 끌어내기
한눈에
BAA 는 목록에 적힌 기능·제품에만 적용된다. 같은 HIPAA 조직 안이어도 목록 밖 기능에는 PHI 를 넣지 않는다. 서명한 BAA 가 공식 기준이다. API 는 대상이 아닌 기능을 400 으로 자동 차단한다 (2026-09-28 조회)
제품마다 목록이 다르다. API 에서 막히는 Skills·코드 실행이 Enterprise 앱에서는 대상이다. Claude Code 는 HIPAA readiness 가 아니라 ZDR 을 켰을 때만 대상이다
비유 클라우드의 HIPAA 적격 서비스 목록과 같다. 같은 계정이어도 목록 밖 서비스에는 PHI 를 넣지 않는다
ELI5
보험 약관에 적힌 것만 보장되는 것과 같아요.
- 병원 금고 약속서(BAA)는 목록에 적힌 방만 지켜 줘요.
- 목록에 없는 방(Batch·파일 창고)은 문이 아예 잠겨 있어요.
- 코드 도우미(Claude Code)는 "바로 버리기"(ZDR)를 켰을 때만 목록에 들어가요.
- 그런데 바로 버리면, 오래 기억해야 하는 새 모델(Covered Models)은 못 써요.
개념 설명
원리
BAA 는 "조직 전체"가 아니라 "기능·제품 목록"에 적용된다
- 같은 HIPAA 조직이어도 목록 밖 기능에 PHI 를 흘리면 보호 밖이다.
- 목록의 공식 기준은 서명한 BAA 다. API 는 실수를 막으려고 막을 것을 자동 차단한다(400).
- 막히는 기능에는 공통점이 있다. 서버에 무언가를 저장한다(Batch 작업 29일, Files, 코드 실행 컨테이너 최대 30일, Managed Agents 세션). 저장을 HIPAA 안전장치 밖에서 하는 기능은 목록에서 빠진다.
- 클라이언트 쪽에서 도는 도구(Bash·Text Editor·Memory)는 대상이다. 데이터가 내 환경에 남기 때문이다.
막는 방식은 약정마다 반대다
- HIPAA 조직 : docs 기능 표에서 HIPAA 열이 No 인 기능은 400 을 받는다. 단 docs 표 Details 칸에 "안 막힘"이라 적힌 클라이언트 도구(browser use)는 받아 주지만 HIPAA 밖이다.
- ZDR 조직 : No 기능을 막지 않는다. 쓰면 그 데이터만 ZDR 밖으로 나간다. 그리고 그 기능의 보존 정책을 따른다.
- 그래서 "안 막혔다 = 대상" 은 두 약정 모두에서 틀린다.
제품마다 목록이 다르다
- API : Skills·Code Execution 이 막힌다.
- Enterprise 앱 : Skills·파일 생성·코드 실행(네트워크 제외)이 대상이다.
- Claude Code : HIPAA readiness 대상이 아니다. ZDR 을 켰을 때만 BAA 대상이다(CLI·데스크톱 local). 서버에 세션을 남기는 모드(웹·remote·Remote Control)는 ZDR 과 호환되지 않는다. 그래서 BAA 밖이다.
Covered Models 와 ZDR 은 서로 밀어낸다
- Covered Models 는 30일 보존이 필수다. 그래서 ZDR 에서 못 쓴다.
- Claude Code 는 ZDR 이어야 BAA 대상이다. 그래서 BAA 아래 Claude Code 로 Covered Models 를 쓰는 길은 없다.
- HIPAA-ready API 는 표준 보존이다. 그래서 Covered Models 를 쓸 수 있다.
