Olá Weverton,
De fato, é uma boa prática colocar as anotações de validação nos DTOs, pois eles são responsáveis por receber os dados da requisição e enviar para os métodos de serviço. Dessa forma, as validações são executadas antes da chamada dos métodos de serviço, evitando que dados inválidos sejam processados.
Porém, em alguns casos, pode ser necessário adicionar validações no modelo de domínio, por exemplo, quando existem regras de negócio que dependem de valores de outras entidades ou da própria entidade. Nesses casos, é importante que as validações sejam realizadas antes da persistência da entidade no banco de dados.
Portanto, a decisão de onde colocar as anotações de validação depende do contexto e das regras de negócio da aplicação. Em geral, é recomendável colocá-las nos DTOs para validação dos dados recebidos nas requisições e nas entidades para validação das regras de negócio do modelo de domínio.