C'était bien mon inquiétude au départ, surtout qu'il y a un paquet de logiciels proposés qui sont livrés avec de telles merdes en opt-out. Après, on n'est jamais à l’abri d'une mauvaise surprise (ça reste un fonctionnement communautaire), mais il y a un système de validation et de modération pour les paquets communautaires pour éviter que ça n'arrive (tout est indiqué là : https://chocolatey.org/docs/security ).
La version gratuite est largement suffisante pour un usage domestique (en environnement pro, c'est pas le mieux, il vaut mieux avoir un repo local et avoir une version payante).

Nil (./7) :
même s'il y a des comportements assez pourris pour certains softs distribués sous forme de zip, comme yEd

Si mes souvenirs sont bons, les paquets de ce type sont déployés dans C:\ProgramData\chocolatey ; quelque part, c'est logique, mais c'est peu intuitif pour l'utilisateur (qui s'attend à avoir un dossier dans Programs), surtout quand le script ne déploie pas d'icône : c'est un emplacement qui n'est pas indexé par la recherche Windows, du coup même en tapant le nom de l'exécutable dans la recherche, ça n'est pas trouvé (j'ai longtemps cru que le paquet de yEd était cassé alors que c'est simplement pas "logique" du point de vue utilisateur).