FAQ sulla Compliance API

Per un'organizzazione Claude Enterprise, il proprietario principale abilita la Compliance API in claude.ai > Organization settings > API, e l'abilitazione si propaga dall'organizzazione padre a ogni organizzazione collegata. Per un'organizzazione Claude Console autonoma idonea (una senza organizzazione padre), un amministratore dell'organizzazione la abilita nella pagina Compliance (platform.claude.com/settings/security) nella Claude Console. Un'organizzazione Claude Console collegata a un'organizzazione padre non abilita autonomamente la Compliance API; questa viene abilitata dall'organizzazione padre. Consulta Configurare la Compliance API per i passaggi.

Sì. Per un'organizzazione Claude Console autonoma, un amministratore dell'organizzazione può disattivare l'interruttore Compliance API nella pagina Compliance (platform.claude.com/settings/security) nella Claude Console, lo stesso punto in cui viene attivato. Mentre la Compliance API è disattivata, non viene registrato alcun evento di attività per la tua organizzazione, quindi l'Activity Feed non riceve nuovi eventi. Se la tua organizzazione è iscritta ad Access Transparency, la disattivazione della Compliance API interrompe anche la consegna degli eventi di Access Transparency. L'attività non registrata mentre la Compliance API è disattivata non può essere recuperata in seguito. Quando riattivi la Compliance API, la registrazione riprende da quel momento in poi; l'attività già registrata non viene eliminata.

No. La disattivazione della Compliance API interrompe la registrazione di nuovi eventi di attività, ma non elimina gli eventi già acquisiti mentre era attiva. La registrazione riprende dal momento in cui la Compliance API viene riattivata.

Sì. Quando la Compliance API viene disattivata (o riattivata) in Claude Console, la modifica viene registrata come attività org_compliance_api_settings_updated nell'Activity Feed. In questo modo il tuo "audit trail" (traccia di controllo) mostra chi ha modificato l'impostazione e quando. Questa attività fa eccezione all'interruzione della registrazione: la disattivazione viene registrata anche se, mentre la Compliance API è disattivata, non viene registrata nessun'altra attività.

È il comportamento previsto. Un'organizzazione padre Claude Enterprise centralizza l'identità tra tutte le organizzazioni collegate; non gestisce carichi di lavoro e non compare affatto nella Claude Console. La Claude Console mostra sempre e solo le organizzazioni Claude Console collegate sotto l'organizzazione padre.

Per chiamare la Compliance API, crea invece uno dei due tipi di chiave:

• Per l'accesso completo alla Compliance API (Activity Feed più chat, file, progetti, sessioni, utenti, metadati e impostazioni dell'organizzazione), il proprietario principale dell'organizzazione padre crea una Compliance Access Key in claude.ai. In alternativa, può crearla un proprietario dell'organizzazione, ma in tal caso la chiave è limitata alla sua organizzazione.
• Per l'accesso al solo Activity Feed, un amministratore della tua organizzazione Claude Console crea una chiave Admin API in Claude Console. La Compliance API deve essere già abilitata per l'organizzazione. Inoltre, l'amministratore deve creare la chiave Admin API mentre la Compliance API è abilitata, affinché la chiave includa lo "scope" (ambito) read:compliance_activities.

No. Una chiave API di Claude (sk-ant-api03-...) autentica le chiamate ai modelli Claude sulla Claude API, ma non le chiamate a /v1/compliance/*. La Compliance API accetta solo Compliance Access Key (sk-ant-api01-...) e chiavi Admin API (sk-ant-admin01-...). Consulta Quale chiave ti serve? per la corrispondenza completa.

L'unico scope della Compliance API di una chiave Admin API è read:compliance_activities, che autorizza solo l'Activity Feed. Ogni altro endpoint della Compliance API richiede uno scope che solo una Compliance Access Key creata in claude.ai può includere. Chiamare un endpoint di contenuti o di directory con una chiave Admin API restituisce un 403 che indica lo scope richiesto da quella famiglia di endpoint: read:compliance_user_data per chat, file, progetti, allegati di progetto, sessioni, utenti e membri dei gruppi, e read:compliance_org_data per organizzazioni, ruoli, gruppi e impostazioni effettive dell'organizzazione. Ad esempio, l'elenco delle chat restituisce la seguente risposta.

