FAQ sulla Compliance API

Per un'organizzazione Claude Enterprise, il proprietario principale abilita la Compliance API in claude.ai > Impostazioni organizzazione > API, e l'abilitazione si propaga a cascata dall'organizzazione padre a ogni organizzazione collegata. Per un'organizzazione Claude Console autonoma idonea (una senza organizzazione padre), un amministratore dell'organizzazione la abilita in Claude Console > Settings > Security. Un'organizzazione Claude Console collegata a un'organizzazione padre non abilita la Compliance API autonomamente; viene abilitata dall'organizzazione padre. Consulta Configurare la Compliance API per i passaggi.

Sì. Per un'organizzazione Claude Console autonoma, un amministratore dell'organizzazione può disattivare l'interruttore Compliance API in Claude Console > Settings > Security, lo stesso punto in cui viene attivato. Mentre la Compliance API è disattivata, non viene registrato alcun evento di attività per la tua organizzazione, quindi l'Activity Feed non riceve nuovi eventi. Se la tua organizzazione è iscritta ad Access Transparency, disattivare la Compliance API interrompe anche la consegna degli eventi di Access Transparency. L'attività non registrata mentre la Compliance API è disattivata non può essere recuperata in seguito. Riattivare la Compliance API riprende la registrazione da quel momento in avanti; l'attività già registrata non viene eliminata.

No. Disattivare la Compliance API interrompe la registrazione di nuovi eventi di attività, ma non elimina gli eventi già acquisiti mentre era attiva. La registrazione riprende dal momento in cui la Compliance API viene riattivata.

Sì. Quando la Compliance API viene disattivata (o riattivata) in Claude Console, la modifica viene registrata come attività org_compliance_api_settings_updated nell'Activity Feed, così il tuo audit trail mostra chi ha modificato l'impostazione e quando. Questa attività è un'eccezione all'interruzione della registrazione: la disattivazione viene registrata anche se nessun'altra attività viene registrata mentre la Compliance API è disattivata.

È un comportamento previsto. Un'organizzazione padre Claude Enterprise centralizza l'identità tra tutte le organizzazioni collegate; non ospita carichi di lavoro e non compare affatto in Claude Console. Claude Console mostra sempre e solo le organizzazioni Claude Console collegate sotto l'organizzazione padre.

Per chiamare la Compliance API, crea invece uno di due tipi di chiave:

• Per l'accesso completo alla Compliance API (Activity Feed più chat, file, progetti, sessioni, utenti, metadati dell'organizzazione e impostazioni dell'organizzazione), il proprietario principale dell'organizzazione padre (o un proprietario dell'organizzazione, per una chiave limitata solo alla propria organizzazione) crea una Compliance Access Key in claude.ai.
• Per l'accesso al solo Activity Feed, un amministratore dell'organizzazione nella tua organizzazione Claude Console crea una chiave Admin API in Claude Console. La Compliance API deve essere già abilitata per l'organizzazione, e l'amministratore deve creare la chiave Admin API mentre la Compliance API è abilitata affinché la chiave includa lo scope read:compliance_activities.

No. Una chiave API di Claude (sk-ant-api03-...) autentica le chiamate ai modelli Claude sulla Claude API; non autentica le chiamate a /v1/compliance/*. La Compliance API accetta solo Compliance Access Key (sk-ant-api01-...) e chiavi Admin API (sk-ant-admin01-...). Consulta Quale chiave ti serve? per la mappatura completa.

Le chiavi Admin API includono uno scope fisso read:compliance_activities, che autorizza solo l'Activity Feed. Ogni altro endpoint della Compliance API richiede uno scope che solo una Compliance Access Key creata in claude.ai può includere. Chiamare un endpoint di contenuti o di directory con una chiave Admin API restituisce un 403 che indica lo scope richiesto da quella famiglia di endpoint: read:compliance_user_data per chat, file, progetti, allegati di progetto, sessioni, utenti e membri dei gruppi, e read:compliance_org_data per organizzazioni, ruoli, gruppi e impostazioni effettive dell'organizzazione. Ad esempio, elencare le chat restituisce la seguente risposta.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['read:compliance_activities'] Needed: ['read:compliance_user_data']"
  }
}

Per accedere agli endpoint di contenuti, il proprietario principale della tua organizzazione padre (o un proprietario dell'organizzazione, solo per la propria organizzazione) deve creare una Compliance Access Key con read:compliance_user_data (e delete:compliance_user_data per le eliminazioni), oppure read:compliance_org_data per gli endpoint di organizzazione, ruoli, gruppi e impostazioni effettive. Un'organizzazione Claude Console autonoma (una senza organizzazione padre) non può creare una Compliance Access Key, quindi gli endpoint di contenuti non sono disponibili per essa; può interrogare solo l'Activity Feed. Consulta Gestire gli errori della Compliance API per il catalogo completo per endpoint.

