Im Unternehmensumfeld nennt der Quelltext zwei Hauptformen der Überwachung: die Datensammlung zu Vertriebszwecken und die Überwachung von Beschäftigten. TechCrunch berichtete demnach im vergangenen Jahr über einen von Perplexity geplanten KI-Browser, der Daten über das Verhalten der Nutzer auch außerhalb der eigenen App erfassen könne, um hochwertige Werbung zu verkaufen. Der Browser Comet wurde laut Text im Juli 2025 gestartet.
David Ruiz, leitender Datenschutzbeauftragter bei Malwarebytes, warnt in diesem Zusammenhang vor KI-Systemen, die Gespräche nach verwertbaren Inhalten durchsuchen können. Zusätzlich äußert er Bedenken gegenüber KI-gestützten Mental-Health-Apps und Chatbots für emotionale Unterstützung, weil diese sensible Angaben der Nutzer voraussetzen könnten. Auch Rebecca Moody, Leiterin der Datenforschung bei Comparitech, kritisiert den geplanten Ausbau von Gesichtserkennungskameras in Filialen einer großen Supermarktkette im Vereinigten Königreich, über den The Sun kürzlich berichtete. Sie warnt insbesondere vor einer schleichenden Ausweitung des Einsatzzwecks.
Als weitere Werkzeuge kommerzieller Überwachung nennt der Text Log-in-Zwänge auf Websites und Cookies. Betreiber erfahren dadurch, wer sich für welche Inhalte interessiert und wie die Person erreichbar ist. Cookies wiederum dienten dazu, besuchte Websites und Interessen zu erfassen und Werbung gezielt nachzusteuern. Eine einzelne Website könne versuchen, 50 oder mehr Cookies zu setzen, wobei die tatsächliche Zahl je nach Browser variiere.
Am Arbeitsplatz reiche die Überwachung laut Quelltext von Login-Zeiten und Badge-Zugängen bis zu Aktivitätsdaten auf Endgeräten und Kollaborationsplattformen. Ensar Seker, CISO bei SOCRadar, sagt, KI ergänze dies inzwischen um Verhaltensanalysen, Stimmungsanalyse, Bewertungsmodelle für Besprechungsteilnahme, Tastenanschlagsanalyse, Webcam-Überwachung und Prognosen zu Burnout, Insider-Risiken oder möglicher Kündigungsabsicht. Stanislav Kazanov, Leiter für GRC, Cybersicherheit und Nachhaltigkeit bei Innowise, hält Einwilligung im Arbeitsverhältnis für einen schwachen Schutz und fordert Rechenschaftspflichten für automatisierte Bewertungen.
Für Cyberkriminelle ist nach Darstellung des Quelltexts der Infostealer das wichtigste Instrument zur Überwachung potenzieller Opfer. Solche Schadprogramme sammeln unbemerkt Daten, bündeln sie in sogenannten Stealer-Logs und schleusen sie aus. Diese Datensammlungen würden anschließend von Initial Access Brokern an kriminelle Gruppen weiterverkauft. KELA meldete im vergangenen Jahr, dass 4,3 Millionen Geräte in 2024 infiziert worden seien. Moderne Infostealer stählen laut Text nicht nur Passwörter, sondern auch Session-Cookies oder Tokens, gespeicherte Zugangsdaten, SSO- und Cloud-Anmeldedaten, Browser-Artefakte, Systemmetadaten, digitale Geldbörsen sowie Inhalte aus Messaging- und E-Mail-Programmen; hinzu kämen Clipboard-Hijacking, Keylogging und Bildschirmaufnahmen.
Breiten Raum nimmt die Überwachung durch Strafverfolger und Nachrichtendienste ein. Umstritten sei in den USA insbesondere der Einsatz von Kameras des Anbieters Flock. Laut Quelltext war das ursprüngliche Ziel, gestohlene Fahrzeuge über Kennzeichen zu erkennen. Inzwischen erfasse das System jedoch einen vollständigen Fahrzeug-Fingerabdruck einschließlich Fahrer und Mitfahrern. Die Daten würden nicht nur mit Polizeibehörden, sondern auch mit Hausbesitzervereinigungen geteilt. ACLU Oregon schrieb im September 2025, die von Flock erfassten Daten könnten sehr private Details über das Leben einer Person offenlegen.
Matt Polak, Gründer und CEO von VanishID, sagt, Strafverfolger und weniger sichtbar auch die Nachrichtendienste kauften solche Daten und kombinierten sie mit Regierungsdaten über Plattformen wie Palantir. Tim Freestone, Chief Strategy Officer bei Kiteworks, verweist zusätzlich auf Programme wie Tempora von GCHQ und PRISM der NSA sowie auf den Informationsaustausch der Five Eyes. Dadurch könne, so die Darstellung im Quelltext, lokal erhobene Überwachungsinformation in nationale Ermittlungs- und Nachrichtendienstsysteme gelangen und von dort an ausländische Dienste weitergegeben werden.
Mehrere Experten im Text betonen, dass KI die Reichweite dieser Überwachung vergrößert. Seker sagt, offene Quellen, geleakte Datensätze, soziale Medien, kompromittierte Zugangsdaten, Standortmetadaten, Finanzdaten, Gesichtserkennung und von Datenhändlern gekaufte Informationen ließen sich zu detaillierten digitalen Profilen zusammenführen. Andrew Chipman von Pro Circular und Ilia Kolochenko von ImmuniWeb verweisen zugleich auf Verzerrungen, Fehlklassifikationen und rechtliche Grauzonen. Freestone nennt die DSGVO als grundlegenden Rahmen mit Prinzipien wie Datenminimierung, Speicherbegrenzung und Zweckbindung, weist aber auf Ausnahmen für Strafverfolgung und die Intransparenz nachrichtendienstlicher Datenflüsse hin.