{
  "error": {
    "type": "permission_error",
    "message": "Missing required scopes. Got: ['api:admin', 'read:compliance_activities'] Needed one of: ['read:compliance_user_data', 'read:org_audit']"
  }
}

Per accedere agli endpoint di contenuti, il proprietario principale della tua organizzazione padre deve creare una Compliance Access Key. In alternativa, può crearla un proprietario dell'organizzazione, ma solo per la propria organizzazione. La chiave deve includere read:compliance_user_data (più delete:compliance_user_data per le eliminazioni), oppure read:compliance_org_data per gli endpoint di organizzazioni, ruoli, gruppi e impostazioni effettive. Un'organizzazione Claude Console autonoma (cioè senza organizzazione padre) non può creare una Compliance Access Key. Per questo non ha accesso agli endpoint di contenuti e può interrogare solo l'Activity Feed. Consulta Gestire gli errori della Compliance API per il catalogo completo degli errori per endpoint.

L'Activity Feed conserva 6 anni di attività dell'organizzazione, e i nuovi eventi sono interrogabili entro 1 minuto dal loro verificarsi. Il feed risale al massimo al momento in cui la Compliance API è stata abilitata per la prima volta per la tua organizzazione: la registrazione non è retroattiva e l'attività precedente all'abilitazione non viene recuperata a posteriori. La conservazione dell'Activity Feed è indipendente dalla politica di conservazione dei contenuti della tua organizzazione: i contenuti di chat, file e progetti seguono le regole di conservazione configurate per la tua organizzazione (a tempo indeterminato per impostazione predefinita), a meno che un utente non li elimini prima.

No. L'Activity Feed registra chi ha fatto cosa e quando (autenticazione, creazione di chat, caricamenti di file, modifiche ai progetti, azioni amministrative ed eventi simili relativi alle risorse), ma non acquisisce il testo dei prompt né le risposte del modello all'interno di chat o messaggi.

Per recuperare il corpo dei messaggi e il contenuto dei file, usa gli endpoint di chat, messaggi e file con una Compliance Access Key che includa read:compliance_user_data. La stessa chiave e lo stesso scope recuperano le trascrizioni delle sessioni sui computer degli utenti (come le sessioni di Cowork e Claude Code) tramite gli endpoint delle sessioni locali, e le trascrizioni delle sessioni di Cowork nel cloud tramite gli endpoint delle sessioni remote. Questi endpoint forniscono solo contenuti di Claude Enterprise; i carichi di lavoro di Claude Console e i carichi di lavoro della Claude API autenticati con una chiave API espongono eventi amministrativi e di risorse tramite l'Activity Feed, ma non espongono il testo dei prompt né le risposte del modello tramite la Compliance API.

Sì. Le sessioni di Cowork in Claude Desktop eseguite sui computer degli utenti, le sessioni di Claude Code (nel terminale, in Claude Desktop o in un'estensione IDE), le sessioni nell'app desktop Claude Science, le sessioni di Claude for Microsoft 365 (in Excel, PowerPoint, Word e Outlook) e le chat nell'estensione del browser Claude in Chrome vengono acquisite mentre gli utenti hanno effettuato l'accesso con il proprio account Claude Enterprise e sono disponibili tramite gli endpoint delle sessioni locali. Le sessioni di Cowork avviate su claude.ai web o mobile, che vengono eseguite nel cloud in ambienti gestiti da Anthropic, sono disponibili tramite gli endpoint delle sessioni remote. Ogni famiglia ha un endpoint di elenco che restituisce i metadati delle sessioni e un endpoint dei messaggi che restituisce la trascrizione della sessione (prompt dell'utente, risposte dell'assistente e chiamate agli strumenti con i relativi risultati). La famiglia locale aggiunge un terzo endpoint che recupera i metadati di una singola sessione. Tutti questi endpoint usano la tua Compliance Access Key esistente con read:compliance_user_data; non sono necessari nuove chiavi o nuovi scope.