규칙과 판단
갈림길
①③ 어느 surface [5.4②]
대상
2026-04-01 이후 수락한 BAA 버전에서 대상이다
막힌다
대상이 아니고 접근도 안 된다 (Computer Use 는 공식 문서끼리 다르다. 자세한 것은 설명 쪽 미해결에 있다)
제3자 흐름은 BAA 밖
쓸 수는 있다. 하지만 제3자로 가는 데이터는 BAA 밖이다 (MCP 는 공식 문서끼리 다르다. 자세한 것은 설명 쪽 미해결에 있다)
대상
Chat·Projects·Artifacts·파일 생성·코드 실행(네트워크·외부 사이트 제외)·Voice·Web Search·Research·Skills(2025-12-02 이후 버전)가 대상이다. MCP·Connectors 는 쓸 수 있지만 제3자 흐름은 BAA 밖이다. Primary Owner 가 HIPAA 를 켜고 BAA 를 수락해야 대상이 된다
↓ 아래 「Claude Code 와 모델」 갈림길로 이어짐
다음 물음 — 어떤 모드인가?
제외된다
Console·Cowork·베타(Claude in Office·Design·Slides·Docs)는 제외된다
③④ Claude Code 와 모델 [5.4②]
BAA 밖
쓸 수는 있지만 BAA 밖이다. 그래서 PHI 를 넣지 않는다
BAA 대상
ZDR 을 켰을 때만 BAA 대상이다
못 쓴다
ZDR 로 BAA 적용을 받는 Claude Code 는 BAA 적용 상태로 Covered Models 를 못 쓴다. BAA 적용 상태로 Covered Models 를 쓰는 길은 HIPAA-ready API 와 HIPAA-ready Enterprise Chat 이다
BAA 밖
ZDR 과 호환되지 않는다
② 막히나 [5.4②]
400
오류가 기능 이름을 알려 준다. 그 기능을 빼고 다시 시도한다. "without Zero Data Retention" 은 API 문구일 뿐이다. 해결법은 그대로다
받아 주지만 HIPAA 밖
docs 표 Details 칸에 "안 막힘" 이라 적힌 클라이언트 도구(browser use)다. API 는 이 도구를 받아 주지만 HIPAA 밖이다
막지 않는다
그 데이터만 ZDR 밖으로 나간다. 그 기능의 보존 정책을 따른다
흐름
그림 속 이름·금액·시간·토큰 수는 예시예요. 공식 한도·동작은 카드 본문 값이 기준.
장면 글로 보기
칸 : 앱 → HIPAA 조직 API → 모델
블록 : 메시지, 프롬프트 캐싱, Batch (바뀌는 것)
규칙 (HIPAA 조직 API) : docs 기능 표에서 HIPAA 열이 No 인 기능은 400 을 받는다
질문 : Batch 요청은 모델까지 갈까?
① 목록 안 기능만 ✓
- 시작 : 앱 — 쪽지 : 청구서 #A-1182 / 환자 박○○ · 무릎 MRI / 요약해 줘
- 보내기 : 메시지 → HIPAA 조직 API : Messages API 와 캐싱을 쓴다 — 쪽지 : Messages API / + 프롬프트 캐싱 / 청구서 1장
- 처리 : HIPAA 조직 API → 모델 : BAA 대상이다 — 쪽지 : 요약: 무릎 MRI 청구 / 보장 확인 필요
- 끝 : 목록에 적힌 기능만 BAA 적용 대상이다
② Batch 로 비용 절감 ≠
- 시작 : 앱 — 쪽지 : 청구서 30,000장 / 밤새 요약
- 보내기 : Batch → HIPAA 조직 API : Batch API 로 보낸다 — 쪽지 : Batch API / 요청 30,000건
- 막힘 : HIPAA 조직 API : 오류가 기능 이름을 알려 준다 — 쪽지 : 400 invalid_request_error / 기능: Batch / "…without Zero Data Retention"
- 건너뜀 : 모델
- 끝 : Batch 는 대상이 아니고 접근도 안 된다. 오류 문구와 상관없이 기능을 빼고 다시 시도한다
규칙 원문 ①②③④ (갈림길로 그린 규칙)
-
API 목록 (HIPAA-Ready API 조직, privacy BAA 글 2026-09-28 조회) [5.4②]
- 대상 : Messages API 중 프롬프트 캐싱·구조화 출력·메모리·웹 검색·Bash·Text Editor 도구다(2026-04-01 이후 수락한 BAA 버전)
- 대상 : Token Counting·Models·Org Management·Compliance API 다(2025-12-02 이후 버전)
- 여기 없는 Messages API 기능은 대상이 아니다
- 막힌다 : Batch·Files·Skills·Code Execution·Computer Use·Web Fetch 는 대상이 아니고 접근도 안 된다
- External MCP 는 쓸 수 있다. 하지만 제3자로 가는 데이터는 BAA 밖이다
