OpenAI API の HIPAA 対応が管理画面で完結 — Anthropic に3か月遅れで追いついた
OpenAI が 2026-10-05 付の API changelog で、HIPAA 対応のための製品内フローを Platform 設定（Organization settings > General）へ追加したと告知した。対象となる組織の管理者が、標準の BAA（事業提携契約）を自分で受諾し、HIPAA compliance support を有効化できる。従来は営業・サポート経由だった手続きが管理画面で完結する。Anthropic は同趣旨の変更を 2026-07-15 に実施済みで、主要2社がコンプライアンス手続きのセルフサーブ化という同じ方向へ揃った。ただし changelog の記述は2文程度で、eligible の条件、対象プラン、地域制約、PHI を扱える API / モデルの範囲は明示されていない。
ニュース原文を読む ↗要約
OpenAI は 2026-10-05 付の API changelog で、HIPAA 対応のための製品内フローを Platform の設定画面へ追加したと告知しました。場所は Organization settings > General で、原文は「Added an in-product flow for HIPAA compliance support in API [Organization settings > General]」です。
対象となる組織の管理者が、標準の BAA（Business Associate Agreement、事業提携契約）を自分で受諾し、HIPAA compliance support を有効化できるようになりました。従来この手続きは営業・サポート経由で、契約の往復に時間がかかる工程でした。
これは機能追加というより、調達プロセスの短縮です。 そして同じことを Anthropic は 2026-07-15 に実施しています（Claude Enterprise と Claude Platform の HIPAA 設定のセルフサーブ化）。つまり主要2社が、約3か月の間隔で同じ方向へ揃ったことになります。
この「揃った」という事実が、実務では一番使える情報です。 医療・ヘルスケア領域で生成AIを検討するとき、これまでは「BAA を結べるか」「結ぶのにどれだけかかるか」がベンダー選定の変数でした。両社がセルフサーブ化したなら、その変数は選定基準から外れます。 比較の軸は、モデルの性能、価格、周辺機能へ戻ります。
ただし、告知の記述は2文程度で、肝心な点がいくつも書かれていません。 公式が書いているのは「eligible organization admins（対象となる組織の管理者）」が受諾できる、ということだけです。eligible の条件が何か、対象プランはどこからか、地域の制約があるか、PHI を実際に扱える API とモデルの範囲はどこまでか——いずれも本文にありません。
なので「OpenAI で HIPAA 対応ができるようになった」と社内に伝えるのは、まだ早いです。 正確な言い方は「BAA 受諾の手続きが管理画面で完結するようになった。ただし自社が対象かどうかは設定画面で確認が必要」です。
なお、本日の巡回では openai.com/news/ と help.openai.com が13日連続で 403 を返しており、一次情報として到達できたのは developers.openai.com/api/docs/changelog だけです。本記事の根拠はこの changelog 1本であり、同じ内容を説明する詳細ページは確認できていません。
何が変わったか
Organization settings > Generalに HIPAA 対応の製品内フローが追加された（2026-10-05 付 changelog）- 対象となる組織の管理者が、標準 BAA を自分で受諾できる
- 同じ画面から HIPAA compliance support を有効化できる
- 従来の営業・サポート経由の手続きが管理画面で完結する
- Anthropic は同趣旨の変更を 2026-07-15 に実施済み（Claude Enterprise / Claude Platform のセルフサーブ化）
- 公式に書かれていないこと: eligible の条件、対象プラン、地域制約、PHI を扱える API / モデルの範囲
- 本件の確認に使えた一次情報は
developers.openai.com/api/docs/changelogのみ（openai.com系は 403 継続中）
業務インパクト
医療・ヘルスケア領域で OpenAI API を検討している組織は、調達スケジュールの前提が変わります。
BAA の締結を「営業と折衝して数週間」と見積もってプロジェクト計画を引いていた場合、その工程が管理者の操作に置き換わる可能性があります。 計画の前倒しができるかもしれませんが、先に確認すべきは自社が eligible に入るかどうかです。設定画面にフローが出ているかを見るのが最短で、出ていなければ従来どおり問い合わせになります。
法務・コンプライアンス部門への説明は、言葉の精度が重要です。 「HIPAA 対応になった」と「HIPAA 対応の手続きがセルフサーブになった」は別の話です。BAA を結べば HIPAA の要求がすべて満たされるわけではありません。 BAA はあくまで事業提携者としての責任分担を定める契約で、組織側の管理的・物理的・技術的セーフガードは別に必要です。セルフサーブ化は「契約の入口が速くなった」だけだと伝えてください。
日本の組織にとっては、直接適用される法令ではない点も押さえてください。 HIPAA は米国の法令です。日本国内の医療機関・ヘルステック企業にとって直接の準拠対象ではなく、関係するのは米国の患者データを扱う場合や、米国市場向けのサービスを提供する場合です。それ以外では、HIPAA 対応の有無より次の2点の方が実務的に重要です。(1) 個人情報保護法および医療情報の3省2ガイドラインへの適合、(2) データの所在地と越境移転の扱い。
それでも無関係ではありません。 「HIPAA 対応をセルフサーブで提供できる」という状態は、ベンダー側がコンプライアンス要件を製品機能として扱う体制を持っていることの傍証になります。セキュリティレビューで「ベンダーの成熟度」を評価項目に入れている組織では、この種の変更が加点材料になります。
ベンダー選定の資料を更新する場合は、両社の実施時期を併記してください。 Anthropic が 2026-07-15、OpenAI が 2026-10-05 です。どちらが先かという話ではなく、「現時点では両社とも可能」が結論です。片方だけを調べて比較表に差を書くと、3か月で陳腐化する資料になります。
副業・個人活用視点
個人開発や小規模な受託では、BAA の締結そのものに縁がないことがほとんどです。 医療データを扱う案件は、そもそも個人の与信では受けにくい領域です。
効いてくるのは、要件定義や初期相談に同席する場面です。
「医療系のデータを AI に投げて大丈夫か」という質問は、ヘルスケア領域の相談で必ず出ます。 ここで「HIPAA 対応のオプションがあります」で止まる説明と、「HIPAA は米国法で、御社のケースでは個人情報保護法と3省2ガイドラインが先に来ます。そのうえで米国の患者データを扱うなら BAA の話になります」と切り分けられる説明では、信頼の付き方が違います。法令の適用範囲を混ぜないことが、この領域での最低限の専門性です。
もう1つは、ベンダー比較の資料を作る仕事です。 コンプライアンス機能は**「できる / できない」が短期間で変わる項目**です。今回のように3か月で状況が揃うことがあるため、比較表には必ず確認日を入れるという習慣が差になります。確認日の無い比較表を納品すると、半年後に古い情報で判断されて責任を問われます。
情報源の制約を明示する練習にもなります。 本件は openai.com が13日連続 403 で、developers.openai.com の changelog 1本しか根拠がありません。こういう状況で「公式発表によると」と書いてしまうか、「API changelog に記載があるが詳細ページは未確認」と書けるかは、調査を仕事にするなら決定的な差です。 根拠の厚みを正直に書ける人の方が、長く信用されます。