Le sessioni locali vengono acquisite man mano che le loro richieste raggiungono la Claude API, quindi non viene installato nulla sul dispositivo, e l'attività sul dispositivo che non raggiunge mai l'API non viene acquisita. Le sessioni di Claude Code autenticate con una chiave API di Claude Console, le sessioni di Claude Code eseguite tramite una piattaforma cloud di terze parti (Amazon Bedrock, Google Cloud o Microsoft Foundry) e le sessioni cloud di Claude Code, che vengono eseguite su infrastruttura cloud anziché sul computer dell'utente, non vengono acquisite. Queste sessioni cloud non sono sessioni remote, anche se entrambe vengono eseguite nel cloud; gli endpoint delle sessioni remote restituiscono solo sessioni di Cowork. Ogni esecuzione di un'attività pianificata di Cowork nel cloud è una sessione remota: l'endpoint di elenco delle sessioni remote la restituisce come sessione di proprietà di un agente (agent_id è impostato e started_by_user identifica la persona che ha avviato l'esecuzione), e l'endpoint dei messaggi ne restituisce la trascrizione, ma nessuno dei due restituisce il nome o la pianificazione dell'attività. Le routine di Claude Code eseguite nel cloud sono sessioni cloud di Claude Code, quindi gli endpoint delle sessioni non le restituiscono. Le organizzazioni con la "HIPAA readiness" (predisposizione HIPAA) abilitata ottengono i dati delle sessioni locali solo per Cowork e Claude Code, conservati per 30 giorni, e le sessioni per cui è in vigore la "zero data retention" (conservazione zero dei dati), o ZDR sono escluse.

Gli endpoint delle sessioni locali e remote sono stabili per le sessioni di Cowork, Claude Code e Claude for Microsoft 365; la copertura delle sessioni di Claude Science e Claude in Chrome è in beta.

Le trascrizioni delle sessioni locali e remote includono entrambe i prompt dell'utente, le risposte dell'assistente e le chiamate agli strumenti con i relativi risultati. Per le sessioni locali (sui computer degli utenti), si tratta di ciò che è stato chiesto a Claude e di ciò che ha restituito, non di ciò che è accaduto sul dispositivo.

Consulta Sessioni sui computer degli utenti e Sessioni nel cloud per gli endpoint e i parametri.

Il logging OpenTelemetry di Cowork e il monitoraggio di Claude Code si sovrappongono agli endpoint delle sessioni ma rispondono a esigenze diverse: OTEL trasmette la telemetria per singolo evento all'infrastruttura che gestisci man mano che l'attività si verifica, mentre la Compliance API ti consente di recuperare a posteriori da Anthropic le trascrizioni conservate per singola sessione. OTEL può anche acquisire prompt e risposte, ma Anthropic consiglia la Compliance API per recuperare il contenuto delle sessioni di Cowork e Claude Code. Per una tabella che confronta sessioni locali, sessioni remote e OTEL, consulta l'introduzione a Recuperare le trascrizioni delle sessioni.

Gli eventi OTEL e i record della Compliance API condividono gli identificatori di organizzazione e utente, quindi puoi correlarli.

No. Le eliminazioni eseguite tramite la Compliance API sono immediate, permanenti e non recuperabili. Anche il contenuto di una chat che un utente elimina in claude.ai non è recuperabile: la Compliance API restituisce comunque la chat e i suoi messaggi, con deleted_at valorizzato, ma non il loro contenuto. Allo stesso modo, una sessione remota eliminata da un utente non è recuperabile e gli endpoint delle sessioni remote non la restituiscono più. Estrai tutti i contenuti che devi conservare (per "legal hold" (blocco legale) o archiviazione) finché sono ancora disponibili. Consulta Pianificare la conservazione dei contenuti per sapere quando esportare i contenuti nel tuo archivio.

La Compliance API ha limiti di copertura noti: l'Activity Feed registra gli eventi delle risorse ma non il testo dei prompt o delle risposte, i carichi di lavoro di Claude Console e della Claude API autenticati con una chiave API non espongono alcun contenuto dei messaggi, e i contenuti rimossi dalla tua politica di conservazione, eliminati da un utente in claude.ai o eliminati definitivamente tramite la Compliance API non sono recuperabili. Per i limiti di copertura completi e il contratto di consegna, consulta Garanzie di consegna e completezza.