docs 표(HIPAA 열 No, 2026-09-28 조회)에는 이것들이 더 있다 : Programmatic tool calling·MCP connector·MCP tunnels·Managed Agents·Tool search·Advisor·Context editing·compaction·Cache diagnostics·Browser use
Batch 는 29일, 코드 실행 컨테이너는 최대 30일 보존한다. PDF 는 Messages API 로 inline 보낼 때만 대상이다. Files API 를 거치면 대상이 아니다
공식 문서끼리 다른 곳이 둘 있다. 자세한 것은 설명 쪽 미해결에 있다
- Computer use : docs 표는 Yes 다. BAA 글은 막힌다고 적는다
- MCP : docs 표는 No 다. BAA 글은 External MCP 를 "쓸 수 있다" 고 적는다
-
막히는 방식 : HIPAA 조직이 docs 기능 표에서 HIPAA 열이 No 인 기능을 넣으면 400
invalid_request_error가 온다. 오류가 기능 이름을 알려 준다. 그 기능을 빼고 다시 시도한다 [5.4②]메시지의 "without Zero Data Retention" 은 API 문구일 뿐이다. 해결법은 그대로다
예외는 docs 표 Details 칸에 "안 막힘" 이라 적힌 클라이언트 도구(browser use)다. API 는 이 도구를 받아 주지만 HIPAA 밖이다
ZDR 조직은 반대로 No 기능을 막지 않는다. 그 데이터만 ZDR 밖으로 나간다. 그 기능의 보존 정책을 따른다
-
제품 : BAA 는 수락한 그 한 조직에만 적용된다. 자세한 것은 ■ HIPAA 구성 에 있다. Console·Cowork·베타(Claude in Office·Design·Slides·Docs)는 제외된다
Claude Code 는 HIPAA readiness 대상이 아니다. ZDR 을 켰을 때만 BAA 대상이다. 대상 모드는 CLI(1P API console · Enterprise OAuth)와 데스크톱 local 모드다
ZDR 없이 쓰면 쓸 수는 있지만 BAA 밖이다
데스크톱 remote·웹·Code Review·Security·Computer Use·Remote Control(베타)은 BAA 밖이다. ZDR 과 호환되지 않는다
베타 일반 규칙 : 베타 기능은 기능 적격 표에 적격으로 적혀 있지 않으면 대개 BAA 밖이다. 그래서 조직이 HIPAA 여도 새 베타 기능은 표부터 확인한다 (zero-data-retention, 2026-09-28 조회)
Enterprise 앱에서는 Chat·Projects·Artifacts·파일 생성·코드 실행(네트워크·외부 사이트 제외)·Voice·Web Search·Research·Skills(2025-12-02 이후 버전)가 대상이다. MCP·Connectors·Enterprise Search·Claude in Chrome 은 쓸 수 있지만 제3자 흐름은 BAA 밖이고 관리자 책임이다
Primary Owner 가 "Data and privacy" 에서 HIPAA 를 켜고 BAA 를 수락해야 대상이 된다 [5.4②]
-
Covered Models(Fable 5.1·Mythos 5.1·Fable 5·Mythos 5, 2026-09-28 조회)는 30일 보존이 필수다. 그래서 ZDR 에서는 못 쓴다(Anthropic 이 따로 승인한 경우는 뺀다) 시험 뒤 변경 Fable 5.1·Mythos 5.1 은 2026-08-31 지정
그래서 ZDR 로 BAA 적용을 받는 Claude Code 는 BAA 적용 상태로 Covered Models 를 못 쓴다
BAA 적용 상태로 Covered Models 를 쓰는 길은 HIPAA-ready API(표준 보존)와 HIPAA-ready Enterprise Chat 이다. Claude Code·Cowork 로는 길이 없다
HIPAA readiness 와 ZDR 은 한 1P API 조직에 같이 둘 수 없다. 그래서 HIPAA API 와 ZDR Claude Code 를 둘 다 쓰면 조직 ID 를 따로 둔다
ZDR 조직은 워크스페이스 하나만 30일 보존으로 바꿔 Covered Models 를 쓸 수 있다. 하지만 그 워크스페이스는 BAA 밖이다. 그래서 PHI 를 넣지 않는다 [5.4②]
더 깊이 : 판단 규칙 · 상황 변수 (설명)
판단 규칙
| 조건 | 답 | 등급 | 근거 |
|---|---|---|---|
| HIPAA API 조직에서 Batch·Files·Skills·Code Execution·Computer Use·Web Fetch 를 쓴다 | 대상이 아니고 접근도 안 된다 | en-privacy-baa "Not covered under Anthropic BAA and not accessible for HIPAA-Ready API users" | |
