Depende.
Acho melhor categorizar por tipo de regra pra ficar mais claro.
Validações de dados
Sim, é errado. Validação de dados é uma característica do tipo de dado, portanto, de responsabilidade do Model.
Verificação de existência de registro referenciado
Não. É função do Controller verificar se o registro de outra tabela realmente existe antes de fazer qualquer atribuição. A responsabilidade do Controller é harmonizar os dados entre Models e também entre a camada de apresentação.
Auditoria de dados (log)
Depende. Se o tipo de dados a ser auditado segue um padrão de formato e dados, o melhor é usar uma biblioteca (como as que trabalham com aspectos) que interceptam o dado, ou então um ActionFilter
.
Caso contrário, não há problemas em usar isso no Controller, desde que seu Controller tenha um suporte adequado a transações.
Montar Views
Sim, muito errado. O Controller deve apenas fornecer os dados para as Views. Nunca montar HTML, por exemplo.
Isto não se aplica caso o resultado devolvido por um Controller seja um arquivo (por exemplo, uma imagem ou um PDF), ou algum formato de dados padronizado (um JSON, um XML, e assim por diante).
Há uma ressalva sobre PDFs. Existe um pacote chamado RazorPDF que monta PDFs a nível de View.