Le trascrizioni delle sessioni hanno limiti propri. Le sessioni locali vengono acquisite solo quando le loro richieste raggiungono la Claude API, quindi l'attività sul dispositivo che non raggiunge mai l'API non viene acquisita. Non vengono acquisite nemmeno le sessioni di Claude Code autenticate con una chiave API di Claude Console, le sessioni di Claude Code eseguite tramite una piattaforma cloud di terze parti (Amazon Bedrock, Google Cloud o Microsoft Foundry) e le sessioni cloud di Claude Code (incluse le routine di Claude Code eseguite nel cloud), che vengono eseguite su infrastruttura cloud anziché sul computer dell'utente; le organizzazioni con la predisposizione HIPAA abilitata ottengono i dati delle sessioni locali solo per Cowork e Claude Code, conservati per 30 giorni; e le sessioni per cui è in vigore la conservazione zero dei dati sono escluse. Nessuna trascrizione di sessione, locale o remota, include blocchi di ragionamento o definizioni degli strumenti. Le organizzazioni che usano "customer-managed encryption keys" (chiavi di crittografia gestite dal cliente) ricevono normalmente le trascrizioni delle sessioni locali. Mentre la chiave non può essere usata, l'endpoint dei messaggi restituisce 503 Service Unavailable anziché il contenuto della trascrizione, e i metadati delle sessioni vengono comunque elencati.

Nessun endpoint della Compliance API elenca le attività pianificate di Cowork o le routine di Claude Code di un'organizzazione.

Correla i record Activity con il tuo SIEM tramite actor.user_id, actor.email_address, actor.ip_address, actor.user_agent e created_at. Consulta Progettare l'integrazione di conformità per la tabella delle chiavi di correlazione e i modelli di consumo.

Sì. Un'organizzazione padre Claude Enterprise può avere molte organizzazioni collegate, anche di tipo diverso: organizzazioni claude.ai e organizzazioni Claude Console (ad esempio, organizzazioni Claude Console separate per produzione e staging). Identità, SSO e SCIM sono condivisi a livello dell'organizzazione padre, mentre fatturazione, membri, progetti e chiavi API restano separati per ciascuna organizzazione. La Compliance API si abilita a livello di organizzazione padre e l'abilitazione si propaga a tutte le organizzazioni collegate. Una Compliance Access Key che copre l'organizzazione padre e include read:compliance_org_data può elencare tutte le organizzazioni collegate tramite GET /v1/compliance/organizations.

Le attività vengono restituite dalla più recente alla meno recente. A parità di created_at, l'ordine è determinato dall'ID dell'attività. Per metterti in pari, scorri le pagine in avanti tramite before_id finché has_more non è false. A quel punto hai raggiunto il presente, e il first_id dell'ultima risposta diventa il tuo nuovo cursore. Il ciclo completo, incluso il "backfill" (recupero iniziale) e le condizioni di sicurezza per la persistenza del cursore, è descritto in Letture incrementali basate su cursore.

Per testare solo l'Activity Feed, non hai bisogno di un'organizzazione Claude Enterprise: un amministratore dell'organizzazione può abilitare la Compliance API su un'organizzazione di test Claude Console autonoma idonea e interrogare il feed con una nuova chiave Admin API. Se la pagina Compliance (platform.claude.com/settings/security) di quell'organizzazione nella Claude Console mostra un errore di pagina non trovata, o non mostra la sezione Compliance API, l'organizzazione non è idonea all'abilitazione self-service.

Per testare tutti gli endpoint, configura un'organizzazione sandbox Claude Enterprise collegata a un'organizzazione Claude Console sotto la stessa organizzazione padre. In questo modo la sandbox può usare sia l'Activity Feed (tramite una chiave Admin API) sia gli endpoint di chat, file, progetti e sessioni (tramite una Compliance Access Key).

1. Predisponi l'organizzazione Claude Enterprise. Contatta il tuo referente Anthropic per configurare un'organizzazione sandbox Claude Enterprise. Se hai già un'organizzazione Claude Enterprise, il proprietario principale può abilitare la Compliance API direttamente in claude.ai.
2. Crea l'organizzazione Claude Console. Crea tu stesso un'organizzazione Claude Console su platform.claude.com, usando lo stesso indirizzo email.
3. Collega le due organizzazioni. Accedi come proprietario principale dell'organizzazione Claude Enterprise, vai a claude.ai > Organization settings > Identity and access e usa Merge Organizations per collegare le due organizzazioni sotto un'organizzazione padre condivisa.

Una volta collegate le organizzazioni, segui Configurare la Compliance API per creare le chiavi e iniziare a eseguire query. Le organizzazioni di test seguono lo stesso processo di abilitazione delle organizzazioni di produzione.