| Messages API 의 캐싱·구조화 출력·메모리·웹 검색·Bash·Text Editor 를 쓴다 | 대상이다 (2026-04-01 이후 버전 BAA) | en-privacy-baa | |
| 위 목록에 없는 Messages API 기능을 쓴다 | 대상이 아니다 | en-privacy-baa "Messages API features not listed below are not covered under your BAA." | |
| Token Counting·Models·Org Management·Compliance API 를 쓴다 | 대상이다 (2025-12-02 이후 버전) | en-privacy-baa | |
| External MCP 를 쓴다 | 쓸 수 있지만 제3자 흐름은 BAA 밖이다 | (BAA 글) · 공식 문서끼리 다름 | en-privacy-baa vs en-zero-data-retention (미해결 2) |
| HIPAA 조직이 No 기능을 보낸다 | 400 을 받는다. 기능을 빼고 다시 시도한다 | en-zero-data-retention | |
| ZDR 조직이 No 기능을 보낸다 | 막지 않는다. 그 데이터만 ZDR 밖으로 나간다 | en-zero-data-retention · -full | |
| Claude Code 로 PHI 를 다룬다 | ZDR 을 켰을 때만 BAA 대상이다 (CLI·데스크톱 local) | en-privacy-baa · en-zero-data-retention | |
| Claude Code 웹·데스크톱 remote·Remote Control 등을 쓴다 | BAA 밖이다. ZDR 과 호환되지 않는다 | en-privacy-baa | |
| ZDR 과 Covered Models 를 함께 쓰려 한다 | 못 쓴다 | en-zero-data-retention · en-covered-models | |
| BAA 아래에서 Covered Models 를 쓰려 한다 | HIPAA-ready API 와 HIPAA-ready Enterprise Chat 에서만 된다 | en-covered-models-baa | |
| HIPAA API 와 ZDR Claude Code 를 둘 다 쓴다 | 조직 ID 를 따로 둔다 | en-covered-models-baa | |
| PDF 에 PHI 가 있다 | Messages API inline 만 대상이다. Files API 를 거치면 대상이 아니다 | en-zero-data-retention | |
| Console·Cowork·베타를 쓴다 | 제외된다 | en-privacy-baa · en-covered-models-baa |
상황 변수
| 변수 | 값 | 답 쪽 | 근거 |
|---|---|---|---|
| surface(쓰는 환경) | API | 기능 표로 판정한다 | 판단 규칙 1~5 |
| surface | Enterprise 앱 | Chat·Projects·Skills 등이 대상이다. 커넥터 류는 제3자 흐름이 BAA 밖이다 | en-privacy-baa |
| surface | Claude Code | ZDR 여부, 모드, 모델 순서로 본다 | 판단 규칙 8~10 |
| surface | Cowork | 어떤 설정이든 대상이 아니다 | en-covered-models-baa |
| 약정 | HIPAA 조직 | No 기능은 400 을 받는다 (안 막힘 표시 도구는 예외) | 판단 규칙 6 |
| 약정 | ZDR 조직 | No 기능도 통과한다. 쓰는 쪽이 책임진다 | 판단 규칙 7 |
| 비용 lever(조절 수단) | Batch 50% 할인 | HIPAA 조직에서는 선택지에서 빠진다 | en-privacy-baa |
| 비용 lever | 프롬프트 캐싱 | HIPAA 조직에서도 된다 | en-privacy-baa · en-zero-data-retention |
| 모델 | Covered Models 가 필요하고 Claude Code 를 쓴다 | BAA 아래에서는 안 된다. PHI 를 빼고 쓰거나 API 로 간다 | en-covered-models-baa |
| 구매 경로 | 3P 클라우드 | Anthropic BAA 가 적용되지 않는다 | en-covered-models-baa |
연습 문제
HIPAA 조직인 병원이 API 로API 매일 밤 보험 청구서 3만 장을 요약한다. 비용을 줄이려고 Batch API 로 옮기자Batch는 안이 나왔다. "BAA 가 있으니 어느 기능이든 괜찮다" 는 말도 있다. 어떻게 될까?
