O que deve ser enviado ao cliente em resposta se os dados de entrada não passarem na validação?

Se os dados de entrada não passarem na validação, o servidor deve enviar ao cliente uma resposta com o código de estado HTTP 400 Bad Request. No corpo da resposta geralmente é retornada informação sobre as causas do erro de validação, para que o cliente possa entender o que exatamente está errado e corrigir a solicitação.

Exemplo de resposta em ASP.NET Core:

if (!ModelState.IsValid)
{
    return BadRequest(ModelState);
}

Aqui, ModelState contém detalhes dos erros de validação, que serão serializados na resposta e enviados ao cliente.