L'Activity Feed conserva 6 anni di attività dell'organizzazione, e i nuovi eventi sono interrogabili entro 1 minuto dal loro verificarsi. Il feed risale al massimo al momento in cui la Compliance API è stata abilitata per la prima volta per la tua organizzazione: la registrazione non è retroattiva e l'attività precedente all'abilitazione non viene recuperata. La conservazione dell'Activity Feed è indipendente dalla politica di conservazione dei contenuti della tua organizzazione: i contenuti di chat, file e progetti seguono le regole di conservazione configurate per la tua organizzazione (indefinita per impostazione predefinita), a meno che un utente non li elimini prima.

No. L'Activity Feed registra chi ha fatto cosa e quando (autenticazione, creazione di chat, caricamento di file, modifiche ai progetti, azioni amministrative ed eventi di risorse simili), ma non acquisisce il testo dei prompt o le risposte del modello all'interno di chat o messaggi.

Per recuperare i corpi dei messaggi e i contenuti dei file, usa gli endpoint di chat, messaggi e file con una Compliance Access Key che includa read:compliance_user_data. La stessa chiave e lo stesso scope recuperano le trascrizioni delle sessioni sulle macchine degli utenti (come le sessioni Cowork e Claude Code) tramite gli endpoint delle sessioni locali, e le trascrizioni delle sessioni Cowork nel cloud tramite gli endpoint delle sessioni remote. Questi endpoint servono solo contenuti Claude Enterprise; i carichi di lavoro di Claude Console e i carichi di lavoro della Claude API autenticati con una chiave API espongono eventi amministrativi e di risorse tramite l'Activity Feed, ma non espongono il testo dei prompt o le risposte del modello tramite la Compliance API.

Sì. Le sessioni Cowork in Claude Desktop eseguite sulle macchine degli utenti, le sessioni Claude Code (nel terminale, in Claude Desktop o in un'estensione IDE), le sessioni nell'app desktop Claude Science e le sessioni Claude for Microsoft 365 in Excel, PowerPoint, Word e Outlook vengono acquisite mentre gli utenti sono connessi con il proprio account Claude Enterprise e sono disponibili tramite gli endpoint delle sessioni locali. Le sessioni Cowork avviate su claude.ai web o mobile, che vengono eseguite nel cloud in ambienti gestiti da Anthropic, sono disponibili tramite gli endpoint delle sessioni remote. Ogni famiglia ha un endpoint di elenco che restituisce i metadati delle sessioni e un endpoint dei messaggi che restituisce la trascrizione della sessione (prompt dell'utente, risposte dell'assistente, chiamate agli strumenti e relativi risultati). La famiglia locale aggiunge un terzo endpoint che recupera i metadati di una singola sessione. Tutti questi endpoint usano la tua Compliance Access Key esistente con read:compliance_user_data; non è necessaria alcuna nuova chiave o scope.

Le sessioni locali vengono acquisite quando le loro richieste raggiungono la Claude API, quindi non viene installato nulla sul dispositivo, e l'attività sul dispositivo che non raggiunge mai l'API non viene acquisita. Le sessioni Claude Code autenticate con una chiave API di Claude Console, le sessioni Claude Code eseguite tramite una piattaforma cloud di terze parti (Amazon Bedrock, Google Cloud o Microsoft Foundry) e Claude Code sul web non vengono acquisite. Anche Claude Code sul web viene eseguito nel cloud in ambienti gestiti da Anthropic, ma non è una sessione remota; gli endpoint delle sessioni remote restituiscono solo sessioni Cowork. Le organizzazioni con HIPAA readiness abilitata non ottengono dati delle sessioni locali, e le sessioni per cui è in vigore la zero data retention (ZDR) sono escluse.

Gli endpoint delle sessioni locali e remote sono stabili per le sessioni Cowork e Claude Code; la copertura delle sessioni Claude Science e Claude for Microsoft 365 è in beta.

Le trascrizioni delle sessioni locali e remote includono entrambe i prompt dell'utente, le risposte dell'assistente, le chiamate agli strumenti e i relativi risultati. Per le sessioni locali (sulle macchine degli utenti), si tratta di ciò che è stato chiesto a Claude di fare e di ciò che ha restituito, non di ciò che è accaduto sul dispositivo.

Consulta Sessioni sulle macchine degli utenti e Sessioni nel cloud per gli endpoint e i parametri.

Il logging OpenTelemetry di Cowork e il monitoraggio di Claude Code si sovrappongono agli endpoint delle sessioni ma rispondono a esigenze diverse: OTEL trasmette in streaming telemetria per evento verso l'infrastruttura che gestisci tu, man mano che l'attività avviene, mentre la Compliance API ti consente di recuperare da Anthropic, a posteriori, le trascrizioni per sessione conservate. OTEL può anche acquisire prompt e risposte, ma Anthropic consiglia la Compliance API per recuperare il contenuto delle sessioni Cowork e Claude Code. Per una tabella che confronta sessioni locali, sessioni remote e OTEL, consulta l'introduzione a Recuperare le trascrizioni delle sessioni.

Gli eventi OTEL e i record della Compliance API condividono gli identificatori di organizzazione e utente, quindi puoi unirli.