시험 대비
함정
- "BAA 가 있으니 Batch 로 50% 절감" 은 함정이다. Batch 는 대상이 아니고 접근도 안 된다
- "HIPAA readiness 만 켜면 Claude Code 도 대상" 은 함정이다. Claude Code 는 HIPAA readiness 대상이 아니다. ZDR 을 켰을 때만 대상이다
- 400 에 "without Zero Data Retention" 이 찍혔으니 ZDR 을 켜는 것은 함정이다. 그 문구는 API 문구일 뿐이다. 기능을 빼고 다시 시도한다
- "안 막혔으니 대상" 은 함정이다. browser use 처럼 받아 주지만 HIPAA 밖인 도구가 있다. ZDR 조직은 No 기능을 막지 않는다
- "Enterprise 에서 Skills·코드 실행이 되니 API 에서도" 는 함정이다. API 에서는 Skills·Code Execution 이 막힌다
- "ZDR Claude Code 에서 Fable 5.1 로 PHI 처리" 는 함정이다. ZDR 에서는 Covered Models 를 못 쓴다
- "PDF 는 대상이니 Files API 로 올려도 된다" 는 함정이다. inline 으로 보낼 때만 대상이다
- 공공부문 FAQ 의 "BAA 는 ZDR 필요 · 웹 검색 제외" 를 따르는 것은 함정이다. 지금 docs 와 BAA 글은 API 면 HIPAA readiness 를 쓰고 ZDR 이 필요 없다고 적는다. 웹 검색도 대상이다. 그래서 시나리오가 API 인지 Claude Code 인지 먼저 본다 (공식 문서끼리 다르다)
신호
"Some services, like Claude Code, are only covered under the BAA when ZDR is enabled, which means those services can't use Covered Models under the BAA."
"Not covered under Anthropic BAA and not accessible for HIPAA-Ready API users"
"Messages API features not listed below are not covered under your BAA."
"When a HIPAA-enabled organization sends a request that includes a non-eligible feature, the API returns a 400 error to prevent accidental use of features not covered by your BAA"
"The phrase 'without Zero Data Retention' is the API's own wording and does not change the resolution."
"Claude Code is not covered under HIPAA readiness."
"HIPAA readiness and ZDR cannot coexist on a single 1P API organization."
"There's currently no configuration that allows BAA-covered access to Covered Models in Claude Code or Cowork."
더 깊이 : 뒤집히는 때 · 오답 재료 (설명)
뒤집히는 때
1. 비용을 줄이라는데 Batch 가 답이 아닌 때
- 조건 : 매일 밤 보험 청구서 3만 장을 요약한다. 몇 시간 늦어도 된다. PHI 가 들어 있다. HIPAA 조직이다.
- 판단 : 평소라면 Batch(50% 할인)가 첫 답이다. 하지만 HIPAA 조직에서는 Batch 가 대상이 아니고 접근도 안 된다. 남는 lever 는 아래와 같다.
