5.4 Ensure compliance with regulations (e.g., GDPR, HIPAA, FedRAMP)

Tuân thủ GDPR, HIPAA, FedRAMP: kiểm từng thành phần trên đường đi của dữ liệu.

1. HIPAA: dữ liệu sức khỏe (PHI) cần BAA với mọi nhà cung cấp trên đường đi dữ liệu, cộng biện pháp kỹ thuật.
2. HIPAA readiness của Claude API áp dụng theo tính năng: tính năng không đủ điều kiện bị chặn với lỗi 400. Không bao phủ: Claude Code, Console, tính năng beta (trừ khi được liệt kê), Claude Platform on AWS. Không đặt PHI trong JSON schema (structured outputs/strict tools). Đã có HIPAA readiness thì không cần thêm ZDR.
3. ZDR áp dụng theo từng tính năng đủ điều kiện, không tự động cho mọi thứ — vd. Managed Agents giữ phiên có trạng thái nên không đủ điều kiện ZDR; Console (kể cả playground) và giao diện Claude Team/Enterprise cũng không.
4. Fable 5.1 bắt buộc lưu dữ liệu 30 ngày, không dùng được với ZDR trừ khi Anthropic cho phép riêng. Tổ chức ZDR có thể bật lưu 30 ngày cho một workspace riêng để dùng model này.
5. GDPR: quyền xóa phải tới mọi bản sao — log, cache, embedding.
6. FedRAMP: mọi thành phần (truy cập model, hosting, lưu trữ, log) phải chạy trong môi trường được cấp phép ở mức yêu cầu, và ghi rõ ranh giới hệ thống. Cần FedRAMP High, IL4/IL5 hoặc AWS là bên xử lý dữ liệu duy nhất → Claude in Amazon Bedrock.