No. Le eliminazioni eseguite tramite la Compliance API sono immediate, permanenti e non recuperabili. Nemmeno il contenuto di una chat che un utente elimina in claude.ai è recuperabile: la Compliance API restituisce comunque la chat e i suoi messaggi, con deleted_at popolato, ma non il loro contenuto. Estrai qualsiasi contenuto che devi conservare (per legal hold o archiviazione) mentre è ancora disponibile. Consulta Pianificare la conservazione dei contenuti per sapere quando esportare i contenuti nel tuo archivio.

La Compliance API ha limiti di copertura noti: l'Activity Feed registra gli eventi di risorse ma non il testo di prompt o risposte, i carichi di lavoro di Claude Console e della Claude API autenticati con una chiave API non espongono alcun contenuto dei messaggi, e i contenuti rimossi dalla tua politica di conservazione, eliminati da un utente in claude.ai o eliminati definitivamente tramite la Compliance API non sono recuperabili. Per i limiti di copertura completi e il contratto di consegna, consulta Garanzie di consegna e completezza.

Le trascrizioni delle sessioni hanno limiti propri. Le sessioni locali vengono acquisite solo quando le loro richieste raggiungono la Claude API, quindi l'attività sul dispositivo che non raggiunge mai l'API non viene acquisita. Nemmeno le sessioni Claude Code autenticate con una chiave API di Claude Console, le sessioni Claude Code eseguite tramite una piattaforma cloud di terze parti (Amazon Bedrock, Google Cloud o Microsoft Foundry) e Claude Code sul web vengono acquisite; le organizzazioni con HIPAA readiness abilitata non ottengono dati delle sessioni locali; e le sessioni per cui è in vigore la zero data retention sono escluse. Nessuna trascrizione di sessione, locale o remota, include blocchi di pensiero o definizioni di strumenti. Le organizzazioni che usano chiavi di crittografia gestite dal cliente ricevono le trascrizioni delle sessioni locali come di consueto. Mentre la chiave non può essere usata, l'endpoint dei messaggi restituisce 503 Service Unavailable invece del contenuto della trascrizione, e i metadati delle sessioni vengono comunque elencati.

Unisci i record Activity al tuo SIEM su actor.user_id, actor.email_address, actor.ip_address, actor.user_agent e created_at. Consulta Progettare la tua integrazione di compliance per la tabella delle chiavi di join e i pattern di consumo.

Sì. Un'organizzazione padre Claude Enterprise può avere molte organizzazioni collegate, incluso un mix di organizzazioni claude.ai e organizzazioni Claude Console (ad esempio, organizzazioni Claude Console separate per produzione e staging). Identità, SSO e SCIM sono condivisi a livello di organizzazione padre; fatturazione, membri, progetti e chiavi API restano separati per ogni organizzazione. L'abilitazione della Compliance API avviene a livello di organizzazione padre e si propaga a cascata a tutte le organizzazioni collegate, e una Compliance Access Key che copre l'organizzazione padre e include read:compliance_org_data può enumerare ogni organizzazione sotto l'organizzazione padre tramite GET /v1/compliance/organizations.

Le attività vengono restituite dalla più recente alla meno recente, con i pareggi in created_at risolti tramite l'ID dell'attività. Per recuperare il ritardo, percorri le pagine in avanti tramite before_id finché has_more è false; il first_id di quella risposta finale è il tuo nuovo cursore e hai raggiunto il presente. Il ciclo completo, incluso il backfill iniziale e le condizioni di sicurezza sulla persistenza del cursore, è descritto in Letture incrementali guidate da cursore.

Per testare solo l'Activity Feed, non ti serve un'organizzazione Claude Enterprise: un amministratore dell'organizzazione può abilitare la Compliance API su un'organizzazione di test Claude Console autonoma idonea e interrogare il feed con una nuova chiave Admin API. Se la sezione Compliance API non è visibile nelle impostazioni Security di quell'organizzazione, l'organizzazione non è idonea all'abilitazione self-service.

Per testare ogni endpoint, configura un'organizzazione sandbox Claude Enterprise collegata a un'organizzazione Claude Console sotto la stessa organizzazione padre. Questo consente alla sandbox di esercitare sia l'Activity Feed (tramite una chiave Admin API) sia gli endpoint di chat, file, progetti e sessioni (tramite una Compliance Access Key).

1. Effettua il provisioning dell'organizzazione Claude Enterprise. Contatta il tuo referente Anthropic per configurare un'organizzazione sandbox Claude Enterprise. Su un'organizzazione Claude Enterprise esistente, il proprietario principale può abilitare la Compliance API direttamente in claude.ai.
2. Crea l'organizzazione Claude Console. Crea tu stesso un'organizzazione Claude Console su platform.claude.com usando lo stesso indirizzo email.
3. Collega le due organizzazioni. Accedi come proprietario principale dell'organizzazione Claude Enterprise, vai su claude.ai > Impostazioni organizzazione > Identità e accesso e usa Merge Organizations per collegare le due sotto un'organizzazione padre condivisa.

Una volta collegate, segui Configurare la Compliance API per creare le chiavi e iniziare a interrogare. Le organizzazioni di test usano lo stesso processo di abilitazione delle organizzazioni di produzione.