- 공통 앞부분 프롬프트 캐싱
- 작은 모델
- Messages API 동기 호출을 나눠 보내기
- 등급 : (Batch 막힘·캐싱 대상). 동기 호출로 나눠 보내는 방식의 비용은 공식 숫자가 없다.
- 근거 : en-privacy-baa · ◆ Batch API vs 동기 호출
2. HIPAA 인데 ZDR 이 필요해지는 때
- 조건 : API 앱은 HIPAA 조직으로 돌린다. 그런데 개발자들이 PHI 가 든 데이터 파이프라인 코드를 Claude Code 로 고치려 한다.
- 판단 : Claude Code 는 HIPAA readiness 대상이 아니다. 그래서 ZDR 조직이 따로 있어야 BAA 대상이 된다. HIPAA 와 ZDR 은 한 조직에 같이 둘 수 없다. 그래서 조직이 둘 있어야 한다.
- 근거 : en-zero-data-retention · en-covered-models-baa
3. ZDR Claude Code 에서 Fable 5.1 을 원할 때
- 조건 : 위 ZDR Claude Code 조직에서 Fable 5.1 을 쓰고 싶다.
- 판단 : Covered Models 는 ZDR 에서 못 쓴다. 워크스페이스 하나를 30일 보존으로 바꾸면 쓸 수 있다. 하지만 그 워크스페이스는 BAA 밖이다. 그래서 PHI 를 넣지 않는다.
- 근거 : en-zero-data-retention · en-covered-models-baa
4. 한시 예외 : ZDR 로 Fable 5·5.1
- 조건 : Covered Models 글에 이 문장이 있다. "eligible customers will receive the option to use ZDR with Fable 5 and Fable 5.1 for their own internal business applications". 이것은 Enterprise Frontier Safeguards 로 가는 한시 조치이고, 2026 가을부터다.
- 판단 : "ZDR 이면 Covered Models 절대 불가" 에는 한시 예외가 있다. docs 도 "unless expressly authorized by Anthropic" 라는 단서를 둔다. 시험은 2026-07 기준이다. 그래서 예외가 없는 쪽으로 물을 가능성이 있다(추론).
- 등급 : (문장) · 시험 뒤 변경
- 근거 : en-covered-models · en-zero-data-retention
오답 재료
| 오답 | 왜 끌리나 | 왜 틀리나 | 근거 |
|---|---|---|---|
| "BAA 가 있으니 Batch 로 50% 절감" | 대량·비긴급이면 Batch 가 정석이다 | HIPAA API 조직에서는 대상이 아니고 접근도 안 된다 | en-privacy-baa |
| "HIPAA readiness 만 켜면 Claude Code 도 대상" | 조직을 켰으니 그 조직 도구는 다 될 것 같다 | Claude Code 는 HIPAA readiness 대상이 아니다. ZDR 을 켰을 때만 대상이다 | en-zero-data-retention |
| "400 에 'without Zero Data Retention' 이 찍혔으니 ZDR 을 켬" | 오류 문구가 해법처럼 보인다 | API 자체 문구일 뿐이고 해결법을 바꾸지 않는다. 기능을 빼고 다시 시도한다 | en-zero-data-retention |
| "안 막혔으니 BAA 대상" | 차단이 곧 목록이라 믿는다 | browser use 는 받아 주지만 HIPAA 밖이다. ZDR 조직은 No 기능을 막지 않는다 | en-zero-data-retention |
| "Enterprise 에서 Skills·코드 실행이 되니 API 에서도" | 같은 회사 제품이다 | API 목록에서는 Skills·Code Execution 이 막힌다 | en-privacy-baa 26·22 vs |
| "민감 데이터니 BAA·ZDR 을 한 묶음으로" | 겹쳐 걸면 안전해 보인다 | 한 1P API 조직에 같이 둘 수 없다. API 는 ZDR 이 필요 없다. Covered Models 도 잃는다 | en-covered-models-baa · ■ HIPAA 구성 |
| "ZDR Claude Code 에서 Fable 5.1 로 PHI 처리" | 최신 모델에 무보존까지 더하면 가장 강해 보인다 | ZDR 에서는 Covered Models 를 못 쓴다. BAA 아래 Claude Code 로 Covered Models 를 쓰는 설정은 없다 | en-covered-models-baa |
| "Claude Code 웹 모드로 PHI" | 브라우저가 편하다 | 웹·remote 모드는 ZDR 과 호환되지 않는다. 그래서 BAA 밖이다 | en-privacy-baa |
| "PDF 가 대상이니 Files API 로 올려 재사용" | 파일 재사용이 효율적이다 | inline 만 대상이다. Files API 는 막힌다 | en-zero-data-retention |
참고
더 깊이 : 출처 · 상태 · 미해결 (참고)
출처
- 가이드 목표 5.4 공식 시험 가이드 v1.0
- privacy BAA 글
- docs api-and-data-retention
- Covered Models under BAA 글
- Covered Models 글
- Claude Code ZDR
- 공공부문 FAQ — 전부 2026-09-28 조회
상태
- 공식 문서끼리 다름 3곳(① Computer use·MCP · 공공부문 FAQ)
- 시험 뒤 변경 1곳(④ 5.1 지정)
미해결
- Computer use 는 공식 문서끼리 다르다. docs 기능 표는 HIPAA eligible "Yes" 다(en-zero-data-retention,. "클라이언트 측 도구" 라는 설명이 붙어 있다). privacy BAA 글은 "Computer Use [beta] — Not covered under Anthropic BAA and not accessible for HIPAA-Ready API users" 라고 적는다(en-privacy-baa). 시험 보기라면 BAA 글(계약 쪽)이 더 보수적이다. 그래서 "막힘" 쪽이 안전하다(추론).
- MCP 도 공식 문서끼리 다르다. docs 표는 MCP connector 를 HIPAA "No" 로 둔다(기본 400 차단, en-zero-data-retention). BAA 글은 External MCP 를 "Available to use but sending data to 3rd parties … isn't covered" 라고 적는다(en-privacy-baa). 제3자로 가는 데이터가 BAA 밖이라는 점은 양쪽이 같다.
- 일반 API + ZDR 의 BAA 적격이 공식 문서끼리 다르다. Covered Models under BAA 글 표는 "Claude API (1P API) · Regular API · Zero data retention → Eligible Service ✅ Yes" 라고 적는다(en-covered-models-baa). 같은 글은 "HIPAA-ready or (in the case of Claude Code) zero data retention configurations" 라고 적는다. docs 는 "PHI 면 HIPAA readiness 가 쓸 방식"이라고 적는다(en-zero-data-retention). 그래서 API 를 ZDR 로 BAA 를 받는 길이 지금도 있는지 공식 문서끼리 다르다.
- 공공부문 FAQ(en-public-sector-faqs, 2026-09-28 받은 파일)는 "It requires a Zero Data Retention (ZDR) agreement" · "web search is excluded" 라고 적는다. 이것은 지금 docs·BAA 글과 반대다(웹 검색이 대상이라는 근거 : en-privacy-baa). 목록 5.4② 가 "옛 문장"이라 한 판단과 같다. 같은 FAQ 의 "BAA 는 Enterprise·직접 API 고객만, Team 플랜 아님"은 다른 문서와 충돌하지 않는다.
- BAA 버전 날짜가 둘이다. BAA 글은 Enterprise·API 기본 목록에 "*Covered under versions of the BAA accepted after 12/2/25"를 단다. Messages API 세부 기능에는 "after 4/1/26"을 단다. 그 전 버전 BAA 를 가진 조직의 목록은 원문에 없다.
- 목록 5.4② 의 "Claude Platform on AWS·Microsoft Foundry 는 HIPAA readiness 불가" 는 확인했다(en-zero-data-retention). 이 내용은 이 카드에 없고 ■ HIPAA 구성 에 둔다.
- 기능 목록의 최종 기준인 HIPAA Implementation Guide(Trust Portal PDF)는 받지 않았다(미확인).